Het aandachtsprobleem

Phishing is een hardnekkig probleem, en de meest gangbare reactie erop is de phishingsimulatie: een nepbericht dat test of de medewerkers erin trappen. In de praktijk ontstaat daarbij een patroon waarin organisaties die alleen simuleren, steeds moeilijkere berichten willen versturen. Het succes van zo'n programma wordt dan vooral afgemeten aan de vraag hoe overtuigend de eigen phishingmail was.

De vraag of de medewerkers phishing daardoor ook echt beter leren herkennen, blijft daarbij onbeantwoord. Dit rapport zet op een rij wat het wetenschappelijk onderzoek hierover laat zien, en welke aanpak daaruit volgt.

01 · BevindingHet klikpercentage meet niet wat het lijkt te meten

Een dalend klikpercentage wordt al snel uitgelegd als bewijs dat de medewerkers beter zijn geworden. Een grootschalige reproductiestudie laat echter zien dat vooral de moeilijkheidsgraad van de phishingmail het klikgedrag bepaalt (Rozema en Davis, 2025). Gemeten met de Phish Scale van NIST liep het klikpercentage op van ongeveer 7 procent bij de makkelijke berichten naar ongeveer 15 procent bij de moeilijke. Een moeilijkere simulatie die meer mensen vangt, laat dus in de eerste plaats zien dat het bericht moeilijker was, en niet dat de medewerkers slechter zijn geworden.

Daar komt bij dat in de grootste studie tot nu toe het aandeel medewerkers dat in de berichten trapte, in de loop van de tijd juist toenam in plaats van afnam. Het ging om een onderzoek waarin de deelnemers willekeurig werden ingedeeld, een zogeheten gerandomiseerde gecontroleerde studie, onder ruim 19.500 medewerkers van UC San Diego Health (Ho e.a., 2025). Herhaalde simulaties kunnen de medewerkers leren om de testmails te herkennen, zonder dat zij daardoor ook de echte, nieuwe phishing beter herkennen. Precies daar zit de kern van het probleem: het herkennen van een testmail is iets anders dan het herkennen van echte phishing.

02 · BevindingVan kennis naar gedrag: het ontwerp geeft de doorslag

Training verhoogt aantoonbaar de kennis en de houding van medewerkers. Dat blijkt sterk uit de meta-analyse van 69 onderzoeken door de Universiteit Leiden (Prümmer, van Steen en van den Berg, 2024): het effect op kennis en houding is groot. Op het feitelijke gedrag is het gemiddelde effect echter klein. Dat verschil is geen toeval, maar een bekend gegeven uit de gedragswetenschap: kennis is een voorwaarde voor veilig gedrag, maar op zichzelf niet genoeg. Het Behaviour Change Wheel laat zien dat naast kennis ook motivatie en de gelegenheid om het goede te doen nodig zijn (Michie, van Stralen en West, 2011).

Het gemiddelde verbergt bovendien grote verschillen, en die zitten vooral in het ontwerp van de training. Voorlichting waarin alleen informatie wordt verspreid, verandert weinig (Bada, Sasse en Nurse, 2015). Training die actief, herhaald en op de persoon afgestemd is, doet daarentegen wel iets met gedrag. In een gecontroleerd experiment verbeterde een spelvorm niet alleen de houding en de intentie, maar ook het gerapporteerde gedrag, vergeleken met een spel zonder beveiligingsinhoud (van Steen en Deeleman, 2021). De conclusie is dus niet dat training niet werkt, maar dat de vorm bepaalt of kennis ook in gedrag wordt omgezet.

03 · VerklaringPhishing is een aandachtsprobleem, geen kennisprobleem

De verklaring waarom meer kennis niet altijd helpt, komt uit twee studies van een onderzoeksgroep van de ETH Zürich. In hun grootste experiment, dat vijftien maanden duurde en bijna 15.000 medewerkers omvatte, bleek dat de ingebedde training de medewerkers niet weerbaarder maakte en in sommige gevallen zelfs een averechts effect had. Met die ingebedde training bedoelen we de korte uitleg die iemand te zien krijgt nadat hij of zij op een testmail heeft geklikt (Lain, Kostiainen en Čapkun, 2022). In het vervolgonderzoek, dat werd bekroond op de ACM-conferentie over computer- en communicatiebeveiliging, onderzochten de auteurs waar dat kleine effect dan vandaan kwam (Lain e.a., 2024). De conclusie was ontnuchterend: het effect kwam voort uit de periodieke herinnering aan de dreiging, en niet uit de inhoud van die korte uitleg, die door de meeste medewerkers nauwelijks werd gelezen.

Dit inzicht verandert de hele aanpak. Als het probleem niet is dat de medewerkers te weinig weten, maar dat zij op het verkeerde moment even niet opletten, dan heeft het weinig zin om hun nog meer kennis bij te brengen. Iemand die op zo'n moment is afgeleid, herkent ook een goede phishingmail niet, hoeveel modules hij of zij ook heeft doorlopen. De oplossing ligt daarom minder bij de oplettendheid van de individuele medewerker, en meer bij de technische omgeving en de werkwijze daaromheen. Daarmee bedoelen we systemen die een fout opvangen voordat die schade veroorzaakt, en processen die een verdacht bericht snel laten melden en onschadelijk maken.

04 · AanpakEen andere aanpak: gelaagd en op bewijs gebaseerd

Wanneer de waakzaamheid en de kennis van de medewerker niet de doorslaggevende factoren zijn, wijst het onderzoek op een gelaagde aanpak. Het idee daarachter is om de aanval te laten falen voordat een vergissing schade kan veroorzaken, en om de menselijke oplettendheid te beschouwen als de dunste en laatste laag in plaats van als de eerste verdediging.

1. Maak de aanval technisch onmogelijk.Phishing-bestendige authenticatie, zoals FIDO2 of WebAuthn en sleutels op basis van PKI, bindt de inlog aan het echte domein. Een nepsite krijgt daardoor geen geldig antwoord, ongeacht wie erop klikt. NIST plaatst deze vorm op het hoogste betrouwbaarheidsniveau en CISA noemt haar de norm (NIST SP 800-63B; CISA, 2022).
2. Laat minder phishingmails aankomen en waarschuw bij de rest.Maatregelen tegen het vervalsen van afzenders (DMARC, DKIM en SPF), filtering en waarschuwingen op verdachte e-mail ontlasten de aandacht van de medewerker. De studie van de ETH liet zien dat zulke waarschuwingen goed werken (Lain e.a., 2022).
3. Gebruik de medewerkers als collectieve sensor.Een meldknop maakt van de medewerkers samen een detectielaag die nieuwe campagnes snel zichtbaar maakt (Lain e.a., 2022). Phishingsimulaties zijn bij uitstek geschikt om die meldreflex in te oefenen, mits je stuurt op het meldpercentage en op de tijd tussen zien en melden, en niet op het klikpercentage.
4. Ontwerp de training voor gedrag in plaats van voor kennis.Korte, herhaalde en op de context afgestemde herinneringen werken beter dan lange cursussen, en interactieve en speelse vormen hebben een groter effect op het gedrag (Prümmer, van Steen en van den Berg, 2024). Effectieve training is bovendien doorlopend en op de medewerker afgestemd, in plaats van eenmalig en algemeen (Jampen e.a., 2020).
5. Beperk de schade als het toch misgaat.Ga ervan uit dat sommige klikken zullen slagen, en zorg met minimale rechten, segmentatie, bewaking en een snelle respons dat één vergissing niet uitgroeit tot een volledige inbraak.

Tot slot een punt over het meten. De onderzoekers achter het grootste experiment pleiten ervoor om, net als in medisch onderzoek, met willekeurige toewijzing te meten welke maatregel het meeste risico wegneemt, in plaats van te sturen op klikcijfers of op de moeilijkheid van de eigen phishingmail (Ho e.a., 2025). De vraag is dus niet hoe overtuigend je een nepbericht kunt maken, maar hoeveel werkelijke weerbaarheid een maatregel oplevert per geïnvesteerde euro.

05 · ConclusieNiet meer en moeilijker, maar anders

Phishingsimulaties maken de medewerkers op zichzelf niet aantoonbaar beter in het herkennen van phishing, en het opvoeren van de moeilijkheidsgraad verschuift de aandacht naar de verkeerde maatstaf. Het wetenschappelijk onderzoek wijst niet op meer of moeilijkere simulaties, maar op een gelaagde aanpak. Die aanpak laat de aanval technisch falen, detecteert hem snel door het melden, en ondersteunt het gedrag met goed ontworpen, herhaalde en actieve training in plaats van met passieve kennisoverdracht. Training en simulaties houden daarbinnen een duidelijke rol, zolang zij op gedrag zijn gericht en niet uitgroeien tot een wapenwedloop met de eigen medewerkers.