1 november 2026 · 12 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Een phishing campagne opzetten: stappenplan voor een geautoriseerde interne test, van mandaat tot directierapport
Een phishing campagne tegen uw eigen organisatie is een van de weinige securitytests waarvan het grootste risico niet technisch is, maar menselijk: wie de ethiek, de juridische basis of de nazorg verkeerd aanpakt, verliest het vertrouwen dat medewerkers laat melden. Deze gids zet de beslissingen en maatregelen in volgorde op een rij voor een organisatie die zelf een phishing campagne wil opzetten, en benoemt waar een managed aanpak verstandiger is.
Wat een interne phishing campagne is, en de regel die haar bepaalt
Een interne phishing campagne, ook wel phishing simulatiecampagne, is een geautoriseerde oefening waarin een organisatie realistische maar onschadelijke phishingberichten naar haar eigen medewerkers stuurt om te meten hoe zij reageren en om hen op dat moment iets te leren. Zij is alleen rechtmatig en passend wanneer de organisatie haar zelf opdraagt, wanneer de juridische basis en de verplichtingen richting medezeggenschap zijn geregeld, en wanneer het doel meten en leren is, niet straffen.
Die laatste zin is de regel die alles bepaalt. Elke ontwerpkeuze hieronder, van de pretext tot de landingspagina tot de slide voor de directie, volgt eruit. Een phishing campagne die is gebouwd om mensen te betrappen, levert verzwegen kliks, wrok en een meldpercentage dat instort. Een campagne die is gebouwd om te leren, levert meldingen op, en meldingen zijn het gedrag dat echte aanvallen stopt. Kan de opdrachtgever zich niet aan die regel verbinden, zet de campagne dan niet op.
Deze gids is bedoeld voor het team dat de campagne zelf uitvoert, of dat wil begrijpen wat een managed leverancier namens hen hoort te doen. Voor het trainingsprogramma rondom de campagne verwijzen wij naar onze gids over phishing training; voor de phishingvarianten die u wilt simuleren, legt onze gratis awarenessbibliotheek elke variant uit.
Voordat u iets verstuurt: mandaat, AVG, HR en de ondernemingsraad
De meeste mislukte campagnes zijn al mislukt vóór de eerste e-mail. Regel deze punten schriftelijk.
- Een schriftelijk mandaat van een opdrachtgever op directieniveau, met daarin het doel, de populatie binnen de scope, de periode, wie individuele resultaten mag zien en wie niet.
- Een grondslag onder de AVG, doorgaans het gerechtvaardigd belang (artikel 6 lid 1 onder f), vastgelegd in een belangenafweging, en een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35) wanneer de campagne het gedrag van medewerkers stelselmatig volgt. Registreer gebeurtenissen (afgeleverd, geklikt, gemeld), nooit berichtinhoud of wachtwoorden, en bepaal een bewaartermijn in maanden.
- Instemming van de ondernemingsraad waar vereist. Artikel 27 lid 1 onder l van de Wet op de ondernemingsraden geeft de OR instemmingsrecht bij regelingen voor voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van medewerkers; een campagne die vastlegt wie klikte, valt daaronder.
- Een afspraak met HR dat resultaten nooit in personeelsdossiers terechtkomen, nooit worden gebruikt in beoordelingen of disciplinaire trajecten, en dat herhaalde klikkers coaching krijgen, geen sancties. Maak die afspraak bekend aan medewerkers vóór het programma start.
- Een communicatieplan: kondig het programma aan (niet de afzonderlijke campagnes), leg het doel uit, laat de meldknop zien en noem het aanspreekpunt voor vragen.
- Briefings voor de servicedesk en, afhankelijk van het doel, het SOC of de MDR-leverancier. Test u ook de detectie, informeer het SOC dan achteraf, en zorg dat iemand met bevoegdheid hen kan terugroepen als de campagne voor een echte aanval wordt gehouden.
- Uitsluitingen: medewerkers met verlof, nieuwe medewerkers in hun eerste dagen, mensen in een lopend HR-traject en externe inhuur, tenzij hun contract en de grondslag hen dekken.
Liever de campagne uit handen geven?
Een phishing campagne opzetten in 10 stappen
In volgorde. Een stap overslaan bespaart zelden tijd; het kost meestal een latere campagne.
1. Bepaal het doel en de meetwaarde
Bepaal waarvoor de campagne dient: een nulmeting, een meting van een specifieke groep, een test van de meldroute of een controle van de detectie. Schrijf de meetwaarde op die het antwoord geeft (meldpercentage, tijd tot eerste melding, ingevoerde inloggegevens) vóór u een lokbericht kiest.
2. Regel het mandaat en de juridische basis
Alles uit de checklist hierboven, ondertekend, inclusief de afspraak met HR en de ondernemingsraad over hoe resultaten worden geaggregeerd en wie wat te zien krijgt.
3. Voer een nulmeting uit
De eerste campagne meet waar u begint. Gebruik een lokbericht van gemiddelde moeilijkheid dat representatief is voor wat uw sector werkelijk ontvangt, stuur het naar een statistisch betekenisvolle steekproef of de hele populatie, en weersta de neiging eerst te trainen. U heeft het onbehandelde cijfer nodig.
4. Kies scope en segmentering
Bepaal of u iedereen tegelijk benadert, per afdeling of in golven. Golven verkleinen de kans dat één persoon in de eerste vijf minuten het hele kantoor waarschuwt en de meting verstoort. Segmenteer resultaten naar rol, nooit naar individu, in elk rapport dat het securityteam verlaat.
5. Ontwerp de pretext binnen de ethische grens
De pretext is het verhaal dat het lokbericht vertelt. Het hoort te spiegelen wat aanvallers werkelijk tegen organisaties als de uwe inzetten: een gedeeld document, een melding dat een wachtwoord verloopt, een pakket, een leveranciersfactuur, een Teams-bericht, een voicemailnotificatie. De paragraaf over ethiek hieronder trekt de grenzen.
6. Stel het moeilijkheidsniveau vast
Bepaal hoeveel signalen u laat staan voor de ontvanger om op te merken, en leg het niveau vast bij de resultaten. Moeilijkheid is de variabele die klikpercentages tussen campagnes vergelijkbaar maakt.
7. Bouw de landingspagina en het leermoment
Wat er na de klik gebeurt, bepaalt of de campagne leert of alleen telt. Ontwerp de pagina vóór het lokbericht.
8. Bereid de verzendinfrastructuur en allow-listing voor
Op conceptniveau: een verzenddomein dat de organisatie beheert, e-mailauthenticatie zo ingericht dat u mensen test en geen filters, een gedocumenteerde en in tijd begrensde uitzondering in de e-mailgateway, en meting die menselijke kliks onderscheidt van beveiligingstools die links automatisch openen.
9. Verstuur, volg, beoordeel
Verstuur in het afgesproken venster, volg de meldwachtrij in realtime, beantwoord melders snel en sta klaar om de campagne te stoppen als er iets onverwachts gebeurt, zoals een echte campagne die op hetzelfde moment binnenkomt.
10. Meet, rapporteer, herhaal
Vergelijk met de nulmeting op hetzelfde moeilijkheidsniveau, schrijf het directierapport, maak van de lokberichten die werkten de trainingsinhoud van het volgende kwartaal en plan de volgende campagne. Eén campagne is een meetpunt; een programma is een trend.
Moeilijkheidsniveaus: van opzichtig tot gericht
Leg het niveau bij elke campagne vast. Een klikpercentage zonder moeilijkheidsniveau is een getal zonder noemer.
Niveau 1: generiek
Een breed lokbericht met meerdere signalen erin gelaten: een onbekende afzender, een algemene aanhef, een vaag verzoek, een link naar een onsamenhangend domein. Nuttig voor onboardinggroepen en als ondergrensmeting. De meeste organisaties horen dit niveau binnen twee campagnes achter zich te laten.
Niveau 2: merkgebonden
Een overtuigende imitatie van een dienst die de organisatie werkelijk gebruikt: een melding van een gedeeld document, een verlopend wachtwoord, een pakketbericht. Juiste logo's, plausibele afzendernaam, een of twee signalen die blijven staan (het linkdomein, de timing). Het werkpaard voor de meeste kwartaalcampagnes.
Niveau 3: contextueel
Gebouwd op openbare informatie over de organisatie: een project uit een persbericht, een congres dat het team bezoekt, een leverancier die op de website staat, het jaarlijkse klantevenement. Er blijven weinig signalen over; dit niveau test verificatiegewoonten in plaats van herkenning.
Niveau 4: gericht (spear phishing)
Gericht op een specifieke rol of kleine groep, met verwijzingen naar echte collega's of lopend werk, soms gecombineerd met een telefoontje of sms. Realistisch voor bestuurders, finance en beheerders, en alleen met uitdrukkelijke goedkeuring van de opdrachtgever en toestemming van iedereen die wordt geïmiteerd. Onze awarenessmodule over spear phishing beschrijft de kant van de aanvaller; dit niveau reproduceert die onder controle.
Ethiek van de pretext: wat u mag gebruiken, en wat nooit
Een pretext is aanvaardbaar wanneer hij een echte dreiging spiegelt en wanneer erin geloven de ontvanger niets kost behalve een les. IT-meldingen, gedeelde documenten, leveranciersfacturen, pakketberichten, agenda-uitnodigingen, Teams- of Slack-berichten, MFA-prompts en klantvragen voldoen daaraan. Een echt extern merk imiteren is gangbaar, maar houd de imitatie algemeen genoeg om merkenrechtelijke klachten te vermijden en host haar nooit op een domein dat voor dat van het merk kan worden gehouden.
Sommige pretexten slagen niet voor die toets, hoe realistisch zij ook zijn, omdat de misleiding zelf schade veroorzaakt. Gebruik geen bonussen, loonsverhogingen, salariswijzigingen, ontslagen, reorganisaties of boventalligheid. Gebruik geen gezondheid, overlijden, familienoodgevallen, rampen of goededoelenacties. Imiteer niet de ondernemingsraad, de vertrouwenspersoon, HR in een vertrouwelijke rol of de bedrijfsarts. Imiteer niet de politie, de Belastingdienst of andere overheidsinstanties, want dat brengt eigen juridische risico's mee. Verschillende organisaties hebben dit in het openbaar geleerd: campagnes die bonussen beloofden tijdens een loonstop haalden de krant en kostten het securityteam zijn geloofwaardigheid.
Een echte collega imiteren vereist de schriftelijke toestemming van die collega vóór de campagne. Een echte leverancier imiteren vereist ten minste dat de leverancier achteraf wordt geïnformeerd. Vraag u bij twijfel af of u de pretext met een gerust hart zou uitleggen aan de ondernemingsraad, de privacyfunctionaris en de medewerker die erin geloofde, alle drie in dezelfde vergadering.
De landingspagina en het leermoment
De landingspagina is waar de phishing campagne haar waarde bewijst. Standaard registreert zij de klik en niets meer; valt het invoeren van inloggegevens binnen de scope, dan registreert de pagina dat er iets is ingevoerd en gooit zij de invoer onmiddellijk weg, zonder het wachtwoord ooit op te slaan of door te sturen. De pagina moet werken op mobiel, in elke taal die de organisatie gebruikt en binnen de toegankelijkheidsnormen van de organisatie.
Het leermoment is de inhoud die verschijnt op het moment dat iemand klikt of iets invoert: een duidelijke mededeling dat dit een geautoriseerde simulatie was, de twee of drie signalen die het hadden verraden (gemarkeerd op een schermafbeelding van het echte lokbericht), een uitleg van zestig seconden over wat de echte versie zou hebben gedaan, en de meldknop met de uitnodiging die de volgende keer te gebruiken. De toon is zakelijk en respectvol: geen aftelklokken, geen rode waarschuwingsbanners, geen 'u bent gephisht' in hoofdletters. De ontvanger moet weggaan met de kennis waarop hij moet letten en met het gevoel dat melden de verwachte volgende stap is, niet dat hij is betrapt.
Koppel het leermoment aan een korte module in plaats van een cursus van veertig minuten. De phishingmodules in onze gratis awarenessbibliotheek zijn precies hiervoor gebouwd: één techniek, één pagina, één toets, geen login.
Verzendinfrastructuur en allow-listing, op conceptniveau
Een simulatie die door uw eigen e-mailfilter wordt tegengehouden, meet het filter, niet de mensen. Tenzij het testen van het filter het uitgesproken doel is, moet de e-mail aankomen, en dat betekent dat enkele infrastructuurkeuzes bewust moeten worden gemaakt in plaats van met vallen en opstaan.
Gebruik verzenddomeinen die de organisatie of haar leverancier bezit en beheert, met e-mailauthenticatie (SPF, DKIM en DMARC) zo ingericht dat de berichten op eigen kracht worden afgeleverd in plaats van via brede filteruitzonderingen. Heeft de e-mailgateway toch een uitzondering nodig, maak die dan specifiek (een header, een reeks verzendadressen), begrensd tot het campagnevenster, vastgelegd in het wijzigingsregister en achteraf verwijderd. Een permanente allow-list voor een simulatiedomein is een echte kwetsbaarheid die wacht tot een echte aanvaller haar vindt.
Houd rekening met geautomatiseerde linkbezoekers. Beveiligingstools die links vooraf ophalen of in een sandbox openen, registreren als klik en vertekenen het resultaat; gebruik meting die de browser van een medewerker onderscheidt van een scanner, en leg de cijfers naast de gatewaylogs. Voeg een herkenbare header toe zodat het SOC simulatieverkeer achteraf kan herkennen.
Wat u meet, per campagne en over het jaar
Het klikpercentage is het cijfer waar iedereen om vraagt en op zichzelf het minst informatieve. Rapporteer deze cijfers samen, altijd met het moeilijkheidsniveau erbij.
- Meldpercentage: het aandeel ontvangers dat het lokbericht meldde, al dan niet na een klik. Dit is het gedrag waarvoor het programma bestaat.
- Tijd tot eerste melding: minuten tussen aflevering en de eerste melding. Het zegt of het SOC een echte campagne had kunnen indammen.
- Klikpercentage, gelezen naast het moeilijkheidsniveau en alleen vergeleken met campagnes op hetzelfde niveau.
- Percentage ingevoerde inloggegevens, waar binnen de scope: de echte impactmaat, omdat een klik ruis is en een ingevoerd wachtwoord een incident.
- Herhaalde klikkers over campagnes heen, binnen het securityteam gehouden als coachinglijst, nooit als sanctielijst.
- Programmacijfers: campagnes per jaar, aandeel medewerkers dat een leermoment heeft gehad, en de trend van het meldpercentage over vier of meer campagnes.
Rapporteren aan de directie
Bestuurders hebben geen dashboard met kliks nodig. Zij hebben één pagina nodig: wat is getest, op welk moeilijkheidsniveau, wat het meldpercentage en de tijd tot eerste melding waren, hoe beide zich ontwikkelen ten opzichte van de nulmeting en de vorige campagne, welke groepen aandacht nodig hebben en wat het programma volgend kwartaal doet. Presenteer alleen geaggregeerde cijfers. Noem geen individuen. Vertaal de cijfers naar risicotaal: 'de eerste melding kwam vier minuten na aflevering binnen, dus een echte campagne van dit type had het SOC bereikt voordat de meeste ontvangers hun mail hadden geopend'.
Onder NIS2 maakt artikel 20 bestuursorganen verantwoordelijk voor het goedkeuren van en toezien op de maatregelen voor cyberbeveiligingsrisicobeheer en verplicht het hen zelf opleidingen te volgen. Een rapport over het phishingprogramma is een van de weinige terugkerende securitydocumenten die een directie zonder vertaling kan lezen, wat het een bruikbaar anker maakt voor dat toezicht. De trainingsverplichting van DORA artikel 13 lid 6 voor financiële entiteiten, inclusief het hoger management, kan op dezelfde manier worden aangetoond.
Wat u niet doet
Elk van deze punten heeft ergens een programma beëindigd. Leg ze vóór de eerste campagne schriftelijk vast met HR.
- Geen schaamte: geen openbare lijsten, geen teamranglijsten waarin individuen herkenbaar zijn, geen 'wall of shame', geen klikkers noemen in een personeelsbijeenkomst.
- Geen pretexten over bonussen, loonsverhogingen, salaris, ontslag, reorganisaties of boventalligheid, en geen pretexten over gezondheid, overlijden, rampen of goede doelen.
- Geen resultaten in personeelsdossiers, beoordelingen of disciplinaire trajecten, en geen sancties voor klikken.
- Geen imitatie van echte collega's zonder hun schriftelijke toestemming, en geen imitatie van de ondernemingsraad, de vertrouwenspersoon, de bedrijfsarts, de politie of overheidsinstanties.
- Geen campagnes tijdens een lopend incident, een reorganisatie, een fusieaankondiging of een andere periode van echte spanning, wanneer een lokbericht het snelst voor echt wordt gehouden.
- Geen verzending buiten werktijd naar privéapparaten of privénummers; proportionaliteit onder de AVG en gewoon respect pleiten er beide tegen.
- Geen permanente allow-list voor het simulatiedomein in de e-mailgateway, en nooit opslag van inloggegevens op de landingspagina.
Zelf een phishing campagne opzetten of een managed campagne kiezen
Beide routes kunnen werken. Het verschil zit in waar de inspanning en het realisme vandaan komen.
| Aspect | Zelf opzetten | Managed campagne |
|---|---|---|
| Tooling | Een platformlicentie of een open-source simulatieframework, bediend door uw eigen team | Infrastructuur van de leverancier, door hen onderhouden en geauthenticeerd |
| Kwaliteit van de pretext | Hangt af van wie ze schrijft en hoe nauw die de actuele aanvallerstechnieken volgt | Gebouwd op de lokberichten die de leverancier in echte opdrachten en threat intelligence tegenkomt |
| Juridische, HR- en OR-voorbereiding | Hoe dan ook uw eigen werk; een platform doet het niet voor u | Door u goed te keuren; de leverancier brengt sjablonen mee voor het mandaat, de DPIA en de OR-aanvraag |
| Allow-listing en aflevering | Tijd van uw e-mailteam, en een blijvend risico als uitzonderingen blijven staan | Domeinen en authenticatie van de leverancier; uitzonderingen afgebakend en in overleg verwijderd |
| Bereik in moeilijkheid | Niveau 1 en 2 betrouwbaar; niveau 3 en 4 vragen onderzoekstijd die uw team mogelijk niet heeft | Alle vier de niveaus, inclusief vishing-, smishing- en QR-varianten, met threat intelligence achter de gerichte campagnes |
| Leermoment | Platformsjablonen, door u aangepast | Geschreven voor uw organisatie en gekoppeld aan uw trainingsinhoud |
| Rapportage | Platformdashboards; het verhaal voor de directie schrijft u zelf | Directieklaar rapport, benchmark in woorden en een debriefing met de opdrachtgever |
| Kostenlogica | Licentie per gebruiker plus interne tijd, meegroeiend met het personeelsbestand | Per campagne of per programma, gescopet op het doel; zie onze gids over phishing simulatie kosten |
| Geschikt voor | Organisaties met een volwassen securityteam, een vaste eigenaar en een stabiel platform | Organisaties die realisme en rapportage op directieniveau willen zonder de capaciteit zelf op te bouwen |
Hoe HackersHub managed phishing campagnes uitvoert
HackersHub voert phishing simulaties uit als managed opdracht. Onze testers scopen de campagne met uw opdrachtgever, juridische zaken en HR, brengen de sjablonen voor het mandaat en de OR-aanvraag mee, ontwerpen pretexten op basis van de technieken die wij in echte red team-operaties tegenkomen, beheren onze eigen geauthenticeerde verzendinfrastructuur, bouwen het leermoment rond uw meldproces en leveren een rapport dat voor de directie is geschreven. Vishing-, smishing- en QR-varianten zijn beschikbaar wanneer het doel erom vraagt. Elke opdracht wordt afzonderlijk gescopet; er is geen prijslijst.
Draait u uw eigen programma en wilt u een onafhankelijke ijking, dan is één managed campagne op niveau 3 of 4 tegen uw meest blootgestelde rollen een gebruikelijk startpunt. Bespreek met een practitioner wat uw doel nodig heeft.
Veelgestelde vragen
Gerelateerde gidsen en bronnen
- Phishing simulatie laten uitvoeren door HackersHub
- Phishing training voor medewerkers: wat werkt en hoe u het organiseert
- Security awareness training: zo bouwt u een programma
- Phishing simulatie kosten: prijsmodellen en kostenfactoren
- Gratis security-awarenessbibliotheek (zonder betaalmuur)
- Awarenessmodule: spear phishing
- Awarenessmodule: business email compromise (CEO-fraude)
- Social engineering test: vishing, pretexting en fysiek
Wilt u de campagne uit handen geven aan mensen die wekelijks echte phishing zien?
HackersHub scopet, autoriseert en voert phishing simulatiecampagnes uit samen met uw juridische en HR-teams, bouwt het leermoment in bij elke klik en rapporteert aan uw directie. Plan een gesprek.