1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Wat kost een phishing simulatie? De prijsmodellen, de kostenfactoren en hoe u twee offertes vergelijkt
Elke offerte voor een phishing simulatie is opgebouwd uit hetzelfde handjevol variabelen: hoe u betaalt, hoeveel mensen, hoeveel campagnes, welke kanalen en hoeveel er voor u wordt gedaan. Wie die variabelen ziet, leest elk voorstel en ziet wat ontbreekt. Deze gids legt de mechaniek uit; HackersHub offreert elke opdracht op scope en publiceert geen prijzen.
Phishing simulatie kosten in het kort
De opbouw van de prijs, zonder prijslijst. Zo is elke offerte op de markt samengesteld.
- Er bestaan drie prijsmodellen: een platformlicentie per gebruiker per jaar, een beheerde dienst per campagne, en een bundel van awareness training plus simulatie. De meeste offertes zijn een van deze drie met aanvullende opties.
- De factoren die het bedrag bewegen: aantal gebruikers, campagnes per jaar, talen, maatwerkvoorwendsels versus sjablonen, telefoon- en sms-kanalen, diepte van de rapportage, integratie met uw mailplatform en identity provider, en de onboarding.
- Wat er meestal buiten valt: lookalike-domeinen en landingspagina's, hulp bij allow-listing, voorbereiding met ondernemingsraad en jurist, de meldknop, debriefworkshops, awareness-inhoud en de tweede ronde die aantoont of er iets is veranderd.
- Vergelijk offertes op de schriftelijke scope, het aantal campagnes, de mensen bij naam die het werk doen, de gerapporteerde metrics (meldpercentage, niet alleen klikpercentage) en de uitsluitingen, nooit op het bedrag bovenaan.
- De kosten van niet testen beschrijven het Verizon Data Breach Investigations Report en het Britse National Cyber Security Centre in gelijkluidende termen: phishing en gestolen inloggegevens blijven tot de meest voorkomende toegangswegen behoren, en de eerste melding van een medewerker is vaak de vroegste detectie die een organisatie heeft.
- HackersHub publiceert geen prijzen. Elke phishing simulatie wordt in een kort gesprek gescopet en schriftelijk geoffreerd met het campagneplan, de kanalen, de lead tester bij naam en de opleveringen.
Waarom er geen vaste prijs voor een phishing simulatie bestaat
Vraag drie aanbieders wat een phishing simulatie kost en u krijgt een licentie per gebruiker, een vast bedrag per campagne en een bundel met een e-learningbibliotheek. Geen van de drie zit ernaast; ze verkopen verschillende dingen. Een platformlicentie verkoopt u software en sjablonen, en u voert de campagnes zelf uit. Een beheerde campagne verkoopt u het werk: ontwerp van het voorwendsel, infrastructuur, verzending, meting en debrief, uitgevoerd door mensen. Een bundel verkoopt u een trainingsprogramma waarin de simulatie het meetinstrument is. De eerste vraag bij elke vergelijking is dus niet hoeveel, maar welke van deze drie koop ik.
De tweede reden is dat de inspanning achter een simulatie sterker varieert dan de software. Een generieke lokmail die vanuit een sjabloon naar tweeduizend mailboxen gaat, kost een fractie van de inspanning van een gerichte spear-phishing-ronde op een financeteam, opgebouwd uit openbare bronnen, verzonden vanaf een geregistreerd lookalike-domein en gevolgd door een telefoontje van een tester die de leverancier speelt. Het eerste is een meting van de basisvatbaarheid. Het tweede is een repetitie van de aanval die u het meest waarschijnlijk geld kost. Ze kosten niet hetzelfde en horen niet hetzelfde geoffreerd te worden.
De drie prijsmodellen vergeleken
Elk model past bij een andere situatie. Gemengde modellen (een licentie plus een beheerde campagne voor de directie, bijvoorbeeld) zijn gangbaar en volkomen redelijk.
| Model | Hoe u betaalt | Past wanneer | Let op |
|---|---|---|---|
| Per gebruiker per jaar (platformlicentie) | Gestaffelde prijs per mailbox, jaarlijks gefactureerd, meestal in volumebanden | U heeft een intern team om campagnes te draaien, veel medewerkers en behoefte aan doorlopend testen met lage intensiteit | Groei van het personeelsbestand verhoogt de rekening; sjablonen worden met elke andere klant gedeeld en herkend; uw team draagt het juridische en infrastructurele werk |
| Per campagne (beheerde dienst) | Vast bedrag per campagne of ronde, gescopet op doelgroep, kanalen en moeilijkheid | U wilt realistische, gerichte scenario's uitgevoerd door testers, een geloofwaardige nulmeting en geen infrastructuur om te onderhouden | Minder contactmomenten per jaar tenzij u meerdere rondes koopt; controleer of debrief en meldknop in de scope zitten |
| Bundel van awareness plus simulatie | Jaarlijks programmabedrag voor inhoud, toewijzing, simulaties en rapportage | U heeft een auditeerbaar programma nodig voor NIS2, ISO 27001 of DORA en wilt één leverancier die verantwoordelijk is voor de metrics | De simulatie kan een afvinkpunt binnen de bundel worden; controleer wie de voorwendsels ontwerpt en of de moeilijkheid over tijd stijgt |
De acht kostenfactoren
Elke offerte is een combinatie van deze factoren. Zegt een voorstel niet waar het op elk punt staat, vraag het dan voordat u het met een ander vergelijkt.
1. Aantal gebruikers en doelgroepen
Licenties schalen met het aantal mailboxen. Beheerde campagnes schalen minder met het personeelsbestand en meer met het aantal afzonderlijke doelgroepen: een financeronde, een directieronde en een nulmeting voor iedereen zijn drie scenario's, niet één.
2. Campagnes per jaar en ritme
Eén nulmeting zegt waar u staat; een kwartaal- of maandritme zegt of training werkt. Meer rondes kosten meer, maar de tweede ronde levert de trend op, en een trend is wat directie en auditor willen zien.
3. Talen en regio's
Nederlands en Engels zijn standaard. Elke extra taal vraagt voorwendsels en landingspagina's van moedertaalkwaliteit, en soms aparte verzendinfrastructuur en afspraken over dataopslag voor de verzamelde resultaten.
4. Maatwerkvoorwendsels versus sjablonen
Een sjabloonlokmail kost bijna niets en wordt herkend door iedereen die hem bij een vorige werkgever heeft gezien. Een voorwendsel gebouwd op uw leveranciers, uw tooling en uw aankondigingen vraagt onderzoek en ontwerptijd, en is het enige type dat lijkt op de aanval die u werkelijk ontvangt.
5. Telefoon-, sms- en QR-kanalen
Vishing-gesprekken worden live gevoerd door een tester en per gespreksblok geprijsd. Smishing vraagt verzendnummers en toestemmingsafhandeling. QR en fysieke drops vragen ontwerp en logistiek. Elk kanaal is een optie omdat elk kanaal echt werk is, geen aankruisvakje.
6. Diepte van de rapportage
Een dashboardexport kost minuten. Een rapport dat klik, ingevulde inloggegevens en meldpercentage per afdeling scheidt, het resultaat koppelt aan uw risicoregister en de directie drie besluiten voorlegt, vraagt analistentijd. Vraag welke van de twee u koopt.
7. Integratie
Single sign-on en gebruikersprovisioning vanuit uw identity provider, een meldknop in Outlook of Gmail, doorsturen van meldingen naar uw SOC-tooling. Integratie bespaart elke campagne handwerk, maar kost inspanning bij onboarding, en sommige leveranciers prijzen het apart.
8. Onboarding, infrastructuur en allow-listing
Lookalike-domeinen registreren, verzendinfrastructuur opwarmen, allow-lists instellen zodat het mailfilter de oefening niet stilzwijgend opslokt, en de afspraken over gegevensbescherming en ondernemingsraad vastleggen. Onzichtbaar als het goed gaat, en de gebruikelijke reden dat een eerste campagne vertraagt als het niet goed gaat.
Wat er meestal niet bij zit
Het verschil tussen twee offertes zit vaak in de uitsluitingen, niet in het bedrag bovenaan. Leg elk voorstel langs deze punten.
- Registratie van lookalike-domeinen en hosting van landingspagina's, of het recht om uw eigen domein voor de oefening te gebruiken
- Allow-listing en mailflow-ondersteuning bij uw e-mailbeveiligingsleverancier
- Juridische voorbereiding en afstemming met de ondernemingsraad: verwerkersovereenkomst, bewaartermijn, no-blame-beleid
- Een meldknop voor de mailclient en een triageproces voor wat er binnenkomt
- Het leermoment: de landingspagina na een klik en de vervolginhoud
- Debriefworkshops voor risicogroepen en een terugkoppeling op directieniveau
- Awareness-inhoud tussen campagnes door, tenzij u een bundel koopt
- Een tweede ronde of hertest om te bevestigen of gedrag is veranderd
- Telefoon-, sms-, QR- en locatiecomponenten naast e-mail
Inspanning per campagnetype
De relatieve inspanning achter gangbare scenario's. Inspanning, geen geld: vermenigvuldig met het dagtarief of de licentieband van de aanbieder om een offerte te toetsen.
| Campagnetype | Relatieve inspanning | Wat het beweegt |
|---|---|---|
| Nulmeting voor iedereen vanuit een sjabloon | Laag | Personeelsomvang, allow-listing, diepte van rapportage |
| Nulmeting voor iedereen met maatwerkvoorwendsel en landingspagina | Laag tot middel | Onderzoek naar uw organisatie, lookalike-domein, leerpagina |
| Gerichte spear-phishing-ronde (finance, HR, directiesecretariaat) | Middel | Onderzoek in openbare bronnen per groep, meerdere voorwendsels, timing |
| CEO-fraudescenario met verzoek tot wijziging van betaalgegevens | Middel tot hoog | Imitatie van leverancier, realisme van de gekaapte mailthread, afstemming met de financiële leiding |
| Vishing-blok op servicedesk of finance | Middel tot hoog | Aantal gesprekken, live testertijd, scripts en toestemmingsafhandeling |
| Meerkanaalscampagne (e-mail, telefoon, sms, QR) zoals een aanvaller het zou doen | Hoog | Scenario-ontwerp, infrastructuur per kanaal, afstemming met het SOC, volledige debrief |
Hoe u twee offertes vergelijkt die in niets op elkaar lijken
Leg beide voorstellen langs dezelfde vragen. Prijsverschillen komen vrijwel altijd uit een verschil op een van deze punten.
- Welk prijsmodel is dit: licentie, beheerde campagne of bundel, en wat gebeurt er met de prijs als het personeelsbestand verandert
- Hoeveel campagnes of rondes per jaar, op welke doelgroepen, op welke moeilijkheidsniveaus
- Wie ontwerpt de voorwendsels en wie voert de campagne uit: testers bij naam of een sjabloonmachine
- Welke kanalen zijn inbegrepen: alleen e-mail, of ook telefoon, sms, QR en locatie
- Welke metrics worden gerapporteerd: alleen klikpercentage, of klik, ingevulde inloggegevens, meldpercentage en tijd tot eerste melding, per afdeling
- Is het leermoment inbegrepen, en is er een meldknop en een triageproces
- Wie regelt allow-listing, domeinen, gegevensbescherming en de ondernemingsraad, en zit die tijd in de prijs
- Is een debrief inbegrepen, voor wie, en zegt het voorstel wat er gebeurt met de herhaalde klikkers
- Is er een tweede ronde, en daalt de prijs per ronde zodra de onboarding is gedaan
De kosten van niet testen
Het Verizon Data Breach Investigations Report plaatst jaar na jaar phishing en het gebruik van gestolen inloggegevens onder de meest voorkomende eerste stappen in bevestigde inbreuken, en schrijft het merendeel van de inbreuken minstens deels toe aan een menselijke factor. Het Britse National Cyber Security Centre beschrijft in zijn richtlijn over phishingverdediging een gelaagde verdediging waarin getrainde gebruikers die snel melden een van de lagen vormen, naast filtering, geharde accounts en detectie, en merkt op dat de eigen gebruikers vaak de eersten zijn die een campagne opmerken die technische maatregelen hebben gemist. Geen van beide bronnen geeft u een prijs; beide beschrijven waar het geld heen gaat als niemand de aanval heeft geoefend.
In de praktijk komt de rekening voor een ongeteste organisatie binnen als een CEO-fraudebetaling die niet wordt teruggehaald, een accountovername die uitmondt in ransomware, of een datalek dat de meldplicht van 72 uur onder AVG artikel 33 in gang zet en, voor essentiële en belangrijke entiteiten, de vroegtijdige waarschuwing binnen 24 uur onder NIS2 artikel 23. Incident response, forensisch onderzoek, juridisch advies, klantcommunicatie, correspondentie met toezichthouders en managementtijd volgen. Een phishing simulatie voorkomt dat niet allemaal. Zij vertelt u, voordat de echte aanval het doet, welke groep zou hebben geklikt, wie inloggegevens zou hebben ingevuld en of iemand op tijd zou hebben gemeld om het securityteam te laten handelen.
Waar het geld verloren gaat, en waar niet
De dure fout is niet een hoge prijs per campagne. Het is betalen voor campagnes die niets leren: een sjabloonlokmail die iedereen herkent, een klikpercentage zonder meldpercentage, een licentie die twaalf identieke rondes draait terwijl het financeteam nooit wordt getest met het scenario dat hen werkelijk bedreigt. De tweede dure fout is het omgekeerde: een laaggeprijsde tool gekocht om een auditor tevreden te stellen, eenmaal gedraaid, met resultaten waar niemand iets mee doet, zodat de oefening volgend jaar van voren af aan begint.
Geld besteed aan een realistisch voorwendsel voor de groepen met betaal- of beheerbevoegdheid, aan de meldknop en de triage erachter, en aan een debrief die een procedure verandert, is het deel van de uitgaven dat waarde teruggeeft. Daar zet HackersHub de uren in.
Hoe HackersHub een phishing simulatie offreert
Wij publiceren geen prijzen omdat wij geen vast product verkopen. Een kort scopinggesprek stelt vast wie getest moet worden, op welke scenario's, via welke kanalen en hoe vaak, en of de oefening op zichzelf staat of een awareness-programma meet. U ontvangt een schriftelijke scope met het campagneplan, de kanalen, de lead tester bij naam, de metrics die wij rapporteren en wat er is inbegrepen aan onboarding, juridische voorbereiding en debrief. Onze testers hebben minimaal OSCP, met OSWE- en CREST-gecertificeerde testers in het team, en een beoordeling van 4,9/5 over 127 reviews. Vergelijk de scope regel voor regel met elk ander voorstel; daar is hij voor.
Veelgestelde vragen
Verder lezen
- Phishing simulatie laten uitvoeren door HackersHub
- Een phishing campagne opzetten, stap voor stap
- Phishing training voor medewerkers: wat werkt
- Security awareness training: wat werkt in 2026
- CEO-fraude en business email compromise uitgelegd (gratis awareness bibliotheek)
- Wat kost een pentest? Pentest kosten in 2026
- Social engineering testing: telefoon, sms en op locatie
- Penetratietest laten uitvoeren door HackersHub
Een offerte voor een phishing simulatie die u regel voor regel kunt vergelijken?
Een scopinggesprek van 20 minuten levert een schriftelijk campagneplan, de kanalen, de lead tester bij naam en de metrics die wij rapporteren. Geen prijslijst, geen verrassingen. Praat met een expert.