Phishing Simulatie Laten Uitvoeren, door Praktijkmensen, Niet door Platforms

Phishing simulatie opdrachten worden bij HackersHub per organisatie gescoopt, er is geen vaste prijslijst. De kosten hangen af van de omvang van uw organisatie, de kanalen in scope (e-mail, voice, SMS, OAuth), de diepte van het pretext-werk, de rapportage-eisen, en of het om een eenmalige opdracht of een doorlopend programma gaat. Een scoping-gesprek duurt doorgaans 30 minuten en levert binnen vijf werkdagen een vastomlijnd voorstel op.

Voor volwassen security-programma's zijn doorlopende kwartaalcampagnes de operationele baseline, sustained pressure-testing legt drift bloot, terwijl jaarlijkse momentopnames slechts één moment in de tijd valideren. Voor organisaties die eerder in hun programma staan, is een diepgaande eenmalige campagne gevolgd door een gestructureerde 90-daagse hertest het juiste startritme. Cadans hoort aan te sluiten op uw daadwerkelijke dreigingsblootstelling, niet op een generieke kalender.

Ja, mits correct gescoopt. Phishing simulatie tegen uw eigen medewerkers is in Nederland en de EU wettelijk toegestaan, mits er een gedocumenteerde juridische grondslag is (typisch werkgeversbelang of toestemming), de OR is geïnformeerd waar van toepassing onder de Wet op de Ondernemingsraden, de gegevensverwerking AVG-conform is, en er een schriftelijke rules-of-engagement-overeenkomst ligt. Wij regelen de juridische scoping als onderdeel van iedere opdracht, klanten hebben hiervoor geen eigen juridische afdeling nodig.

Het juiste antwoord hangt af van uw doelstelling. Wilt u operationele respons testen, hoe snel de SOC een aanval detecteert en indamt, dan moeten medewerkers niet vooraf gewaarschuwd worden, omdat dit gedrag verandert. Voert u een awareness-interventie uit met meetbare gedragsverandering als doel, dan is brede vooraankondiging van het programma (niet van specifieke campagnes) op zijn plaats. Wij helpen klanten tijdens de scoping de juiste positie te kiezen met OR en HR.

Awareness-platforms leveren templates op schaal, het model is hoog-volume, lage-fideliteit simulatie tegen generieke lures. HackersHub voert maatwerk-offensieve opdrachten uit, gebouwd op actuele tradecraft van dreigingsactoren, uitgevoerd door senior praktijkmensen, gescoopt per omgeving. Platforms beantwoorden de vraag: welk percentage van onze medewerkers klikte vorige maand op een generieke lure? Wij beantwoorden: zou uw finance-team geld overmaken naar een gisteren geregistreerd domein na een telefoontje van een deepfake-CFO? Andere vraag, andere methodologie.

Phishing simulatie test de menselijke respons op social-engineering-aanvallen tegen een gedefinieerde populatie. Red teaming is een doelgerichte adversary simulation, typisch compromitteer dit asset of exfiltreer deze data binnen dit window, waarbij phishing vaak één van meerdere initial-access-vectoren is, naast infrastructuuraanvallen, fysieke intrusion en supply-chain-pivots. Wanneer een phishingprogramma volwassen is en de klikratio een stabiele baseline kent, is de logische volgende stap doorgaans doelgerichte red teaming.

Zes tot tien weken. Week één tot twee: scoping, threat-intelligence-werk, juridische en OR-afstemming. Week drie tot vier: pretext-ontwikkeling, infrastructuur-opbouw, interne aftekening. Week vijf tot zeven: campagne-uitvoering met gespreide verzending en multichannel-orchestratie. Week acht tot negen: analyse en rapportage. Week tien: debrief-workshop en remediatie-planning. Doorlopende programma's draaien op rollende kwartaalcycli binnen dezelfde structuur.

Klikratio alleen is misleidend. Wij meten vijf dimensies: meldratio (heeft iemand de lure gerapporteerd?), meldtijd (hoe snel?), credential-submissie-ratio, dwell time vóór disengagement, en SOC-detectielatentie. De interactie waar het ons het meest om gaat, is het melden, een organisatie die phishing binnen minuten meldt, is operationeel sterker dan een organisatie met een lage klikratio die niets meldt.

Ja. Voice phishing (vishing simulatie) en SMS-phishing (smishing simulatie) zijn in scope voor iedere opdracht waar de rules of engagement dit toelaten. Multichannel-campagnes, waarbij een e-maillure wordt opgevolgd door een telefoontje van een nummer dat overeenkomt met de schijnbare afzender, of waarbij een SMS vóór een e-mail aankomt om die te legitimeren, repliceren actuele tradecraft en zijn de meest realistische simulaties die wij draaien.

Op verzoek, ja. Sommige klanten willen hun SOC blind houden voor de opdracht, zodat wij ongevraagde detectie kunnen meten. Anderen willen de SOC op senior-niveau geïnformeerd, zodat de opdracht tegelijk dient als tabletop voor hun detection-and-response-playbooks. Beide vormen zijn legitiem; we leggen de positie vast tijdens scoping.