Phishing-e-mails met AI: hoe je door AI geschreven e-mails kunt controleren voordat je ze vertrouwt

Dankzij kunstmatige intelligentie is het een fluitje van een cent geworden om e-mails te schrijven die gepolijst, overtuigend en menselijk klinken. Het merendeel daarvan is legitiem. Een deel ervan is dat echter niet – en AI-phishingmails hebben stilletjes het herkenningspunt weggehaald waar de meeste mensen op zijn getraind om te letten.

Jarenlang werd werknemers in trainingen over beveiligingsbewustzijn geleerd om te letten op slechte grammatica, vreemde formuleringen en ongebruikelijke opmaak. Dat advies is achterhaald. Een aanvaller met een taalmodel kan in ongeveer vier seconden een bericht genereren dat lijkt alsof het van je CFO afkomstig is, in welke taal dan ook en in welke hoeveelheid dan ook.

Een e-mail beoordelen op basis van hoe goed hij geschreven is, werkt dus niet meer. Wat nog wel werkt, is twee dingen controleren: wat er in het bericht wordt gevraagd, en of de afzender daadwerkelijk is wie hij beweert te zijn.

Waarom phishingaanvallen met AI moeilijker te herkennen zijn

Traditionele phishing-e-mails verraadden zichzelf. Onhandige vertalingen, verkeerd gespelde merknamen, opmaak die halverwege het bericht in de war raakte. Dat waren de signalen die beveiligingsteams hun medewerkers bijbrachten, en lange tijd werkten die goed genoeg.

AI heeft ze verwijderd. Daarnaast heeft AI aanvallers drie mogelijkheden gegeven die ze voorheen niet op grote schaal hadden.

Toonregeling. Hetzelfde hulpmiddel kan schrijven vanuit het perspectief van een bank, een SaaS-leverancier, een HR-coördinator of een collega twee bureaus verderop, waarbij het de stijl en woordkeuze voor elk van hen aanpast.

Vloeiend in elke taal. Regio's die voorheen beschermd waren door de taalbarrière – omdat aanvallers simpelweg geen overtuigend Japans, Pools of Fins konden schrijven – zijn dat nu niet meer.

Massale personalisatie. Het scrapen van een LinkedIn-profiel, een bedrijfsblog en een persbericht, en vervolgens het genereren van een bericht waarin naar alle drie wordt verwezen, was vroeger handmatig werk dat was voorbehouden aan doelgroepen met een hoge waarde. Nu is het een batchtaak. Het resultaat lijkt minder op spam en meer op gerichte spear-phishing – verzonden in spam-volumes.

AI-phishing versus traditionele phishing

Die laatste rij geeft de hele dienst weer. Het betrouwbare signaal is verschoven van de inhoud naar de bron.

Professioneel schrijven is geen bewijs van authenticiteit

Goed schrijven weerspiegelt de kwaliteit van de taal. Het zegt niets over de bedoeling.

Een door AI gegenereerde phishing-e-mail kan grammaticaal perfect zijn, logisch gestructureerd, met de juiste huisstijl en voorzien van een realistisch handtekeningblok – en toch een poging zijn om geld naar de verkeerde rekening over te maken. Aanvallers maken juist hier gebruik van: bekende logo’s, aannemelijke verzoeken en de aanname dat iets dat er zakelijk uitziet, ook daadwerkelijk zakelijk is.

Een verzoek om een wachtwoord te resetten, een factuur goed te keuren of bankgegevens te bevestigen kan volkomen routineus lijken, terwijl het afkomstig is van een domein dat niets met je leverancier te maken heeft. De schijn is het aanvalsoppervlak.

Waar AI-phishingmails daadwerkelijk opduiken

Drie patronen verklaren het grootste deel van wat organisaties waarnemen.

Bedrijfs-e-mailfraude en betalingsfraude. Een bericht dat afkomstig lijkt te zijn van een leverancier kondigt nieuwe bankgegevens aan in afwachting van de volgende factuur. Het verwijst naar het juiste contract, de juiste contactpersoon en de juiste betalingscyclus. AI zorgt ervoor dat de toon en de details overtuigend overkomen; de fraude zelf is onveranderd.

Zich voordoen als leveranciers en partners. Aanvallers hoeven uw domein niet langer te compromitteren als ze een domein kunnen nabootsen dat u vertrouwt. Een domein dat er hetzelfde uitziet met een verwisseld teken, in combinatie met vloeiende teksten, is voldoende om een reactiethread op gang te brengen.

Het verzamelen van inloggegevens via overtuigende meldingsmails. Meldingen over het verlopen van wachtwoorden, waarschuwingen over gedeelde documenten, verzoeken om opnieuw in te loggen via MFA. Deze berichten hebben altijd al bestaan; wat is veranderd, is dat ze nu zo sterk op de echte berichten lijken dat het aanwijzen van de link met de muis het enige overblijvende verschil is.

Er tekent zich een vierde patroon af: een door AI geschreven e-mail die wordt gebruikt als eerste stap in een aanval via meerdere kanalen, gevolgd door een telefoontje of een spraakbericht om de druk op te voeren. Als er tegelijkertijd een e-mail en een telefoontje binnenkomen waarin hetzelfde dringende verzoek wordt gedaan, is die combinatie op zich al een waarschuwingsteken.

Hoe kun je zien of een e-mail door AI is gegenereerd?

Er is niet één duidelijk teken. Maar deze signalen, vooral in combinatie, zijn reden genoeg om even rustig aan te doen.

Algemene taal

AI vult de leemtes op met aannemelijke opvultekst. Algemene begroetingen, vage verwijzingen naar „uw recente activiteiten“, uitleg die op elke klant van elk bedrijf van toepassing zou kunnen zijn.

Gecreëerde urgentie

Deadlines, accountblokkades, „actie vereist binnen 24 uur“. Dringende oproepen op zich zijn nog geen bewijs dat er AI in het spel is, maar dringende oproepen in combinatie met geraffineerde overredingskracht vormen een combinatie die nader onderzoek verdient.

Ontbrekende persoonlijke context

Echte zakelijke e-mails bevatten achtergrondinformatie: een projectnaam, een eerdere e-mailwisseling, een factuurnummer dat overeenkomt met je administratie. Door AI gegenereerde phishing-berichten klinken overtuigend, maar bevatten zelden informatie die alleen de echte afzender zou weten. Dit is de allerbeste test: vraag jezelf af wat er in dit bericht staat dat een vreemde met een zoekmachine niet zou weten.

Een onnatuurlijk gelijkblijvende toon

Veel legitieme e-mails zijn goed geschreven. Slechts een klein deel daarvan is van begin tot eind van onderwerpregel tot afsluiting even strak geformuleerd, zonder afkortingen, zonder eigen stijl. Perfectie kan een signaal zijn.

Kleine tegenstrijdigheden

De weergavenaam en het adres komen niet overeen. Een handtekening met de verkeerde functietitel. Een aanhef waarin je volledige officiële naam wordt gebruikt, terwijl deze persoon je al drie jaar bij je voornaam noemt. Instructies die in strijd zijn met de manier waarop deze leverancier je altijd heeft gefactureerd. Details die niet kloppen, zijn belangrijker dan de toon.

Een verzoek dat afwijkt van de vastgestelde procedure

Het sterkste signaal is helemaal niet van taalkundige aard. Legitieme partijen volgen hun eigen procedures. Een bericht waarin je wordt gevraagd om een procedure over te slaan – bijvoorbeeld goedkeuring buiten het systeem om, betalen op een nieuwe rekening zonder papierwerk, of het versturen van een bestand buiten de gebruikelijke kanalen om – is verdacht, hoe goed het ook is geschreven.

Hoe controleer je een door AI geschreven e-mail: zeven stappen

Combineer verschillende methoden. Geen enkele controle op zich is voldoende.

1. Lees het volledige afzenderadres, niet de weergavenaam. Weergavenamen zijn vrije tekst en kunnen heel gemakkelijk worden vervalst. Vouw het adres uit en controleer of het domein helemaal klopt – geen lookalike met een verwisseld teken, een extra koppelteken of een ander TLD.
2. Controleer de headers. De headers geven het daadwerkelijke verzendtraject en de authenticatieresultaten weer. Een e-mailheaderanalysator vertelt je of het bericht de SPF- en DKIM-controles heeft doorstaan en of het overeenkomt met het domein in het ‘Van’-adres – en dat is waar het om draait.
3. Controleer het bericht met een controleprogramma. Een phishing-e-mailchecker beoordeelt het bericht in zijn geheel in plaats van één kenmerk per keer, wat handig is wanneer je instinct zegt dat er iets niet klopt, maar je niet precies kunt aangeven wat.
4. Controleer de links voordat je erop klikt. Beweeg de muis erover om de werkelijke bestemming te zien. Als een phishinglink wordt weergegeven, komen de zichtbare tekst en de daadwerkelijke URL niet overeen. Bij twijfel kun je de link controleren met een phishing-linkchecker in plaats van de link te openen.
5. Beschouw onverwachte bijlagen als verdacht, totdat het tegendeel is bewezen. Vooral alles wat meteen geopend moet worden, en alles wat wordt geleverd met een factuur of afleverbericht dat je niet verwachtte.
6. Bevestig gevoelige verzoeken via een tweede kanaal. Bij wijzigingen in betalingsgegevens, verzoeken om inloggegevens en dringende goedkeuringen wordt u gebeld op een nummer dat u al had – niet op het nummer in de e-mailhandtekening. Deze ene gewoonte maakt een einde aan de meeste gevallen van zakelijke e-mailcompromittering, of deze nu door AI worden ondersteund of niet.
7. Gebruik een AI-detector als aanvullende aanwijzing. Een AI-detectietool zoals die van Copyleaks kan aangeven of tekst waarschijnlijk door een machine is gegenereerd. Beschouw dit als één van de vele aanwijzingen, niet als een definitief oordeel. Legitieme afzenders gebruiken ook AI om e-mails op te stellen, en detectoren geven in beide richtingen vals-positieve of vals-negatieve resultaten.

Waarom e-mailverificatie belangrijker is dan ooit

Ontvangers kunnen alleen beoordelen wat ze voor zich zien. Dankzij authenticatie kunnen ontvangende servers al een beslissing nemen nog voordat een mens het bericht te zien krijgt – en dat is de laag waarop door AI gegenereerde tekst geen invloed kan uitoefenen.

SPF (Sender Policy Framework) stelt een domeineigenaar in staat om bekend te maken welke mailservers bevoegd zijn om namens hem te verzenden, zodat ontvangers ongeautoriseerde afzenders kunnen identificeren.

DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan uitgaande e-mail, waardoor ontvangers kunnen controleren of het bericht tijdens het verzenden niet is gewijzigd en daadwerkelijk afkomstig is van een geautoriseerde bron.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) bouwt voort op beide. Het geeft ontvangende servers instructies over wat ze moeten doen met e-mail die de authenticatie niet doorstaat, en het genereert rapporten waarin wordt weergegeven wie er namens uw domein berichten verstuurt. Het kiezen van het juiste DMARC-beleid – en uiteindelijk overgaat tot handhaving in plaats van voor onbepaalde tijd in de monitoringmodus te blijven – zorgt ervoor dat die controles daadwerkelijke bescherming bieden.

Als je niet zeker weet hoe het met je eigen domein staat, kun je een DMARC-recordchecker duurt ongeveer tien seconden, en het lezen van je DMARC-rapporten laat je zien welke diensten op dit moment namens jou e-mails versturen. Als e-mails niet aankomen en je weet niet waarom, begin dan met waarom DMARC mislukt voordat je het beleid versoepelt.

Hiermee wordt niet nagegaan of een e-mail door AI is geschreven. Dat is juist het punt. Er wordt gecontroleerd of de afzender is wie hij of zij beweert te zijn – een veel relevantere vraag, die zelfs met de meest vloeiende tekst niet kan worden beantwoord.

Wat organisaties zouden moeten veranderen

Individuele waakzaamheid is niet schaalbaar. Vier veranderingen zijn dat wel.

Werk de bewustwordingstraining bij. Elke module waarin nog steeds wordt aangeleerd om 'op spelfouten te letten', misleidt het personeel actief. Vervang inhoudsgerichte aanwijzingen door procesgerichte: controleer de afzender, controleer het verzoek, controleer via een tweede kanaal.

Stel een verificatieprocedure op en maak deze verplicht. Wijzigingen in bankgegevens, nieuwe begunstigden en verzoeken om inloggegevens moeten via één vastgelegd traject verlopen, met één verplichte bevestigingsstap. Wanneer de procedure op schrift is gesteld, wordt een e-mail waarin iemand wordt gevraagd deze procedure te omzeilen, direct als onjuist herkend in plaats van alleen maar als ongebruikelijk.

Zorg ervoor dat je eigen domein aan de regels voldoet. Elk domein dat u bezit, inclusief geparkeerde domeinen en subdomeinen die nooit e-mail versturen, moet worden geauthenticeerd en vallen onder een DMARC-beleid. Onbeschermde domeinen zijn een makkelijke prooi voor identiteitsfraude – en aanvallers geven de voorkeur aan domeinen die niemand in de gaten houdt.

Zorg ervoor dat het melden van verdachte e-mails soepel en zonder schuldgevoel verloopt. De waarde van een melding van een verdachte e-mail neemt met de tijd sterk af. Als het melden een gedoe van drie muisklikken is of ook maar enigszins gênant overkomt, zullen medewerkers de e-mail verwijderen in plaats van door te sturen. Als iemand toch heeft geklikt, is de reactie erop het beperken van de schade – inloggegevens resetten, doorstuurregels controleren, de financiële afdeling op de hoogte brengen als er betalingsgegevens bij betrokken waren – en niet het zoeken naar wiens schuld het was.

Afsluitende woorden: Maak van verificatie een gewoonte

AI zal steeds beter worden in het schrijven van e-mails. Dat betekent dat verificatie op meerdere niveaus moet plaatsvinden in plaats van op één enkel signaal te vertrouwen, en dat ‘het zag er professioneel uit’ niet langer als reden mag gelden om een bericht te vertrouwen.

De gewoonte die je je het beste kunt aanleren, is eenvoudig: bekijk de context van het bericht, controleer de afzender op authenticiteit, verifieer onverwachte berichten via een kanaal dat je zelf hebt gekozen, en zorg ervoor dat je eigen domein is geverifieerd, zodat je naam niet door iemand anders wordt misbruikt. Een AI-detector kan daar nog nuttige informatie aan toevoegen, en in combinatie met sterke authenticatie en menselijk inzicht vormt dit een effectieve verdediging tegen moderne phishingaanvallen.

Beschouw e-mailbeveiliging als een combinatie van technische maatregelen en zorgvuldige controle, en dan verliest een met AI gepolijste phishing-e-mail zijn overtuigingskracht.

FAQ

Wat zijn AI-phishing-e-mails? AI-phishing-e-mails zijn frauduleuze berichten die zijn geschreven of verfijnd door generatieve AI-tools. Omdat het taalmodel vloeiende, goed gestructureerde tekst produceert, bevatten deze e-mails geen grammaticale fouten of spelfouten – kenmerken die vroeger phishingpogingen verraadden – en kunnen ze worden aangepast om een specifiek merk, een specifieke functie of een specifieke schrijfstijl na te bootsen.

Hoe kun je zien of een e-mail door AI is gegenereerd? Let op algemene bewoordingen, het ontbreken van persoonlijke context, een gekunstelde urgentie, een onnatuurlijk uniforme toon, kleine feitelijke inconsistenties en elk verzoek waarin je wordt gevraagd om een vastgesteld proces te omzeilen. Geen van deze aanwijzingen is op zichzelf doorslaggevend – combineer ze met verificatie van de afzender en de header, en eventueel een AI-detector, voordat je een besluit neemt.

Kunnen SPF, DKIM en DMARC phishing-e-mails op basis van AI tegenhouden? Ze voorkomen dat aanvallers e-mails versturen die lijken te komen van precies uw domein, waardoor de meest overtuigende vorm van identiteitsfraude wordt uitgesloten. Ze blokkeren echter geen lookalike-domeinen of gehackte accounts van derden, dus authenticatie moet worden gecombineerd met de verificatiegewoonten van gebruikers en eindpuntbeveiliging, en mag niet in de plaats daarvan komen.

Zijn AI-detectoren betrouwbaar voor het controleren van e-mails? Ze vormen een ondersteunend signaal, geen bewijs. Detectoren leveren zowel valse positieven als valse negatieven op, en legitieme afzenders maken steeds vaker gebruik van AI bij het opstellen van e-mails. Afzenderverificatie is de betrouwbaardere controle.

Wat moet u doen als u al op een phishing-e-mail van een AI hebt gereageerd? Neem eerst maatregelen om de schade te beperken. Wijzig alle inloggegevens die zijn ingevoerd of gedeeld, controleer de mailbox op ongeautoriseerde doorstuurregels of filters, breng uw beveiligingsteam op de hoogte en waarschuw de financiële afdeling onmiddellijk als er over betalingsgegevens is gesproken. Als er een betaling is gedaan, neem dan nog dezelfde dag contact op met de bank – de tijd om het geld terug te krijgen is beperkt.

• Over
• Laatste berichten

Ahona Rudra

Expert op het gebied van domein- en e-mailbeveiliging bij PowerDMARC

Ahona is marketingmanager bij PowerDMARC en heeft meer dan vijf jaar ervaring met het schrijven over cybersecurity, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een masterdiploma in journalistiek en communicatie, en heeft sinds 2019 haar carrière in de beveiligingssector verder uitgebouwd.

Laatste berichten van Ahona Rudra (Bekijk alle berichten)

• Phishing-e-mails met AI: hoe je door AI geschreven e-mails kunt controleren voordat je ze vertrouwt - 31 augustus 2026
• E-mailbeveiligingsachterstand: de cyberbeveiligingsindicator die niemand meet - 31 augustus 2026
• PowerDMARC voor het 13e opeenvolgende kwartaal uitgeroepen tot marktleider op het gebied van DMARC-software - 28 augustus 2026