Ruim de helft van Nederlandse bedrijven doelwit van phishing

Meer dan de helft van Nederlandse bedrijven (58%) is het afgelopen jaar doelwit geweest van phishing. Toch ondernemen bedrijven weinig actie om dit gevaar in te dammen. Zo blijft de implementatie van e-mailstandaarden achter, terwijl deze het risico op phishing flink verkleinen. Het gebrek aan prioriteit vanuit het management wordt het vaakst als reden genoemd. Dit blijkt uit onderzoek dat SIDN in het kader van de cybersecuritymaand oktober heeft laten uitvoeren onder ruim 400 Nederlandse bedrijven.

Precies de helft van alle Nederlandse bedrijven heeft de afgelopen 12 maanden 1 tot 50 phishingmails ontvangen, bij 19% gaat het zelfs om 50 tot 200 e-mails. Niet vreemd dus dat bijna de helft (45%) van de Nederlandse bedrijven phishing beschouwt als een grote tot zeer grote bedreiging. Toch voelt niet iedere organisatie de urgentie om beschermingsmaatregelen te nemen.

Maatregelen
Zo heeft maar 61% van de Nederlandse bedrijven spamfilters en beveiligingssoftware geïnstalleerd, biedt 45% security-awarenesstrainingen aan medewerkers aan en voert 30% simulatie- en phishingtests uit. Toch is er ook een substantiële groep (17%) die aangeeft helemaal niks te doen. 

E-mailstandaarden
Ook de bekendheid van e-mailstandaarden als SPF, DKIM, DMARC en BIMI die de risico’s op phishing verkleinen, zijn nog niet bij iedereen bekend. De standaard met de meeste bekendheid is SPF, een e-mailprotocol dat vaststelt of de verzender van een e-mail gerechtigd is te verzenden namens de vermelde afzender van het bericht – 58% is bekend met deze standaard. Andere standaarden (DKIM, DMARC en BIMI) scoren onder de 50%.

Marco Davids, research engineer bij SIDN Labs: “Het e-mailprotocol is een van de oudste internetprotocollen en van origine niet goed beveiligd. Zo is het voor hackers vrij eenvoudig om een afzenderadres te vervalsen, zodat het lijkt dat een e-mail vanuit de juiste domeinnaam wordt verzonden. Spamfilters bieden hier onvoldoende bescherming tegen, het instellen van open e-mailstandaarden wel. Een reden dat veel bedrijven dit nog niet goed hebben geregeld is dat ze het ingewikkeld of te veel werk vinden. Maar inmiddels is er in de markt geen gebrek meer aan goede expertise en kun je bouwen op de ervaring van tal van bedrijven die je voorgingen.”

Gemeenschappelijk gevaar
Phishing wordt nog te vaak gezien als geïsoleerd risico, terwijl ook klanten en andere relaties gevaar lopen als een organisatie slachtoffer wordt van phishing. Het is opvallend dat meer dan de helft van de bedrijven in Nederland, namelijk 54%, geen enkele actie onderneemt richting externe relaties om het gevaar van phishing terug te dringen. Terwijl bewustwording, ook bij zakelijke relaties van een organisatie, de eerste stap is om het gevaar te kunnen herkennen.


Methodologie
Het onderzoek is in opdracht van SIDN uitgevoerd door Markteffect. In de periode 15 juli t/m 27 juli 2025 zijn hiervoor 412 respondenten, werkzaam in een management- of IT-functie bij een mkb-organisatie, ondervraagd.