Je denkt waarschijnlijk dat phishing iets is waar grote bedrijven mee te maken hebben, met hun duizenden medewerkers en ingewikkelde IT-systemen. Dat beeld klopt niet. Juist kleinere bedrijven zijn een geliefd doelwit, en de cijfers uit 2026 laten zien hoe groot het probleem inmiddels is.
Phishing is nog steeds de nummer één dreiging
Cybersecuritybedrijf Kaspersky deed wereldwijd onderzoek onder kleine en middelgrote bedrijven. De uitkomst, gepubliceerd door IT-vakblad Dutch IT Channel in augustus 2026: 86 procent van deze bedrijven kreeg het afgelopen jaar te maken met minstens één cyberincident. Slechts 14 procent van de bedrijven met minder dan 500 medewerkers bleef buiten schot.
Phishing voert de lijst aan met 20 procent van alle aanvallen, gevolgd door het misbruiken van kwetsbaarheden in software (17 procent) en onbevoegde toegang van buitenaf (16 procent). Getroffen bedrijven kregen gemiddeld met drie verschillende typen aanvallen te maken, niet met één incident dat je snel kunt afsluiten en vergeten.
Een phishingmail ziet er allang niet meer uit als een slecht vertaald bericht van een nep-prins. De berichten die nu binnenkomen, lijken vaak op een factuur van een leverancier waarmee je echt zaken doet, of op een kort bericht van je eigen boekhouder met een "even snel dit betalen"-vraag. Juist die herkenbaarheid maakt het lastig voor een medewerker om in een druk moment het verschil te zien tussen echt en vals.
Een kwart van de kleine bedrijven werd toch gehackt
Dat phishingmails steeds overtuigender worden, merk je ook terug bij een ander onderzoek. Privacybedrijf Proton ondervroeg in 2026 drieduizend zakelijke en IT-leiders bij kleine bedrijven in de Verenigde Staten, het Verenigd Koninkrijk, Frankrijk, Duitsland, Brazilië en Japan. Daaruit komt naar voren dat één op de vier bedrijven vorig jaar werd gehackt, ondanks dat bijna alle slachtoffers al voorzorgsmaatregelen hadden genomen.
Opvallend: 39 procent van de incidenten ontstond door een menselijke fout, zoals een medewerker die op de verkeerde link klikt. Bijna de helft van de ondervraagde bedrijven, 48 procent, werkt nog altijd zonder wachtwoordmanager. En van de bedrijven die wel een wachtwoordmanager gebruiken, deelt een deel de inloggegevens alsnog via e-mail of chatapps, wat het hele voordeel teniet doet.
Waarom kleinere bedrijven een makkelijker doelwit zijn
Een bank met een eigen beveiligingsafdeling vangt een phishingmail vaak af voordat die de inbox van een medewerker bereikt. Bij een bedrijf van tien of twintig man werkt dat zelden zo. Er is geen IT-afdeling die continu meekijkt, en vaak ontbreekt budget voor dure beveiligingssoftware.
Dat maakt het des te belangrijker om zelf te bepalen welke automatiseringstool je gebruikt en hoe je die instelt. Veel software die processen versnelt, vraagt ook toegang tot gevoelige gegevens: je mailbox, je boekhoudpakket, je klantendatabase. Kies je daar lukraak een tool bij, en sla je de instellingen voor rechten en toegang over, dan vergroot je ongemerkt het aantal plekken waar een aanvaller binnen kan komen.
Daar komt bij dat kleinere bedrijven vaker met freelancers en wisselende leveranciers werken. Elke externe partij die toegang krijgt tot een gedeelde map of een account, is een extra deur die iemand moet beveiligen. Vergeet je die deur na een samenwerking weer af te sluiten, dan blijft hij gewoon openstaan.
Dit kun je morgen al regelen
Je hoeft niet meteen een dure IT-partner in te huren om het risico flink te verlagen. Een paar maatregelen die het grootste verschil maken:
- Zet tweestapsverificatie aan op e-mail, boekhouding en cloudopslag. Dit stopt het grootste deel van de aanvallen die met een gestolen wachtwoord beginnen, ook als dat wachtwoord al ergens is uitgelekt.
- Gebruik een wachtwoordmanager voor het hele team, zodat niemand meer wachtwoorden in een Excel-bestand of WhatsApp-gesprek deelt. Laat iedereen ook direct een uniek wachtwoord per account aanmaken, in plaats van hetzelfde wachtwoord overal te hergebruiken.
- Bespreek phishing één keer per kwartaal kort in een teamoverleg. Niet met een lange presentatie, maar met een echt voorbeeld van een phishingmail die recent binnenkwam, zodat iedereen weet hoe actueel en overtuigend ze eruit kunnen zien.
- Spreek een vaste regel af voor betalingen: een factuur of IBAN-wijziging die via mail binnenkomt, controleer je altijd telefonisch bij een bekend nummer voordat er geld overgaat.
- Maak afspraken over wie welke gegevens mag delen, zeker nu klantendata voor criminelen net zo waardevol is als voor jouw marketingafdeling.
Het Nationaal Cyber Security Centrum houdt een overzicht bij van actuele phishingtechnieken, inclusief een praktische uitleg voor organisaties. Geen uitgebreide cursus, maar wel een goed startpunt om met je team door te lopen.
Waarom dit precies nu op je lijstje moet staan
Ondernemers hebben het al druk genoeg met nieuwe regelgeving. Zo moesten veel bedrijven dit jaar ook uitzoeken wat de AI-transparantieplicht voor hen betekent. Cybersecurity voelt dan als iets wat wel kan wachten.
Maar de cijfers wijzen op het tegenovergestelde. 57 procent van de getroffen bedrijven uit het Proton-onderzoek verloor tussen de tien- en honderdduizend dollar na een aanval, een bedrag dat voor een klein bedrijf het verschil kan maken tussen een moeilijk jaar en een faillissement. Een paar uur investeren in tweestapsverificatie en een wachtwoordmanager is dan een koopje, ook al voelt het nu nog als iets voor later.