AI maakt phishing onherkenbaar — wat betekent dat voor uw fabriek?

De tijd van phishing-mails met "Geachte klant, uw rekening is geblokeerd, klik hier" is voorbij. Die mails herkende iedereen — de taalfouten, de rare opmaak, het generieke karakter. Maar wat als de phishing-mail perfect geschreven is in vloeiend Nederlands? Wat als die verwijst naar uw recente project, de naam van uw plant manager noemt, en afkomstig lijkt van uw machineleverancier? Wat als u daarna een telefoontje krijgt — in de stem van uw leverancier — die bevestigt dat hij die mail heeft gestuurd?

Welkom in het tijdperk van AI-gestuurde phishing. En voor industriele omgevingen is dit een bijzonder gevaarlijke ontwikkeling.

Hoe AI phishing transformeert

Moderne AI-tools maken het mogelijk om in seconden overtuigende, gepersonaliseerde phishing-berichten te genereren. De aanvaller voert wat basisinformatie in — de naam van het doelbedrijf, de sector, de naam van een medewerker — en de AI genereert een perfect geloofwaardig bericht. In elke taal. Met de juiste toon. Met relevante verwijzingen.

Maar het gaat verder dan tekst. De drie technologieen die phishing fundamenteel veranderen zijn:

AI-gegenereerde tekst: Large language models produceren foutloos Nederlands dat niet te onderscheiden is van menselijke tekst. Ze kunnen de schrijfstijl imiteren van bestaande correspondentie. Ze kennen het vakjargon van elke sector. Een phishing-mail die klinkt als een echte mail van uw systeemintegrator — compleet met referenties aan het lopende project en de juiste technische termen — is nu een kwestie van minuten.

Voice cloning: Met slechts drie seconden audio kan AI een overtuigende stemkloon maken. LinkedIn-video's, YouTube-presentaties, podcast-opnamen — alles is bruikbaar als bronmateriaal. Een aanvaller kan daarmee uw plant manager nabellen "namens" een bekende leverancier, in diens eigen stem. Dit heet "vishing" en het werkt verbluffend goed.

Deepfake video: Hoewel nog minder gangbaar, worden deepfake-videocalls al ingezet bij gerichte aanvallen. Een financieel directeur die via een videocall "bevestigt" dat er een betaling moet worden gedaan — maar het is een deepfake. De technologie is nu beschikbaar voor een paar honderd euro.

Waarom OT-operators extra kwetsbaar zijn

Phishing-training en awareness-programma's zijn in veel bedrijven gericht op kantoormedewerkers. De IT-afdeling, de financiele afdeling, het management — zij krijgen de phishing-simulaties en de e-learnings. Maar wie krijgt die training niet? De OT-operators, de procesengineers, de onderhoudstechnici. En juist zij zijn de meest waardevolle doelwitten.

Er zijn vier redenen waarom OT-medewerkers extra kwetsbaar zijn voor AI-gestuurde phishing:

• Minder security awareness training. Uit onderzoek van SANS blijkt dat slechts 35% van de industriele organisaties hun OT-personeel regelmatig traint op phishing-herkenning. Bij IT-personeel is dat 78%. Het verschil is enorm.
• Hoog-vertrouwenscultuur. In een fabrieksomgeving is vertrouwen essentieel. Operators vertrouwen op de instructies van hun supervisors, op de communicatie van leveranciers, op de procedures die ze kennen. Die vertrouwenscultuur maakt het moeilijker om een schijnbaar legitiem verzoek te wantrouwen.
• Directe impact op fysieke processen. Als een kantoormedewerker op een phishing-link klikt, raakt mogelijk een laptop gecompromitteerd. Als een OT-operator gemanipuleerd wordt om een configuratiewijziging door te voeren of credentials te delen, kan dat directe fysieke gevolgen hebben — productiestilstand, kwaliteitsproblemen, of in het ergste geval veiligheidsincidenten.
• Minder beschermde werkstations. OT-werkstations hebben vaak minder beveiligingssoftware dan IT-systemen. Geen geavanceerde e-mailfiltering, geen EDR, soms zelfs geen actuele antivirussoftware. Een phishing-aanval die op een IT-werkstation zou worden gestopt, komt op een OT-werkstation wel door.

Concrete aanvalsscenario's voor de industrie

Laat me drie scenario's schetsen die ik in threat intelligence rapporten tegenkom en die specifiek gericht zijn op industriele omgevingen:

Scenario 1: De nep-leveranciersupdate. Een OT-engineer ontvangt een e-mail die afkomstig lijkt van de PLC-fabrikant. Er is een "kritieke firmware-update" beschikbaar voor het type PLC dat in de fabriek wordt gebruikt. De mail is perfect opgemaakt, bevat het juiste modelnummer en verwijst naar een recent gepubliceerde kwetsbaarheid die daadwerkelijk bestaat. De bijlage bevat echter malware die, eenmaal uitgevoerd op het engineering werkstation, zich verspreidt naar de PLC's.

Scenario 2: De urgente configuratiewijziging. De plant manager ontvangt een telefoontje — in de stem van de technical account manager van de systeemintegrator. Er is een "urgent probleem" ontdekt met de firewall-configuratie en er moet "nu" een wijziging worden doorgevoerd. De nep-TAM stuurt via WhatsApp een configuratiescript dat zogenaamd het probleem oplost, maar in werkelijkheid een backdoor opent in de OT-firewall.

Scenario 3: De sociale engineering van de onderhoudsmonteur. Een onderhoudsmonteur ontvangt via Teams een bericht van iemand die zich voordoet als een collega van een andere vestiging. "Ik probeer remote in te loggen voor onderhoud aan lijn 3, maar mijn VPN-account werkt niet. Kun jij me de inloggegevens sturen, dan kan ik het vanaf hier doen?" In een vertrouwenscultuur waar collega's elkaar helpen, is de kans groot dat die credentials worden gedeeld.

Wat traditionele maatregelen niet meer oplossen

De standaardaanpak voor phishing — "kijk op taalfouten, controleer de afzender, klik niet op verdachte links" — werkt niet meer tegen AI-gestuurde aanvallen. De taal is foutloos. De afzender is overtuigend gespooft. De links leiden naar professioneel nagemaakte websites. De traditionele rode vlaggen zijn weg.

Dat betekent niet dat awareness-training nutteloos is — integendeel. Maar de inhoud moet radicaal veranderen. In plaats van "herken de phishing-mail" moet de focus verschuiven naar "verifieer via een tweede kanaal." Niet "is deze mail echt?" maar "heb ik dit verzoek bevestigd via een kanaal dat ik zelf heb geinitieerd?"

Wat u wel kunt doen

De verdediging tegen AI-gestuurde phishing vereist een combinatie van technische maatregelen, procesmaatregelen en cultuurverandering:

• Verplichte terugbelverificatie. Voor elke actie met impact op OT-systemen die via e-mail, telefoon of chat wordt aangevraagd: bel terug op het bekende nummer van de afzender. Niet op het nummer in de mail of het telefoontje, maar op het nummer uit uw eigen contactenlijst. Dit eenvoudige proces stopt het merendeel van de aanvallen.
• Specifieke OT-phishing-simulaties. Train uw OT-personeel met realistische simulaties die aansluiten bij hun dagelijks werk. Nep-firmware-updates, nep-leveranciersverzoeken, nep-configuratie-instructies. Maak het herkenbaar en relevant.
• Technische verifikatie van firmwareupdates. Implementeer een proces waarin firmware-updates alleen worden geinstalleerd na verificatie via het officiele downloadportaal van de fabrikant. Nooit via een link in een e-mail. Nooit via een bijlage.
• Beperkte communicatiekanalen voor kritieke acties. Definieer welke acties alleen via specifieke, geverifieerde kanalen mogen worden aangevraagd. Een configuratiewijziging aan een productie-PLC mag niet worden geinitieerd via een WhatsApp-berichtje — ongeacht van wie het lijkt te komen.
• E-mail authenticatie (DMARC, SPF, DKIM). Zorg dat uw eigen e-maildomein beschermd is tegen spoofing en dat inkomende mail wordt gecontroleerd op authenticatie. Dit stopt niet alle AI-phishing, maar maakt het moeilijker om uw leveranciers na te bootsen.
• Zero-trust mentaliteit. Niet "vertrouw, tenzij verdacht" maar "verifieer, altijd." Dit is een cultuurverandering die tijd kost, maar het is de enige verdediging die standhoudt tegen aanvallen die ontworpen zijn om te worden vertrouwd.

De menselijke firewall versterken

Uiteindelijk is uw sterkste verdediging tegen AI-gestuurde phishing niet een technische oplossing maar een organisatorische: medewerkers die weten dat ze doelwit zijn, die begrijpen dat elk verzoek geverifieerd moet worden, en die de psychologische druk van urgentie en autoriteit herkennen en weerstaan.

Dat vereist regelmatige, relevante en realistische training. Niet een jaarlijkse e-learning die iedereen in twintig minuten doorklikt, maar maandelijkse simulaties, teambesprekingen over recente aanvallen en een cultuur waarin het melden van verdachte berichten wordt beloond in plaats van bestraft.

De fabrieken die dit het beste doen, zijn de fabrieken die security behandelen als veiligheid: net zo vanzelfsprekend als het dragen van een helm of het volgen van een lockout/tagout-procedure. Niet een IT-ding, maar een operationeel ding. Elke dag, bij elke handeling.