Wie een WordPress-site beheert, doet dat zelden puur als hobby. Achter de meeste sites zit een bedrijf: een webshop, een adviesbureau, een praktijk, een vereniging met een ledenadministratie. En dus zit er achter die inlogpagina ook altijd iets wat de moeite waard is om te stelen. Klantgegevens, bestellingen, facturen, een mailinglijst. Aanvallers weten dat, en ze hoeven daarvoor lang niet altijd een lek in je installatie te vinden. Vaak is één medewerker die op het verkeerde moment op de verkeerde link klikt al genoeg.
In het kort
- Phishing is nog steeds de meest gebruikte ingang bij aanvallen, en AI heeft de kwaliteit van die berichten in korte tijd flink opgeschroefd
- WordPress-beheerders zijn een aantrekkelijk doelwit, omdat één set inloggegevens meteen de hele site opent
- Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, met een expliciete plicht tot doorlopende bewustwording
- Een phishing simulatie meet wat medewerkers werkelijk doen, in plaats van aan te nemen dat ze het wel weten
Het probleem is niet nieuw, het tempo wel
Phishing gericht op WordPress-gebruikers speelt al jaren. In 2018 stond er op deze site al een waarschuwing over een campagne waarin beheerders een mail kregen dat hun installatie verouderd was en vóór een deadline bijgewerkt moest worden. Wie op de link klikte, kwam op een nagemaakte pagina waar hij zijn gebruikersnaam en domeinnaam moest invullen. Je leest dat verhaal hier nog eens terug.
Wat in dat artikel opvalt, is het advies waarmee het eindigt: let op typfouten en op een footer die niet klopt. Dat was destijds een prima vuistregel. Slordig taalgebruik was jarenlang het meest betrouwbare signaal dat een bericht nep was. Precies dat signaal is de afgelopen jaren verdwenen.
Wat AI heeft veranderd aan de aanval
Een aanvaller die vroeger gebrekkig Nederlands schreef, levert nu foutloze tekst af in de juiste toon. Dat is de meest zichtbare verandering, maar niet de belangrijkste. De grotere verschuiving zit in schaal en personalisatie. Waar een overtuigende, op maat gemaakte phishingmail vroeger handwerk was en daarom werd bewaard voor grote doelwitten, kost hetzelfde bericht nu nauwelijks moeite. Een aanvaller kan de gegevens die openbaar op je site en op LinkedIn staan gebruiken om een mail te schrijven die naar functie, project en schrijfstijl van de afzender klinkt.
Daarmee verschuift ook wie er slachtoffer wordt. Gerichte, geloofwaardige aanvallen waren jarenlang voorbehouden aan grote organisaties. Nu is het net zo goedkoop om een bureau van acht man te benaderen als een concern van duizend. De vraag is niet meer of jouw organisatie interessant genoeg is, maar of jouw mensen het verschil nog zien.
Waarom WordPress-beheerders extra in beeld staan
Een beheeraccount is een aantrekkelijk doel, omdat het in één keer heel veel oplevert. Met toegang tot het dashboard kan iemand content aanpassen, een verborgen plugin installeren, bezoekers doorsturen of stilletjes meelezen in bestellingen en klantgegevens. Dat gebeurt zelden luidruchtig, want een aanvaller heeft er meer aan als niemand het merkt. Berichten die op zo’n account mikken zijn bovendien allemaal alledaags, en dat is precies wat ze gevaarlijk maakt:
- Nep-updatemeldingen die eruitzien alsof ze van WordPress of van een pluginmaker komen
- Facturen en aanmaningen die van de hostingpartij of van een themashop lijken te komen
- Verlopen licenties waarvoor je even opnieuw moet inloggen om de site werkend te houden
- Beveiligingswaarschuwingen over een verdachte login, met een knop om je wachtwoord te controleren
- Berichten van een collega of leverancier die je vraagt snel even naar een gedeeld bestand te kijken
Geen daarvan valt op tussen de rest van de inbox. En daar zit de kern van het probleem: dit is geen kennisvraag, maar een aandachtsvraag. Mensen weten heus wel dat phishing bestaat. Ze herkennen het alleen niet op een drukke donderdagmiddag tussen vijftig andere mails.
Bewustwording is sinds deze maand ook een wettelijke plicht
Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim achtduizend organisaties in achttien sectoren vallen er direct onder en krijgen te maken met een zorgplicht, een registratieplicht en een meldplicht bij ernstige incidenten. Onderdeel van die zorgplicht is dat medewerkers regelmatig getraind worden in veiligheidsbewustzijn en dat bestuurders zelf ook scholing volgen. Nadrukkelijk als doorlopend proces, niet als eenmalige sessie. Wat de wet precies vraagt en of jouw organisatie eronder valt, is op deze pagina per sector uitgewerkt.
Val je er niet onder, dan ben je er nog niet vanaf. Organisaties die wél onder de wet vallen moeten ook naar hun leveranciersketen kijken. Bureaus die sites bouwen en beheren voor zulke klanten merken dat inmiddels: er wordt gevraagd hoe het bij hen zelf geregeld is. Dat gesprek gaat vrijwel altijd over aantoonbaarheid, en niet over goede bedoelingen.
Wat een phishing simulatie precies doet
Bij een phishing simulatie stuur je zelf een nagebootste phishingmail naar je eigen mensen. Niemand loopt risico, maar het gedrag is echt. Je ziet wie de mail opent, wie klikt, wie gegevens invult en wie het bericht netjes meldt. Dat laatste getal is minstens zo interessant als het eerste, want een organisatie waarin mensen verdachte mail melden merkt een echte aanval veel eerder op. Een moderne phishing simulatie is in een paar minuten opgezet, met sjablonen per sector en taal, en levert een rapport op dat je bij een audit kunt laten zien.
De waarde zit niet in het betrappen. Wie na de eerste ronde vooral bezig is met wie er geklikt heeft, mist het punt en zorgt er bovendien voor dat mensen fouten gaan verzwijgen. De waarde zit in het meten. Je krijgt een nulmeting van hoe weerbaar de organisatie nu is, en na een paar rondes zie je zwart op wit of dat percentage daalt. Dat maakt een abstract risico ineens bespreekbaar in de directiekamer.
Klein beginnen werkt beter dan groot aankondigen
Een programma opzetten hoeft geen project te zijn. De meeste organisaties die hiermee vastlopen, hebben het te groot gemaakt of te lang uitgesteld tot er iets misging. Een werkbare volgorde ziet er ongeveer zo uit:
- Begin met een nulmeting en deel de uitkomst zonder namen te noemen
- Geef mensen die klikken meteen korte uitleg over wat ze hadden kunnen zien
- Herhaal in een rustig ritme, bijvoorbeeld elk kwartaal, met wisselende scenario’s
- Maak melden makkelijker dan negeren, met een knop of een vast adres
- Neem beheerders van de site apart mee, want zij hebben de meeste rechten en dus het grootste risico
- Bewaar de rapportages, zodat je bij een audit of klantvraag iets kunt laten zien
Techniek blijft nodig. Tweefactorauthenticatie op je WordPress-installatie, updates die daadwerkelijk worden uitgevoerd, beperkte rechten per gebruiker: dat is allemaal de basis en daar valt niets op af te dingen. Maar geen van die maatregelen houdt tegen dat iemand zijn eigen wachtwoord invult op een pagina die er precies uitziet als de jouwe. Voor dat stuk bestaat maar één serieus middel, en dat is oefenen voordat het echt gebeurt.
