Een verdachte mail binnen: doorsturen, melden of gewoon weggooien?

Iedereen op kantoor krijgt weleens een rare mail. Maar wat doe je ermee? Een praktisch stappenplan voor het MKB, zonder paniek en zonder IT-jargon.

Je collega loopt naar je toe met haar laptop: "Kijk eens, is deze mail echt?" Bovenaan staat iets over een openstaande factuur, of een pakket, of een inlogpoging op Microsoft 365. Herkenbaar. En elke keer weer de vraag: wat doen we ermee? Meteen weggooien? Doorsturen naar iemand die het "wel weet"? Of moet je het ergens melden?

In deze post zetten we op een rij hoe je in het MKB praktisch omgaat met verdachte mail. Geen technische diepgang, wel een routine die werkt.

Eerst: klik niet, antwoord niet, download niet

Klinkt logisch, maar in de praktijk gebeurt het toch. Zodra je twijfelt over een mail, doe je niets in die mail zelf:

• Geen link aanklikken — ook niet "om te kijken".
• Geen bijlage openen — zeker geen .zip, .html of documenten die vragen om "bewerken inschakelen".
• Geen antwoord sturen, zelfs geen "wie ben jij?". Dan weet de afzender dat je adres actief is.
• Geen afbeeldingen laten laden als dat niet automatisch al gebeurd is.

Laat de mail rustig staan. Er brandt niks.

Snelle check: klopt de afzender écht?

Een naam in het afzenderveld zegt niks. "Bol.com" of "Directie" kan iedereen invullen. Waar het om gaat, is het echte mailadres erachter. In Outlook, Gmail of Apple Mail kun je meestal op de naam klikken of erover hangen om het volledige adres te zien.

Let op:

• Vreemde domeinen: info@bol-service-nl.com is niet Bol.com.
• Subtiele afwijkingen: een rn in plaats van een m, of .co in plaats van .nl.
• Gratis providers voor "zakelijke" mail: een KPN-medewerker mailt niet vanaf een Gmail-adres.

Twijfel je bij een leverancier? Bel dan het nummer van hun website (dus niet het nummer uit de mail) of gebruik een contact dat je zelf al eerder had.

Vier signalen die vrijwel altijd fout zitten

1. Haast en dreiging. "Reageer binnen 24 uur anders wordt uw account geblokkeerd." Echte partijen doen dit zelden zo agressief.
2. Vraag om inloggen via een link. Ga altijd zelf naar de site door het adres in te typen of via een bookmark.
3. Onverwachte factuur of betaalverzoek. Zeker als het bedrag afwijkt of het IBAN "gewijzigd" is.
4. Vreemde afzender op een bekende naam. "Microsoft support" vanaf een adres dat niks met microsoft.com te maken heeft.

Bij een gewijzigd rekeningnummer geldt sowieso: bellen, niet mailen. Meer daarover schreven we in "We hebben een nieuw rekeningnummer".

Wanneer stuur je hem door — en hoe?

Doorsturen kan zinvol zijn, maar doe het gericht:

• Naar een collega die de mail óók moet zien (bijvoorbeeld de boekhouding als het om een factuur gaat): stuur door met een korte waarschuwing in de onderwerpregel, bijvoorbeeld "VERDACHT — niet openen".
• Naar de Fraudehelpdesk (valsemail@fraudehelpdesk.nl): dit is een Nederlandse organisatie die phishing verzamelt en waarschuwingen uitgeeft.
• Naar de partij die wordt nagedaan: banken, PostNL, DHL en Microsoft hebben allemaal een misbruik-adres (meestal abuse@ of phishing@).

Doorsturen doe je bij voorkeur "als bijlage", niet als gewone forward. Dan blijft de originele afzenderinformatie bewaard. In Outlook zit dat onder Meer acties → Doorsturen als bijlage.

En dan: weggooien én leegmaken

Als je klaar bent met kijken en (eventueel) doorsturen: verplaats de mail naar Ongewenste mail of Prullenbak, en leeg die daarna ook. Zo kan niemand op kantoor er per ongeluk nog in klikken.

Voorkomen: zorg dat minder rotzooi binnenkomt

Je kunt niet alles filteren, maar veel wel. Drie dingen die echt verschil maken:

• SPF, DKIM en DMARC goed instellen op je eigen domein. Dat voorkomt dat oplichters makkelijk namens jouw bedrijf mailen, én zorgt dat je eigen mail beter aankomt. Zie onze dienst mail-beveiliging.
• Tweestapsverificatie op mail en boekhoudpakket. Ook al lukt phishing, dan komt de dader er nog niet in. Zie 2FA implementeren.
• Een gedeelde afspraak op kantoor: waar meld je iets verdachts, en wie kijkt erna? Vaak is dat één persoon met een simpel mailadres als meld-mail@bedrijf.nl.

Voor twijfelgevallen: check het IBAN of btw-nummer

Krijg je een factuur van een partij die je niet kent, of met een nieuw rekeningnummer? Controleer even de basis voor je iets betaalt. Onze IBAN-check laat direct zien of het rekeningnummer een geldige structuur heeft en bij welke bank hoort. Voor het btw-nummer gebruik je de VAT-check. Kost dertig seconden en voorkomt een dure fout.

Kort samengevat

• Klik niks aan, antwoord niet.
• Check het echte afzender-adres.
• Bel bij twijfel via een bekend nummer, nooit via de mail zelf.
• Stuur door naar de Fraudehelpdesk of misbruik-adressen als het nuttig is.
• Gooi de mail daarna weg én leeg de prullenbak.

Wil je hulp bij het inrichten van goede mailbeveiliging of een korte awareness-sessie op kantoor? Bekijk onze pagina mail-beveiliging of neem contact op — we leggen het zonder jargon uit.