De opkomst van AI als wapen voor cybercriminelen
Social engineering is zo oud als de mensheid zelf. Maar in 2026 heeft deze aanvalsvorm een transformatie ondergaan die zelfs de meest ervaren beveiligingsprofessionals zorgen baart. Kunstmatige intelligentie stelt criminelen in staat om aanvallen te creëren die zo geraffineerd zijn dat traditionele detectiemethoden — en menselijk oordeelsvermogen — tekortschieten.
De cijfers liegen niet: uit recent onderzoek van het European Union Agency for Cybersecurity (ENISA) blijkt dat AI-ondersteunde phishingcampagnes in het afgelopen jaar met 340% zijn toegenomen. Wat deze aanvallen bijzonder gevaarlijk maakt, is niet alleen hun volume, maar hun kwaliteit. De tijd van phishing-e-mails met spelfouten en onhandige formuleringen is definitief voorbij.
Deepfakes: wanneer je ogen en oren je bedriegen
Een van de meest verontrustende ontwikkelingen is de inzet van deepfake-technologie bij gerichte aanvallen. In januari 2026 werd een Brits financieel bedrijf voor €23 miljoen opgelicht nadat criminelen een volledig overtuigende videoconferentie ensceneerden. De CFO dacht te spreken met de CEO en twee directeuren — alle drie bleken AI-gegenereerde deepfakes te zijn.
Dit is geen sciencefiction meer. De technologie om overtuigende video- en audio-deepfakes te produceren is breed beschikbaar en vereist steeds minder technische expertise. Een crimineel heeft slechts enkele minuten spraakmateriaal nodig — vaak te vinden in podcasts, webinars of sociale media — om een overtuigende stemkloon te produceren.
De anatomie van een deepfake-aanval
- Verkenning: De aanvaller verzamelt openbare informatie over het doelwit en de organisatie via LinkedIn, bedrijfswebsites en sociale media
- Materiaal verzamelen: Spraakfragmenten, video's en foto's van de te imiteren persoon worden verzameld
- Synthese: AI-tools genereren realistische audio of video van de geïmiteerde persoon
- Uitvoering: Het doelwit ontvangt een schijnbaar legitiem telefoongesprek of videovergadering
- Manipulatie: Onder tijdsdruk en met het vertrouwen in de 'bekende' gesprekspartner wordt het slachtoffer aangezet tot actie
AI-gegenereerde phishing: persoonlijk, contextueel en overtuigend
Naast deepfakes heeft AI de klassieke phishing-e-mail fundamenteel veranderd. Grote taalmodellen stellen aanvallers in staat om:
- Persoonlijke e-mails te schrijven die refereren aan daadwerkelijke projecten, collega's en recente gebeurtenissen
- Taalstijl perfect na te bootsen, inclusief informele uitdrukkingen en typische schrijfgewoonten van de geïmiteerde afzender
- Contextuele urgentie te creëren die aansluit bij de actualiteit van de organisatie
- Meertalige campagnes uit te voeren zonder taalfouten — een traditioneel waarschuwingssignaal dat nu wegvalt
Een beveiligingsonderzoeker demonstreerde onlangs hoe een AI-agent binnen 15 minuten een complete spear-phishingcampagne kon opzetten: het analyseerde LinkedIn-profielen, identificeerde recente bedrijfsgebeurtenissen, en genereerde op maat gemaakte e-mails voor 50 medewerkers — elk uniek en contextueel relevant.
Waarom traditionele training niet meer volstaat
De meeste security awareness-programma's zijn gebouwd op het herkennen van patronen: verdachte afzenders, taalfouten, ongebruikelijke verzoeken. Maar AI-gestuurde aanvallen elimineren precies deze herkenningspunten.
Uit onderzoek van Stanford University blijkt dat zelfs getrainde medewerkers in 68% van de gevallen AI-gegenereerde phishing-e-mails niet kunnen onderscheiden van legitieme communicatie. Dit percentage ligt hoger dan bij traditionele phishing (waar de detectierate rond 45% lag).
Het probleem zit dieper dan technologie alleen. Mensen zijn biologisch geprogrammeerd om autoriteit te gehoorzamen, urgentie te voelen en bekende gezichten te vertrouwen. AI-aanvallen spelen hier perfect op in door deze psychologische triggers met chirurgische precisie te activeren.
De gedragswetenschappelijke aanpak: verder kijken dan het oppervlak
Als patronen niet meer betrouwbaar zijn, moeten organisaties dieper kijken. Niet naar wat medewerkers zien of horen, maar naar hoe zij beslissingen nemen onder druk.
Gedragsanalyse — zoals de Q-Method die Nexus-7 toepast — biedt een fundamenteel andere benadering. In plaats van iedereen dezelfde training te geven, worden individuele gedragsprofielen opgesteld die in kaart brengen:
- Risicobereidheid: Hoe snel neemt iemand beslissingen onder druk?
- Autoriteitsgevoel: In welke mate volgt iemand instructies van leidinggevenden zonder verificatie?
- Patroonherkenning: Hoe goed herkent iemand subtiele afwijkingen in communicatie?
- Sociale beïnvloedbaarheid: Hoe vatbaar is iemand voor groepsdruk of urgentieargumenten?
Deze profielen maken het mogelijk om beveiligingsmaatregelen te personaliseren. Een medewerker die hoog scoort op autoriteitsgevoel krijgt extra verificatiestappen bij verzoeken van leidinggevenden. Iemand die impulsief reageert op urgentie krijgt verplichte wachttijden bij financiële transacties.
Praktische maatregelen voor organisaties
Technologische verdediging
- Implementeer verificatieprotocollen voor alle financiële transacties en gevoelige verzoeken, ongeacht het communicatiekanaal
- Gebruik digitale handtekeningen voor interne communicatie over kritieke onderwerpen
- Zet AI-detectietools in die deepfakes en AI-gegenereerde tekst kunnen identificeren
- Monitor communicatiepatronen met behulp van anomaliedetectie
Menselijke verdediging
- Voer gedragsanalyses uit om individuele kwetsbaarheden in kaart te brengen
- Pas training aan per profiel in plaats van generieke bewustwordingsprogramma's
- Creëer een cultuur van verificatie waarin het normaal is om verzoeken te dubbelchecken
- Oefen met realistische simulaties die AI-gegenereerde aanvallen nabootsen
- Stel duidelijke escalatieprocedures vast voor ongebruikelijke verzoeken
Organisatorische verdediging
- Beperk openbare informatie over interne processen, hiërarchie en projecten
- Implementeer het vier-ogenprincipe voor alle transacties boven een drempelbedrag
- Voer regelmatig red team-oefeningen uit met AI-tools
- Evalueer leveranciers op hun weerbaarheid tegen AI-gestuurde aanvallen
De toekomst: een wapenwedloop die menselijk inzicht vereist
De strijd tussen aanvallers en verdedigers is een wapenwedloop, en AI heeft het speelveld fundamenteel veranderd. Technologie alleen kan deze strijd niet winnen — daarvoor zijn de aanvallen te menselijk geworden.
Organisaties die hun weerbaarheid willen versterken, moeten investeren in het begrijpen van menselijk gedrag. Niet als bijzaak, maar als kernonderdeel van hun beveiligingsstrategie. Gedragsanalyse biedt het inzicht dat nodig is om medewerkers niet alleen te trainen, maar écht weerbaar te maken — ook tegen de aanvallen die ze niet als zodanig herkennen.
De vraag is niet meer óf uw organisatie te maken krijgt met AI-gestuurde social engineering, maar wanneer. En het antwoord op die dreiging begint bij het begrijpen van de mensen achter de schermen — uw eigen medewerkers.
