Website beveiliging tegen AI-phishing: 5-stappenplan [2026]

Een phishingmail met perfecte spelling, jouw eigen logo en een geloofwaardig afzendadres. Je klant klikt, voert zijn wachtwoord in op een exacte kopie van jouw website, en je merkt het pas maanden later. De gemiddelde detectietijd in Nederland is 204 dagen.^[4]

Eerder vergde het opzetten van een overtuigende phishingcampagne zestien uur werk. Vandaag kost het vijf minuten.^[3] AI schrijft foutloze teksten, kloont websites pixel-perfect en personaliseert aanvallen op grote schaal. De totale phishingschade in Nederland bedroeg in 2025 al €168 miljoen, met een gemiddelde van €4.800 per aanval.^[4]

Dit artikel richt zich specifiek op Nederlandse website-eigenaren met een WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren.-site of shared hostingKeurigOnline zegtShared hostingShared hosting is een hostingvorm waarbij meerdere websites dezelfde serverresources delen.. Je krijgt een concreet 5-stappenplan waarmee je zowel je website als je e-maildomein beveiligt, zonder enterprise-budget of eigen IT-afdeling.

Wat is AI-phishing en waarom is het zo gevaarlijk in 2026?

Traditionele phishingKeurigOnline zegtPhishingPhishing is een cyberaanval waarbij criminelen zich voordoen als betrouwbare organisaties om gevoelige informatie te stelen. viel op door spelfouten en generieke aanhef. Die herkenningspunten zijn verdwenen. AI produceert perfect Nederlands, kloont merkidentiteiten tot in de details en personaliseert berichten op basis van LinkedIn-profielen of onderschepte e-mails.

Inmiddels is 86% van alle phishingaanvallen AI-gestuurd, een stijging van 80% in 2024 naar 86% nu.^[1] Die AI-phishingmails halen een click-through rate van 54%, tegenover 12% voor traditionele phishing.^[2] AI bracht de campagnevoorbereidingstijd terug van zestien uur naar vijf minuten,^[3] terwijl de totale phishingschade in Nederland in 2025 €168 miljoen bedroeg, gemiddeld €4.800 per aanval.^[4]

Meer achtergrondinformatie over hoe AI-tools ook door kwaadwillende partijen worden ingezet, lees je in ons artikel over het Google AI-ecosysteem.

Hoe AI-phishing jouw website aanvalt

AI-phishing richt zich niet alleen op eindgebruikers, maar specifiek op de infrastructuur van website-eigenaren. Vier aanvalspatronen zijn direct relevant:

• Website-kloning: AI-tools kopiëren jouw volledige site in minuten, inclusief huisstijl, teksten en formulieren. Zscaler ThreatLabz ontdekte in 2026 al meer dan 413.000 AI-gegenereerde website-instances.^[5]
• Lookalike domeinen: Typosquatting op jouw domeinnaamKeurigOnline zegtDomeinnaamEen domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai. misleidt klanten die jouw URL iets verkeerd typen. AI genereert en registreert honderden varianten automatisch.
• E-mail spoofing: Phishingmails die lijken te komen van jouw domein, voor facturen, wachtwoordresets of orderbevestigingen. Zonder DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. kan iedereen dit doen.
• Multichannel-aanvallen: Aanvallers breiden uit naar agenda-uitnodigingen (+49%) en Microsoft Teams (+41%).^[1]

Belangrijk om te weten: 95,2% van alle phishingpogingen verbergt zich al achter versleuteld HTTPS-verkeer.^[5] Een slotje in de adresbalk is geen bewijs van een betrouwbare site. Website-kloning en AI-gebaseerde webcrawlers maken het voor aanvallers eenvoudiger dan ooit om een perfecte imitatie van jouw site te bouwen.

Stap 1: e-mailauthenticatie instellen (SPF, DKIM en DMARC p=reject)

Dit is de meest impactvolle stap, en tegelijk de meest gemiste: slechts 22,9% van alle domeinen heeft DMARC-enforcement actief.^[6] De drie lagen werken samen als een sluitend systeem:

• SPF (Sender Policy Framework): een DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. TXT-recordKeurigOnline zegtTXT-recordEen TXT-record bevat tekstinformatie in DNS, vaak gebruikt voor domeinverificatie en e-mailbeveiliging. dat vastlegt welke mailservers e-mail mogen versturen namens jouw domein.
• DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. (DomainKeys Identified Mail): voegt een cryptografische handtekening toe aan elke uitgaande e-mail, zodat de ontvanger kan verifiëren dat het bericht niet is gemanipuleerd.
• DMARC (Domain-based Message Authentication): de policy-laag. Geeft ontvangende mailservers de instructie wat te doen bij een mismatch: p=none (alleen monitoren), p=quarantine (spam), of p=reject (weigeren). Alleen p=reject beschermt effectief.

Zo implementeer je DMARC stap voor stap

1. Begin met p=none en voeg een rua= rapportage-adres toe. Je ontvangt dan dagelijkse XMLKeurigOnline zegtXMLXML is een opmaaktaal die gebruikt wordt om gestructureerde data uit te wisselen tussen systemen.-rapporten over wie e-mail verstuurt namens jouw domein.
2. Na twee weken: schakel over naar p=quarantine als de rapporten laten zien dat legitieme e-mail correct wordt geauthenticeerd.
3. Na vier tot zes weken: zet op p=reject. Vanaf dit moment worden nep-e-mails met jouw domein geweigerd bij de ontvanger.

Test je huidige configuratie gratis via internet.nl, het testplatform van het NCSC. Slechts 5,25% van de Nederlandse maildomeinen scoort hier 100%, er is dus werk aan de winkel.^[7]

Stap 2: je domein beschermen tegen nabootsing

DMARC beschermt jouw exacte domein. Aanvallers registreren dan een variant: jouwbedrijf-factuur.nl, jouwebdrijf.nl of een internationaal karakter dat er identiek uitziet. Twee concrete maatregelen helpen hiertegen:

Defensieve domeinregistraties: registreer de meest voor de hand liggende typosquats van jouw domeinnaamKeurigOnline zegtDomeinnaamEen domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai.. Focus op de .com-variant als je alleen .nl hebt, een veelgemaakte tikfout in jouw naam, en de .be-variant als je ook Belgische klanten bedient. Niet alle honderden varianten, alleen de gevaarlijkste drie tot vijf.

Domeinmonitoring: stel automatische alerts in die nieuwe lookalike-registraties signaleren via Certificate Transparency-logs. Gratis opties: MXToolbox (DMARC-monitoring en alerts) en OpenBait.com (CT-log monitoring). Betaald en uitgebreider: CloneDetector.com met meer dan 38 detectiemethoden inclusief visuele hash-vergelijking van de website zelf.

Snelle actie bij een kloondome­in is essentieel: een klant die op jouwebdrijf.nl klikt, ziet een perfecte kopie van jouw site en vermoedt niets.

Stap 3: je website hardenen (WAF, CSP, HTTPS en WordPress)

Vier beveiligingslagen voor de website zelf, van fundamenteel naar geavanceerd:

HTTPS: voorwaarde, geen bescherming

HTTPS versleutelt het verkeer tussen bezoeker en server. Het zegt niets over de betrouwbaarheid van de site zelf. Stel het in als basis en combineer het met de lagen hieronder. Lees hoe je dit correct configureert in ons artikel over SSL-certificaten en websiteveiligheid.

WAF: blokkeer aanvallen voor ze je site raken

Een Web Application FirewallKeurigOnline zegtFirewallEen firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. (WAF) filtert kwaadaardig verkeer voordat het je applicatie bereikt. Voor WordPress: Wordfence of Cloudflare (gratis tier volstaat voor de meeste MKB-sites). Concrete instellingen: rate-limiting op /wp-login.php (maximaal 10 verzoeken per minuut per IP) en blokkeer /xmlrpc.php voor niet-APIKeurigOnline zegtAPIEen API (Application Programming Interface) is een set regels en protocollen waarmee softwareapplicaties met elkaar kunnen communiceren en gegevens uitwisselen.-clients. WAF biedt ook virtual patching: een kwetsbare plugin is al beveiligd op firewallniveau, nog voor de update uitkomt.

Content Security Policy: stop XSS aan de bron

Een Content Security Policy (CSP) vertelt de browser welke scripts en bronnen geladen mogen worden. Begin met de header Content-Security-Policy-Report-Only om schendingen te loggen zonder de site te breken. Scherp daarna geleidelijk aan. Aanvullende security headersKeurigOnline zegtSecurity HeadersHTTP-headers die je website extra beschermen. voor HSTSKeurigOnline zegtHSTSHSTS forceert browsers om alleen via HTTPS te verbinden met je website., X-Frame-Options en Referrer-Policy voeg je toe via .htaccess. Kant-en-klare snippets vind je in ons overzicht van 20 .htaccess code snippets.

WordPress-specifieke maatregelen

WordPress drijft 43% van het internet en ontvangt daardoor 90.000 geautomatiseerde aanvallen per minuut. Drie directe acties: verberg de standaard wp-admin-URL, schakel XMLKeurigOnline zegtXMLXML is een opmaaktaal die gebruikt wordt om gestructureerde data uit te wisselen tussen systemen.-RPC uit voor niet-APIKeurigOnline zegtAPIEen API (Application Programming Interface) is een set regels en protocollen waarmee softwareapplicaties met elkaar kunnen communiceren en gegevens uitwisselen.-clients, en installeer alleen plugins uit de officiële WordPress.org-repository. Combineer dit met een actueel beveiligingsbeleid voor snelheid en beveiliging, zoals beschreven in ons artikel over WordPress sneller maken in 2026.

Stap 4: phishing-resistente MFA activeren (FIDO2 versus SMS)

Dit is de meest onderschatte stap. Standaard MFA beschermt niet tegen AiTM-aanvallen (Adversary-in-the-Middle). Hoe het werkt: een AiTM-proxy staat tussen jou en de echte dienst. Jij logt in, voert je MFA-code in, en de proxy onderschept de sessiecookie. De aanvaller heeft daarna 24 tot 72 uur volledige toegang, zonder dat je wachtwoord of telefoon nodig is.

59% van alle gecompromitteerde accounts had MFA ingeschakeld op het moment van compromis.^[8] AiTM-phishingkits zoals Tycoon 2FAKeurigOnline zegt2FA2FA (tweefactorauthenticatie) is een beveiligingsmethode die naast je wachtwoord een tweede verificatie vereist. en EvilProxy zijn beschikbaar vanaf $120 per maand.

Welke MFA-methode beschermt echt?

• SMS-codes: kwetsbaar voor AiTM en SIM-swapping.
• TOTP-apps (Google Authenticator, Authy): kwetsbaar voor AiTM.
• Push-notificaties: kwetsbaar voor MFA-fatigue en AiTM.
• FIDO2 / Passkeys: volledig phishing-resistent. De browser weigert de sleutel te gebruiken op een ander domein dan het origineel. AiTM is architectureel onmogelijk.

Voor WordPress: installeer een passkey-plugin voor wp-admin. Google Workspace en Microsoft 365 ondersteunen FIDO2 al volledig. Hardware-opties zijn een YubiKey (circa €30 tot €50) of een YubiKey-as-a-Service-abonnement voor teams.

Stap 5: monitoring instellen en je omgeving testen

Bescherming is pas compleet als je weet dat het werkt. Gebruik deze toolset om je configuratie te verifiëren:

• internet.nl (NCSC-partner, gratis): test mail én webstandaarden in één scan. Slechts 5,25% van de Nederlandse maildomeinen scoort 100%.
• MXToolbox.com (gratis): DMARC/SPF/DKIM lookup en monitoring-alerts bij configuratiewijzigingen.
• SSLKeurigOnline zegtSSLSSL (Secure Sockets Layer) is een beveiligingsprotocol voor versleutelde internetverbindingen. Labs door Qualys (gratis): HTTPS-kwaliteit en security headersKeurigOnline zegtSecurity HeadersHTTP-headers die je website extra beschermen..
• CloneDetector.com of OpenBait.com: continue monitoring op domeinnabootsing via Certificate Transparency-logs.

Minimale maandelijkse checklist voor MKB

1. Voer een internet.nl-scan uit na elke DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn.-wijziging.
2. Bekijk je DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM.-rapporten: onbekende afzenders zijn een signaal dat iemand jouw domein misbruikt.
3. Voer alle WordPress-plugin-updates door binnen 48 uur na release.
4. Controleer domeinmonitoring-alerts op nieuwe lookalike-registraties.

Veelgestelde vragen over website beveiliging en AI-phishing