Nederlandse cybersecuritybeslissers hebben veel meer vertrouwen in de weerbaarheid van medewerkers tegen phishing, voice scams en deepfakes dan die medewerkers zelf. Dat blijkt uit onderzoek van KnowBe4. Bij deepfakes is het verschil het grootst: 98 procent van de beslissers rekent erop dat medewerkers ze herkennen, tegenover 54 procent van de medewerkers zelf.
Vanson Bourne voerde het onderzoek, met de titel From Agentic Risk to Human Wins, uit in opdracht van KnowBe4. Wereldwijd deden 4.000 respondenten mee, onder wie 50 cybersecuritybeslissers en 200 medewerkers uit Nederland. Medewerkers gaven aan hoeveel vertrouwen ze hebben in hun eigen vermogen om verschillende vormen van social engineering te herkennen. De beslissers beoordeelden diezelfde weerbaarheid, maar dan voor hun personeel.
De uitkomsten liggen ver uit elkaar. Van de medewerkers zegt 13 procent phishingmails niet met zekerheid te kunnen herkennen. Geen enkele beslisser verwacht dat. Bij voice scams gaat het om 10 procent, tegenover opnieuw 0 procent van de beslissers.
Bij impersonatieberichten via interne tools wordt het gat groter. Daarbij doet een oplichter zich bijvoorbeeld voor als een collega of vertrouwde organisatie. Van de medewerkers twijfelt 26 procent aan het eigen oordeel, terwijl slechts 2 procent van de beslissers denkt dat het personeel zulke berichten niet doorziet. Interne berichten keren ook in eerdere KnowBe4-cijfers terug: in het tweede kwartaal van 2025 had 98,4 procent van de populairste phishingsimulaties een intern thema. HR-mails stonden met 42,5 procent bovenaan.
Deepfakes herkennen is bijna gokken
Bij deepfakes is de onzekerheid het grootst. Van de Nederlandse medewerkers heeft 43 procent geen vertrouwen in het herkennen van nagemaakte video of audio. Bij de beslissers denkt slechts 2 procent dat het personeel daar moeite mee heeft.
“De cijfers laten zien dat er een duidelijke kloof bestaat tussen het vertrouwen van cybersecuritybeslissers en dat van medewerkers zelf. Dit verschil baart zorgen, omdat beslissers verantwoordelijk zijn voor het inschatten en beperken van cyberrisico’s”, zegt Martin Kraemer, CISO Advisor bij KnowBe4. Hij wijst op gedragsonderzoek waaruit blijkt dat mensen deepfakevideo’s maar in 50 tot 65 procent van de gevallen goed herkennen. Tijdens live videogesprekken kan dat zakken tot ongeveer 25 procent. Dat is nauwelijks beter dan gokken.
Hoe zo’n aanval in de praktijk uitpakt, bleek bij ingenieursbureau Arup. Een medewerker in Hongkong maakte daar na een deepfake-videogesprek ongeveer 25 miljoen dollar over. Tijdens dat gesprek zag hij een nagebootste CFO en nagebootste collega’s. In totaal ging het om vijftien overboekingen.
Eerder op ICT Magazine: KnowBe4 komt met browserextensie tegen Shadow AI
AI maakt misleiding overtuigender
Daar komt kunstmatige intelligentie nog bij. Volgens het Phishing Threat Trends Report Volume Seven van KnowBe4, gebaseerd op data van meer dan 3.000 dreigingsactoren, wordt 86 procent van de phishingaanvallen inmiddels aangestuurd door AI. Vroeger viel phishing vaak op door slecht taalgebruik. Nu stemmen aanvallers met generatieve AI hun berichten, stemmen en beelden steeds beter af op hun doelwit.
Ook eerder onderzoek van KnowBe4 wees al op de menselijke factor. Het aantal incidenten door menselijk handelen steeg met 90 procent en 93 procent van de organisaties kreeg te maken met aanvallen die misbruik maakten van menselijk gedrag.
Wat moeten organisaties nu doen? Kraemer adviseert om regelmatig te toetsen of het beeld van de beslissers klopt met hoe medewerkers hun eigen weerbaarheid ervaren. Volgens hem kunnen training, awareness en verificatieprocedures dan beter aansluiten op de risico’s en onzekerheden waar medewerkers in de praktijk mee te maken hebben.