Herkennen phishing mails moeilijker maken, waarom niet?
Phishingmails komen tegenwoordig wel zo ongeveer dagelijks in je mailbox. Sommige van die mails lijken wel heel erg echt. Het is een speciale kunst om die berichten te ontmaskeren. En soms werken de instanties die mailings versturen hierin niet echt mee. Want waarom makkelijk als het moeilijk kan?
Strubbelingen met VinkVink
Vandaag kreeg ik een mail over de inlogmethode van mijn nieuwe zorgverzekering VinkVink over hun app. Daarin stond dat ik op 6 mei ook een mail hierover had gekregen. En dat klopt ook. Die mail had ik ter verificatie naar fraudehelpdesk <valse-email@fraudehelpdesk.nl> gestuurd. Ik kreeg een bericht terug dat dit waarschijnlijk een phishing mail was. Ik had zelf namelijk gezien dat het domein niet vinkvink.nl is, maar mailing-vinkvink.nl. Ik wilde dat toen al melden, maar ik zag geen chat knop op hun website. Via telefoon of mail is dat verder niet mogelijk.
Contact
Vandaag wilde ik het nog eens melden, want ook vandaag oordeelde de fraudehelpdesk dat het een phishing mail is, maar ik vond alweer geen chatknop rechtsonder in het scherm. De app werkte ook niet goed met het inloggen via digid door een storing vandaag. Als dan het inloggen niet werkt, krijg je het advies om contact op te nemen met de servicedesk, die er dus ook niet is. Al met al heel frustrerend, en draagt niet bij aan het vertrouwen in VinkVink.
Lekker moeilijk maken
Ik heb nu ondertussen ontdekt dat de chatknop tevoorschijn komt als je de ad-blocker uitzet. Waarom dat precies is, heb ik nog niet bekeken, maar ik vind het niet doordacht van de websitebeheerder om dit niet goed te testen, of dit feit gewoon te negeren. Via de chat ben ik er daarna achter gekomen dat dit géén phishing mail was. Noa de chatbot zegt namelijk:
Onze commerciële mailingen zijn afkomstig van het volgende e-mailadres: vinkvink@post.mailing-vinkvink.nl.
Hoe kan een gebruiker in godsnaam weten of dit een phishing mail is of niet, wanneer VinkVink zelf andere domeinen gebruikt voor hun mailing? Ligt het niet voor de hand een subdomein voor de mailing te gebruiken, zoals bijvoorbeeld mailing.vinkvink.nl?
Nonchalant
Het komt nogal nonchalant over, geen contactmogelijkheid als je een adblocker gebruikt en een apart mailingdomein, waardoor het niet te herkennen is als authentiek afkomstig van de organisatie. Hopelijk komen hier geen ongelukken door. Je hebt wel zeker meer dan zeven vinkjes nodig om al deze hobbels zonder problemen te kunnen nemen.