Nepmail namens je webbureau: zo herken je hem voordat je antwoordt

Nepmail namens je webbureau: zo herken je hem voordat je antwoordt

Een nepmail namens je webbureau bevat zelden een verdachte link. Hij bevat een deadline, een geloofwaardige naam en een beleefd verzoek om te antwoorden, en precies dat antwoord is de bedoeling. Studio Ubique is een webdesign- en SEO-bureau uit Zwolle, actief sinds 2012, dat maatwerk websites, webshops en applicaties bouwt voor het Nederlandse mkb en internationale opdrachtgevers. Op 1 oktober 2026 kreeg een van onze klanten zo’n mail, onder onze naam, en stuurde hem binnen het uur naar ons door.

Een phishingmail die alleen om een antwoord vraagt, is niet lui. Hij is geduldig, en geduld is goedkoper dan een nep-inlogpagina.

Wat er in de inbox lag

De mail kwam om 12:39 van [email protected], ondertekend door Lennart de Ridder, een van onze partners. Onderwerp: “Important: CMS Update and Website Maintenance Required Before October 10”. Het verhaal: WordPress Support had gebeld na een conferentie, de website voldeed niet aan de nieuwste CMS-updates en zonder actie vóór 10 oktober kon hij gemarkeerd worden. En nu we toch bezig waren, graag ook een complete SEO-setup voor het nieuwe jaar. In oktober.

Outlook zette er zelf een waarschuwing boven: de ontvanger kreeg niet vaak mail van dit adres. De vestigingsmanager stuurde hem door naar haar directeur, met de vraag of dit echt was. Hij ging ervan uit dat het nep was, stuurde hem naar ons supportadres en stelde voor onze andere klanten te waarschuwen. Twee keer goed gezien.

Studio Ubique bedient het Nederlandse mkb en internationale opdrachtgevers. Die lijst blijkt nu ook iemand anders te interesseren.

Waarom DMARC hier niets deed

Niets aan onze kant had deze mail kunnen tegenhouden, want hij kwam nergens in de buurt van ons domein. SPF, DKIM en DMARC beschermen studioubique.com: ze vertellen ontvangende servers welke machines namens dat domein mogen mailen. Een Gmail-adres hoort bij het domein van Google, en dat domein slaagt voor elke controle. Technisch was de mail foutloos.

Nu het deel waar niet iedereen het mee eens zal zijn. Het standaardadvies na een phishingschrik is “zet DMARC aan”, en tegen een nagemaakt domein klopt dat advies. Tegen imitatie vanaf een gratis mailaccount doet het helemaal niets. De verdediging is hier een lezer die naar het adres kijkt, geen DNS-record.

Echt of nep

• Echt als: het adres eindigt op @studioubique.com en de mail gaat over werk dat je al kent.
• Nep als: hij van een gratis mailaccount komt, een deadline noemt waar je nooit van hoorde, of verwijst naar een telefoontje van “WordPress”.
• Eerst checken als: een mail vraagt om te betalen, je rekeningnummer te wijzigen, ergens in te loggen of snel te antwoorden. Bel ons dan op het nummer dat je al hebt.

Vijf signalen van een nepmail

Lees eerst de envelop, dan pas de brief. Het meeste dat zo’n mail verraadt, staat buiten het bericht zelf.

• Het adres. Een gratis mailaccount met de naam van een bureau erin is het eerste en luidste signaal.
• De taal. Een Engelse mail aan een Nederlandse klant, van een bureau dat je normaal in het Nederlands mailt, past er niet bij.
• De hoofdletters. Onderwerpregels Met Elk Woord Een Hoofdletter zie je veel in sjablonen en weinig in gewone correspondentie.
• De handtekening. Een plaatje met “Kind regards” in sierschrift, onder een functietitel die niemand bij het bureau gebruikt.
• De deadline. Een precieze datum met vage gevolgen, zoals “kan gemarkeerd worden”, is druk, geen informatie.

Los zegt geen van deze vijf iets. Drie samen vormen een patroon.

Waarom er geen link in stond

De ontbrekende link is het slimme deel. Links worden tegengehouden door filters en door oplettende lezers, een antwoord niet. Zodra je reageert, kan de volgende mail een factuur voor de “update” bevatten, een nieuw rekeningnummer of een inlogpagina, en dan zit je al in een gesprek met iemand die je denkt te kennen.

Let dus op de tweede mail. De eerste vraagt alleen aandacht. De tweede vraagt iets. Phishing en spoofing was het vaakst gemelde misdrijf in het Internet Crime Report 2024 van de FBI, met 193.407 meldingen, en weinig daarvan hadden meer nodig dan dit.

Als je al hebt geantwoord

Antwoorden is geen ramp. Betalen of inloggen is de stap die geld kost.

Meestal gaat het in deze volgorde. Je antwoordt en krijgt een vriendelijk bericht terug. Daarna volgt een betaalverzoek, of een link naar iets dat lijkt op een WordPress- of hostinglogin. Betaal je, dan is het geld vaak binnen een paar dagen weg. Log je in, dan is dat account voortaan van een ander, net als alles waar het bij kan.

Stop dus het gesprek en laat het ons weten via een adres of telefoonnummer dat je al had, niet via dat in de mail. Heb je betaald, bel dan dezelfde dag je bank. Heb je een wachtwoord ingevuld, verander het overal waar je het gebruikt en zet tweestapsverificatie aan. Je kunt het ook melden bij de Fraudehelpdesk.

Zo mailen wij je echt

Echte mail van Studio Ubique komt van een adres dat eindigt op @studioubique.com. We schrijven in jouw taal, vaak in het Nederlands en het Engels samen, met gewone onderwerpregels en een handtekening in platte tekst. We bellen je niet namens WordPress, want WordPress belt niemand.

Eén bekentenis. Ons portfolio noemt klanten bij naam en laat hun werk zien, omdat dat ons nieuwe klanten oplevert. Het geeft ook een kant-en-klare doelwittenlijst aan iedereen die zich als ons wil voordoen. Die afweging was er altijd al. Op 1 oktober kreeg hij een gezicht.

Voor de websitekant, updates en beveiliging, is er website ondersteuning. Je inbox kun alleen jij controleren, en dat kost vijf minuten.

Wat je maandelijks checkt

• Doorstuurregels die je niet zelf hebt gemaakt. Een stille doorsturing naar een extern adres is het klassieke teken van een mailbox die iemand anders beheert.
• Recente aanmeldingen vanaf plekken of apparaten die je niet kent.
• Elk verzoek om een rekeningnummer te wijzigen, van wie dan ook, telefonisch bevestigd op een nummer dat je al had.
• Adressen in je inbox die lijken op namen waarmee je werkt.

Imitatie vanaf een gratis mailaccount omzeilt SPF, DKIM en DMARC, omdat het verzendende domein van de mailprovider is en niet van het bedrijf dat wordt nagedaan. De betrouwbare controle ligt bij de lezer: het afzenderadres, de taal en een onverwachte deadline. Het Internet Crime Report 2024 van de FBI telde bijna 2,8 miljard dollar schade door business email compromise. Studio Ubique mailt klanten vanaf adressen op @studioubique.com.

Veelgestelde vragen

Kan iemand mailen namens mijn bureau zonder iets te hacken?

Ja. Een gratis mailaccount en een gekopieerde handtekening zijn genoeg, en omdat er niets gehackt wordt, kan het bureau zelf het ook niet tegenhouden.

Had DMARC deze mail tegengehouden?

Nee. DMARC beschermt een domein tegen namaak, en deze mail kwam van een Gmail-adres, dat voor het eigen domein van Google voor elke controle slaagt.

Neemt WordPress contact op met website-eigenaren over verplichte updates?

Nee. WordPress is opensourcesoftware en er is geen WordPress-supportlijn die eigenaren belt met deadlines; updates komen via je beheeromgeving of via degene die je site onderhoudt.

Ik heb op een link in zo’n mail geklikt. Wat nu?

Vul verder niets in. Heb je een wachtwoord ingevuld, verander het en zet tweestapsverificatie aan, heb je betaald, bel dan dezelfde dag je bank, en laat het daarna het bureau weten via contactgegevens die je al had.

Hoe meld ik een nep-Gmail-account?

In de Gmail Help staat een formulier met de naam Report abuse from a Gmail account. Het vraagt om het afzenderadres, de inhoud en de volledige header van de mail, en juist die header maakt de melding bruikbaar.

Doorsturen kost tien seconden

Zo’n mail negeren kost niets, beantwoorden kan een factuur, een wachtwoord of een overboeking kosten. Doorsturen naar ons kost tien seconden.

Stuur hem naar ons

Stuur een twijfelachtige mail door naar support[at]studioubique.com.