Om de phishingplaag te lijf te gaan, heeft de overheid een “revolutionaire” nieuwe tool ter beschikking. Op tien minuten tijd zal ze nieuwe malafide sites kunnen detecteren en mogelijke gedupeerden omleiden naar een waarschuwingspagina.

“We kunnen de phishingpogingen hiermee 70 tot 80 procent doen zakken”, maakt Geert Baudewijns, CEO van Secutec, zich sterk. Hij sloot samen met de Federale Gerechtelijke Politie (FGP) en het Centrum voor Cybersecurity een nationaal protocol tegen die vorm van cybercriminaliteit. Bedoeling is om nieuwe kwaadaardige websites automatisch te detecteren en ervoor te zorgen dat een bezoeker die zich van geen kwaad bewust is, snel wordt afgeleid naar een waarschuwingspagina.

Het is de logische volgende stap van het pilootproject Phish Nemo, dat het Datalab-team van de FGP Limburg sinds 2022 heeft lopen. Het idee erachter was: het is beter malafide sites snel te detecteren, een echt onderzoek kan pas na een formele klacht. Phish Nemo heeft alleszins zijn deugdelijkheid bewezen. Sinds 2022 hebben zij 1.600 kwaadaardige sites geblokkeerd en ruim 120.000 potentiële slachtoffers vermeden.

Het is niet overdreven om van een phishingplaag te spreken. Zeker sinds de grote boom van AI is het een pak eenvoudiger om zo’n website op poten te zetten. De cijfers zijn hallucinant. Via hun website verdacht@safeonweb.be kreeg het Centrum voor Cybersecurity afgelopen jaar een slordige 10 miljoen meldingen binnen. Zij hebben hun eigen anti-phishingmaatregel, de BAPS-phishingdatabank. BAPS staat voluit voor Belgian Anti-Phishing Shield. “We blokkeren de site niet, maar leiden bezoekers af naar een waarschuwingspagina”, zegt de woordvoerder van het Centrum. 200 miljoen keer kregen malafide sites zo nul op het rekest in 2025.

De FGP maakt hun tool nu over het aan het Centrum, dat er samen met Secutec mee aan de slag gaat. Nieuwe websites uit de Benelux scant Secutec op de aanwezigheid van phishing-software. Is er iets niet pluis, dan gaan ze over tot verdere analyses van domeinnamen en IP-adressen. Ondertussen stopt het Centrum voor Cybersecurity die in hun databank, zodat elke internetprovider van het land weet dat er omgeleid moet worden. “Op tien minuten kunnen we die sites zo onschadelijk maken”, zegt Baudewijns. “Dat is echt revolutionair.” Vandaag moet Secutec verdachte sites nog handmatig invoeren, een proces dat makkelijk enkele uren tot zelfs enkele dagen in beslag kan nemen.

Het voordeel daarvan is dat je ook niet afhankelijk bent van Amerikaanse reuzen als Meta – het bedrijf achter Facebook en Instagram – of Google. Het wemelt van de frauduleuze advertenties op hun sites, maar ze reageren maar traag op een vraag om die te verwijderen. Met de hulp van de telecombedrijven hoeven we daar niet meer op te wachten.

Of het nu echt het einde is van phishing, valt te betwijfelen. “Het is en blijft een kat-en-muisspel”, zegt Baudewijns. “Met nieuwe websites zal het dankzij dit protocol niet meer lukken, ik verwacht dat de criminelen nu zullen proberen oude certificaten over te kopen en die te recycleren voor phishing. Maar toch, dit is een belangrijke poort die we sluiten.”

En eentje waar ze in het buitenland met de nodige afgunst naar kijken. In tegenstelling tot België hebben ze daar geen centrale database voor alle internetproviders en zijn ze heel beducht om een onschuldige site te blokkeren.