Een aanvaller heeft maar zo’n vijf minuten nodig om je website te klonen. Door je echte pagina in een AI-tool in te voeren, kan die een perfecte kopie maken, inclusief het inlogformulier. Een andere mogelijkheid is een nepprofiel voor klantenservice aanmaken met jouw logo en een gebruikersnaam die maar één teken van je echte naam verschilt. Het kost vrijwel niets en er is nauwelijks kennis voor nodig. Precies daarom gebeurt het zo vaak.
Vanaf dat moment tikt de klok, sneller dan de meeste bedrijven kunnen bijbenen. Uit het datalekrapport van Verizon blijkt dat een klant die op een phishingpagina belandt, gemiddeld na 21 seconden inloggegevens invoert. De nepwebsite verdwijnt meestal binnen een halve dag, omdat het doel dan al is bereikt. En zelfs als je team de situatie in de gaten houdt, hoort het er mogelijk pas iets over wanneer een klant klaagt.
Dit is geen klein probleem. In 2025 stelde de FTC vast dat oplichting die op sociale media begon, tot meer dan $ 2,1 miljard aan verliezen leidde. Dat is ongeveer acht keer zoveel als in 2020. Identiteitsdiefstal was bovendien vijf jaar op rij de meest gemelde vorm van fraude. Mensen die geld verliezen, denken dat ze met jou te maken hebben. De gevolgen, waaronder boze telefoontjes, verlies van vertrouwen en reputatieschade, raken dus jouw merk, ongeacht of je bij de transactie betrokken was.
Het vervelende is dat merkimitatie niet langer draait om de vraag of je vervalsingen kunt herkennen: daar zijn inmiddels veel tools voor. Het gaat nu om hoe snel je kunt handelen. Als een aanvaller binnen enkele minuten een overtuigende vervalsing maakt en de schade binnen seconden begint, terwijl je monitoringsysteem maar één keer per week controleert, reageer je altijd pas nadat de schade is ontstaan. De schade ontstaat in de periode tussen het moment waarop een vervalsing online komt en het moment waarop jij ervan weet. Dat is de blinde periode. Een systeem voor vroegtijdige waarschuwing moet die periode zo kort mogelijk maken.
Bij merkimitatie draait het nu om snelheid
Jarenlang beperkte de inspanning die merkimitatie vergde de schaal waarop het kon gebeuren. Een overtuigende nepwebsite of een geloofwaardig nepaccount maken kostte tijd en vereiste enige kennis. Daardoor bleef de omvang van deze activiteiten beperkt. Generatieve AI heeft die beperking weggenomen. Een phishingpagina waar een ervaren aanvaller vroeger het grootste deel van een dag aan werkte, is nu in enkele minuten klaar. De gebruikte tools kunnen de visuele identiteit kopiëren, teksten genereren en die automatisch naar elke taal vertalen.
Het gevolg is een sterke toename. In één kwartaal van 2025 registreerde de Anti-Phishing Working Group meer dan een miljoen phishingaanvallen, het hoogste aantal dat de groep ooit heeft vastgelegd. Zodra de kosten om een overtuigende vervalsing te maken tot bijna nul dalen, groeit het aantal vervalsingen sneller dan welk handmatig beoordelingsproces ook kan verwerken. Kant-en-klare phishingkits kunnen inmiddels de hele operatie uitvoeren: van het opzetten van een inlogpagina in de huisstijl van een merk en het inbouwen van een mechanisme om inloggegevens te onderscheppen tot het aanpassen van de pagina aan de markt waarop de aanvaller zich richt.
Dat verandert de situatie volledig. De centrale vraag was altijd: ‘Kunnen we een vervalsing herkennen?’ Nu is dat: ‘Kunnen we die eerder ontdekken dan onze klanten?’ Merkbescherming verschuift daardoor van iets wat je af en toe doet naar een systeem dat voortdurend actief is. De dreigingen doen zich immers ook voortdurend voor.
De vier vormen van merkimitatie
Het helpt om precies vast te stellen tegen welke soorten aanvallen je je wilt beschermen. Merkimitatie beperkt zich namelijk niet meer tot phishingmails, maar kent minstens vier vormen die meestal tegelijk voorkomen.
Nepprofielen op sociale media. Aanvallers kopiëren je naam, logo en stijl: nepaccounts voor klantenservice die reageren op mensen die hulp zoeken, nepprofielen van leidinggevenden die je medewerkers of klanten berichten sturen, en ogenschijnlijk officiële pagina’s die onder jouw naam mensen oplichten. Omdat op sociale platforms het meeste geld verloren gaat, is dit de grootste afzonderlijke vorm van oplichting. Het patroon is bekend: een klant plaatst een klacht bij je echte account. Binnen enkele minuten reageert een account met een sterk gelijkende gebruikersnaam dat hulp aanbiedt en de klant vervolgens naar een pagina leidt die ongemerkt inloggegevens verzamelt.
Phishingpagina’s en domeinen die op het jouwe lijken. Dit zijn kopieën van je website op domeinen die maar één of twee tekens van jouw domein verschillen, of op vergelijkbare domeinen die bij een vluchtige controle echt lijken. Ze verzamelen gebruikersnamen, wachtwoorden en kaartgegevens. Vaak zijn dit de pagina’s waar een nepadvertentie of nepprofiel de gebruiker ongemerkt naartoe leidt. Een klant die zorgvuldig het slotje en het logo controleert, ziet geen probleem: beide zijn in de kopie overgenomen.
Frauduleuze apps en advertenties. Hierbij maken aanvallers nepapps die jouw merknaam gebruiken en betaalde advertenties die zich voordoen als jouw bedrijf. Die verschijnen in zoekresultaten of op sociale media, waardoor ze bovenaan kunnen komen te staan op pagina’s die je klanten al vertrouwen.
Imitatie van leidinggevenden en zakelijke e-mailfraude: hierbij lijkt een bericht afkomstig van je CEO of CFO en wordt een medewerker gevraagd geld over te maken of toegang te verlenen. Tegenwoordig worden daarbij ook met AI gegenereerde stemmen of video’s gebruikt. Volgens een schatting van de FBI bedroeg de schade door zakelijke e-mailfraude alleen al in 2025 ongeveer $ 3 miljard. Het zijn verschillende deuren naar hetzelfde huis. Een doelgerichte aanvaller gebruikt meerdere methoden tegelijk. Als je je uitsluitend op je e-mailgateway richt, blijft de rest van het gebouw daardoor onbeschermd.
Wie de schade draagt en waarom de kosten zo ongelijk verdeeld zijn
Wanneer iemand zich voordoet als jouw merk, raakt dat iedereen die ermee verbonden is. Je klanten verliezen geld en persoonsgegevens. Omdat ze dachten dat ze met jou te maken hadden, houden ze jou verantwoordelijk. Je merk loopt reputatieschade op en vertrouwen herstellen duurt veel langer dan het verliezen ervan. Je medewerkers en je financiële team zijn het doelwit van zakelijke e-mailfraude (BEC). Ook regelgeving speelt een rol: de Government and Business Impersonation Rule van de FTC, die sinds 2024 van kracht is, neemt dit serieus. De regel maakt daadwerkelijke sancties mogelijk voor degenen die zich als een ander voordoen en voor de schade die onder jouw naam aan klanten wordt toegebracht. Je kunt het dus niet zomaar als andermans probleem beschouwen. Bovendien blijft de reputatieschade lang na het incident bestaan, omdat misleide klanten niet altijd duidelijk onderscheid maken tussen de imitator en jouw bedrijf.
De ongelijke verhouding maakt het probleem zo ernstig: de aanvaller heeft maar vijf minuten en een klein bedrag nodig, terwijl jij weken of maanden kwijt bent aan herstel, klantenservice en het terugwinnen van je reputatie. Aanvallers handelen op machinesnelheid; de meeste programma’s voor merkbescherming bewegen op vergadertempo. Precies om dat verschil draait deze hele aanpak.
Een van de redenen waarom merkimitatie onopgemerkt blijft, is dat geen enkel team er duidelijk verantwoordelijk voor is. Het beveiligingsteam bewaakt het netwerk, het merkteam beheert de marketingkanalen en het fraudeteam monitort transacties. Merkimitatie valt tussen die verantwoordelijkheden in. De helft van het werk zit in vooraf bepalen wie op een incident reageert, in plaats van dat pas tijdens het incident uit te zoeken.
Waarom achteraf opruimen geen bescherming biedt
De meeste programma’s voor merkbescherming zijn reactief, ook als dat niet de bedoeling is. Ze ontdekken vervalsingen pas wanneer een klant meldt te zijn opgelicht. De schade is dan al ontstaan. Bovendien kost het ook na ontdekking tijd om een vervalsing te verwijderen: onderzoek naar phishingdomeinen liet zien dat ze na ontdekking gemiddeld nog ongeveer 11,5 dagen bereikbaar bleven.
Alles bij elkaar schiet de reactieve aanpak ernstig tekort. De nepsite is actief, klanten worden opgelicht en tussen ‘we zien het’ en ‘het is verwijderd’ zitten dagen. Tussen ‘de klant klikt’ en ‘de inloggegevens zijn gestolen’ zitten slechts enkele seconden. Iets ontdekken is niet hetzelfde als het laten verwijderen, en detectie is ook niet hetzelfde als preventie. Als je klanten wilt beschermen en niet alleen wilt vastleggen wat hun overkomt, werkt alleen een aanpak die je vroegtijdig waarschuwt, voordat de vervalsing een publiek heeft opgebouwd.
Wat een systeem voor vroegtijdige waarschuwing monitort
Vroegtijdige waarschuwing vraagt om voortdurende monitoring van alle plekken die een aanvaller kan benutten, in plaats van af en toe één onderdeel te controleren. In de praktijk betekent dit dat je je merknamen, logo’s en communicatie op sociale platforms volgt, evenals nieuwe domeinregistraties die op jouw domeinen lijken, appstores en advertentienetwerken. Ook de namen en foto’s van je leidinggevenden horen daarbij, want zij zijn op zichzelf al doelwitten. Leidinggevenden verdienen aparte aandacht: een overtuigende imitatie van een specifieke leidinggevende straalt meer gezag uit dan een imitatie van het merk en richt zich vaak rechtstreeks op je eigen medewerkers.
Het uitgangspunt is eenvoudig: aanvallers zoeken de plekken op waar je het minste zicht op hebt. Als je websites monitort maar sociale media niet, verschijnen de nepaccounts op sociale media. Als je je belangrijkste merknaam in de gaten houdt, maar de namen van je leidinggevenden of producten niet, slaan ze daar toe. Je hoeft niet overal even intensief te monitoren, maar je moet bewust kiezen voor dekking op de plekken waar je daadwerkelijk risico loopt.
Van signaal naar gerichte actie
Alleen monitoren is niet genoeg. Iedereen kan grote aantallen meldingen produceren; de uitdaging is om elke melding bruikbaar te maken. Een melding waarop je kunt handelen, bevat bewijs, verwijst rechtstreeks naar de specifieke vervalsing en geeft voldoende informatie om snel te beslissen. Gaat het bijvoorbeeld om een actieve pagina die nu inloggegevens verzamelt, of om een geregistreerd, gelijkend domein dat nog niet actief is? Die situaties vragen om verschillende reacties. Een goed systeem helpt je dat onderscheid te maken en zet niet alleen ruwe signalen in een wachtrij.
Ook hier blijkt hoe waardevol het is om een bevinding te kunnen verifiëren. Als een melding rechtstreeks naar het nepaccount of de neppagina verwijst en het bewijs bevat, kan je team die binnen enkele minuten controleren en escaleren. Een signalering zonder toelichting levert alleen extra werk op. Het hele nut van een vroegtijdige waarschuwing vervalt als het vervolgens nog dagen duurt voordat je actie kunt ondernemen.
Zo zet je het in de praktijk op
Een werkbare aanpak voor het opzetten van het systeem ziet er als volgt uit.
- Bepaal wat bescherming verdient: je merknamen, domeinen, logo’s, productnamen en de identiteit van je leidinggevenden.
- Volg aanvallen op de kanalen waar ze daadwerkelijk plaatsvinden en die aanvallers gebruiken: sociale media, websites en domeinen, apps en advertenties, naast e-mail.
- Maak meldingen bruikbaar. Elke melding moet bewijs en voldoende details bevatten om je te richten op actuele risico’s in plaats van op inactieve systemen.
- Leg vooraf je reactieprocedures vast, inclusief de kanalen om bij elk platform en elke registrar meldingen en verwijderingsverzoeken in te dienen. Zo hoef je die tijdens een incident niet meer uit te zoeken.
- Meet de tijd dat een vervalsing actief blijft: hoelang het duurt om die te ontdekken en hoelang het vervolgens duurt om die te laten verwijderen. Als die tijd niet afneemt, heeft de rest van je inspanningen feitelijk geen effect.
- Laat je fraude- en communicatieteams samenwerken, zodat bevestigde gevallen van merkimitatie ook aanleiding zijn om echte klanten te waarschuwen en niet alleen om de inhoud te laten verwijderen.
Een groot team is niet nodig. Wat je nodig hebt, is de overstap van incidentele controles naar doorlopende monitoring en de gewoonte om je aanpak steeds op snelheid te verbeteren.
Merken die als eerste op de hoogte zijn, winnen
Organisaties die merkimitatie effectief aanpakken, hebben niet per se de slimste detectiemethoden. Ze ontdekken het als eerste. Als de blinde periode van weken naar minuten terugloopt, wordt een vervalsing ontdekt voordat die een publiek kan opbouwen. Daardoor blijft de hele keten van klantenschade en merkschade grotendeels uit.
Dat is precies wat Beady op sociale media doet. Beady ontdekt accounts die de naam, het logo of de communicatiestijl van je merk kopiëren om zich als jou voor te doen. Het signaleert ze vroeg, voordat ze je klanten via phishing kunnen misleiden, je partners op het verkeerde been kunnen zetten of je reputatie kunnen schaden. Elke bevinding is gekoppeld aan de bron, zodat je team die kan controleren en snel kan handelen. Op het kanaal waar het meeste geld verloren gaat, verandert merkimitatie zo van iets wat je pas achteraf ontdekt in iets wat je bij het ontstaan al opmerkt.
Wil je weten welke accounts zich momenteel voordoen als jouw merk of je medewerkers? Vraag dan een demo aan, dan kijken we samen met je mee.
