Aantal phishingkits is in 2025 verdubbeld
Het aantal bekende phishing-as-a-service (PhaaS)-kits is vorig jaar verdubbeld, blijkt uit de jaarlijkse phishing-analyse van Barracuda. Dit heeft geleid tot een grotere druk op beveiligingsteams die organisaties moeten beschermen tegen deze snel veranderende dreiging.
Nieuwe spelers zoals Whisper 2FA en GhostFrame introduceerden agressieve en ontwijkende methoden, waaronder technieken om detectie van hun schadelijke code te omzeilen. Ook gevestigde groepen als Mamba en Tycoon bleven zich verder ontwikkelen. Met elke kit werden miljoenen phishing-aanvallen uitgevoerd.
Meest toegepaste tools en technieken
Uit de analyse van Barracuda blijkt dat de volgende tools en technieken in 2025 het meest werden toegepast:
- Omzeiling van multi-factor authenticatie (48% van de aanvallen)
- Verborgen URL’s (48%)
- Misbruik van CAPTCHA om detectie te ontwijken (43%)
- Polymorfe technieken en kwaadaardige QR-codes (elk ongeveer 20%)
- Schadelijke bijlagen (18%)
- Misbruik van vertrouwde online platforms (10%)
- Gebruik van generatieve AI-tools, zoals zero-code-ontwikkelplatforms (10%)
De thema’s in phishing-e-mails lijken sterk op die van voorgaande jaren, maar zijn geëvolueerd door het gebruik van generatieve AI en andere hulpmiddelen. In 2025 betrof 19% van de phishingpogingen betalings- en factuurfraude, terwijl 18% ging over digitale handtekeningen en documentbeoordelingen. HR-gerelateerde documenten vormden 13% van de aanvallen. Veel phishingpogingen maakten misbruik van bekende merknamen, waarbij websites en logo’s steeds nauwkeuriger werden nagebootst.
Gelaagde strategieën toepassen
“Phishing-kits zijn in 2025 naar een hoger niveau getild, omdat ze zowel in aantal als qua verfijning zijn toegenomen. Hierdoor hebben zelfs minder ervaren cybercriminelen de beschikking over geavanceerde, full-service aanvalsplatforms en kunnen ze op grote schaal krachtige aanvallen uitvoeren”, zegt Ashok Sakthivel, Director Software Engineering bij Barracuda. “De kits bevatten technieken die zijn ontworpen om het voor gebruikers en securityteams moeilijker te maken om fraude op te sporen en te voorkomen. Om beschermd te blijven, moeten organisaties verder gaan dan statische verdedigingsmechanismen en moeten ze gelaagde strategieën toepassen: eindgebruikerstraining, phishing-bestendige MFA, continue monitoring. En ze moeten e-mailsecurity centraal stellen in een geïntegreerde, end-to-end securitystrategie.”
Meer details over de ontwikkeling van phishing-kits in 2025 zijn te vinden in de blog van Barracuda.
Meer over Barracuda
Over Wouter Hoeffnagel
