Wie nog denkt dat je een phishingmail herkent aan het belabberde Engels, loopt achter. Met AI-tools schrijven oplichters tegenwoordig mails zonder één spelfout, in het Engels en in het Nederlands. Taalfouten blijven een waarschuwing, maar het omgekeerde geldt niet meer: een foutloze mail is geen bewijs dat hij echt is.
Foutloos betekent niet meer betrouwbaar
Lange tijd was het advies simpel: zie je rare zinnen en spelfouten, dan is het nep. Dat werkte, omdat veel phishing werd gemaakt door mensen die de taal niet goed beheersten of hun tekst door een slechte vertaalmachine haalden. Met taalmodellen zoals ChatGPT is dat veranderd. Een oplichter typt een opdracht in en krijgt binnen een paar seconden een nette mail terug, in welke stijl dan ook.
Daarom is het slim om taal te zien als één signaal tussen andere. Goed phishing herkennen betekent dat je ook kijkt naar de afzender, de link, de toon en wat er van je wordt gevraagd. Die signalen werken ook bij een mail die taalkundig perfect is. Een vervalste afzender of een link naar een vreemd domein krijgt een taalmodel namelijk niet weggepoetst.
Welke taalfouten nog steeds opvallen
Toch kom je nog genoeg phishing tegen die niet door AI is gegaan. Juist hier helpt het als je Engels goed is. Let vooral op fouten die een moedertaalspreker of een groot bedrijf niet zou maken:
- Werkwoordsvormen die niet kloppen, zoals „your account has been suspend” in plaats van „suspended”.
- Een vreemde aanhef als „Dear valued customer” of „Dear user”, terwijl je bank je gewoon bij naam kent.
- Ouderwetse of overdreven formele zinnen zoals „Kindly do the needful”, die je in Brits of Amerikaans zakelijk Engels zelden tegenkomt.
- Hoofdletters op willekeurige plekken, zoals „Your Payment Has Been Declined”, of drie uitroeptekens achter elkaar.
- Lidwoorden en voorzetsels die net verkeerd staan, zoals „click on below link”.
Waarom oplichters soms expres fouten maken
Er bestaat een opvallende theorie over die slordige mails. Cormac Herley, onderzoeker bij Microsoft, beschreef in 2012 waarom een ongeloofwaardige mail voor een oplichter juist handig kan zijn. Wie op zo’n bericht reageert, let blijkbaar niet goed op. Dat scheelt de oplichter tijd, want hij hoeft zich alleen bezig te houden met mensen die waarschijnlijk ook in de rest van de truc trappen.
Of dat altijd de bedoeling is, weet niemand zeker. Maar het verklaart wel waarom fouten nooit helemaal verdwijnen, ook nu AI zo makkelijk beschikbaar is. Je ziet daarom twee soorten phishing naast elkaar: slordige massamails en keurig geschreven berichten die op één persoon of één bedrijf zijn gericht.
Brits of Amerikaans Engels: geen bewijs
Sommige mensen zien „colour” en „color” in één mail en denken meteen aan een oplichter. Dat is te snel. Ook echte bedrijven mengen weleens spellingen, zeker als ze teksten van verschillende afdelingen of vertalers gebruiken. Wil je weten welke verschillen er zijn, dan vind je op deze site een overzicht van de verschillen tussen Brits en Amerikaans Engels.
Wat wel een signaal kan zijn, is een stijl die niet past bij de afzender. Een Britse bank die schrijft in Amerikaans Engels, met een datum als 11/7 die op twee manieren te lezen is, verdient een tweede blik. Op zichzelf is het geen bewijs, maar samen met andere signalen telt het wel mee.
Signalen die meer zeggen dan de taal
Kijk bij elke verdachte mail eerst naar wat er van je gevraagd wordt. Een echte bank vraagt je nooit om via een link in te loggen, je pincode te geven of geld over te maken naar een „veilige rekening”. Kijk daarna naar het e-mailadres achter de naam van de afzender en ga met je muis over een link zonder te klikken. Staat daar een domeinnaam die net anders is dan die van het bedrijf, dan weet je genoeg.
Let ook op haast. Zinnen als „your account will be closed within 24 hours” zijn bedoeld om je te laten handelen voordat je nadenkt. Dat werkt in elke taal, met of zonder fouten. En let op de taalkeuze zelf. Krijg je ineens een Engelse mail van een Nederlands bedrijf dat je altijd in het Nederlands schrijft, of een bezorgbericht voor een pakket dat je nooit hebt besteld? Dan is de taal het signaal, hoe goed het Engels ook is. Een echt bedrijf wisselt niet zonder reden van taal in een mail over je account.
Phishing verschuift naar de mailbox
Hoe groot het probleem is, laten de cijfers van de Fraudehelpdesk zien. In het eerste halfjaar van 2026 kreeg de organisatie 15.106 meldingen van phishing, tegen 2.776 in dezelfde periode een jaar eerder. Het aandeel e-mail binnen die meldingen steeg van 30 naar 59 procent, terwijl meldingen over sms en telefoon afnamen.
Twijfel je over een bericht, klik dan niet en open de app of website van het bedrijf zelf. Ook de overheid raadt aan nooit op links te klikken die je niet vertrouwt en verdachte berichten te melden bij de Fraudehelpdesk. Wie zelf leert schrijven in het Engels, kan het ook van de andere kant bekijken: hoe zou jij een nette Engelse mail opstellen, en klopt de mail in je inbox daarmee?
Afbeelding: foto van Brett Jordan via Unsplash.