Whaling

Wat is whaling?

Whaling is een variant van spear phishing, de gerichte vorm van phishing. Bij spear phishing kiest de aanvaller 1 persoon of functie uit. Bij whaling is dat een bestuurder, directeur of financieel eindverantwoordelijke. Het Engelse woord whale betekent walvis: de aanvaller gaat voor de grootste vangst.

Bestuurders zijn aantrekkelijke doelwitten. Ze mogen grote betalingen goedkeuren, hebben toegang tot strategische informatie en krijgen vaak weinig tegenspraak. Er zijn 2 vormen:

Vorm	Wie wordt misleid	Doel
Aanval op de bestuurder	De bestuurder zelf	Inloggegevens, toegang tot de mailbox of een goedkeuring van een betaling
Misbruik van de bestuurder	Een medewerker, meestal op de financiële afdeling	Een grote betaling uit naam van de bestuurder

De 2e vorm heet ook CEO-fraude. Het NCSC noemt dit een vorm van Business Email Compromise (BEC): criminelen doen zich voor als een vertrouwd persoon binnen een organisatie, vaak een directeur of leidinggevende. In de praktijk worden whaling en CEO-fraude vaak door elkaar gebruikt. Beide zijn vormen van social engineering: ze draaien om misleiding van mensen, niet om een lek in software.

Whaling kost veel voorbereiding. De aanvaller zoekt uit wie welke functie heeft, wie betalingen doet, welke overnames of projecten lopen en hoe de bestuurder schrijft. Veel van die informatie staat openbaar online, bijvoorbeeld in jaarverslagen, persberichten en op LinkedIn.

Hoe werkt whaling?

Europol beschrijft hoe CEO-fraude meestal verloopt. De stappen zijn bij een aanval op de bestuurder zelf vergelijkbaar:

1. Verzamel informatie over de organisatie, de bestuurders en de mensen die betalingen doen.
2. Neem contact op per e-mail of telefoon en doe je voor als een hooggeplaatst persoon, zoals de CEO of CFO, vaak met een vervalst afzenderadres via spoofing.
3. Verwijs naar een gevoelige situatie, zoals een belastingcontrole, een fusie of een overname.
4. Leg druk op met woorden als “vertrouwelijk” en “dringend” en vraag om de gewone procedures over te slaan.
5. Laat het geld overmaken naar een rekening van de fraudeur, vaak bij een bank buiten Europa.

Volgens Europol zijn signalen een ongevraagde e-mail of telefoontje, direct contact met een hooggeplaatst persoon met wie je normaal geen contact hebt, een verzoek om absolute geheimhouding en een verzoek dat ingaat tegen de interne procedures.

Voorbeeld uit de praktijk

Het Oostenrijkse FACC, een maker van vliegtuigonderdelen, werd rond de jaarwisseling van 2015 naar 2016 slachtoffer van wat het bedrijf zelf het “Fake President Incident” noemt. Een medewerker maakte ongeveer 50 miljoen euro over na e-mails van iemand die zich voordeed als topman Walter Stephan (bron: The Local Austria, 2016). Het geld verdween via Slowakije en Azië. Vakblad Infosecurity Magazine noemde het een klassieke whaling-aanval.

De fraude kostte FACC 41,9 miljoen euro in het boekjaar 2015/16. De financieel directeur werd in februari 2016 ontslagen en de topman in mei 2016, omdat hij volgens de raad van commissarissen zijn plichten ernstig had geschonden. Er was geen aanwijzing dat een van beiden bij de fraude betrokken was. Eind maart 2025 kreeg FACC 10,8 miljoen euro terug die in 2016 in China was bevroren (bron: FACC, 2025).

Whaling in de praktijk van een security-professional

Whaling raakt de hele organisatie, maar komt vooral op het bord van de CISO en de financiële directie. Het voorbeeld van FACC laat zien dat bestuurders ook zelf verantwoordelijk worden gehouden voor de maatregelen tegen fraude.

Een security officer richt maatregelen in die werken, ook als iemand wel wordt misleid. Denk aan het 4-ogenprincipe voor grote betalingen, een vaste terugbelprocedure via een bekend nummer en e-mail security die vervalste afzenders tegenhoudt. Een SOC-analist let op signalen zoals nieuwe doorstuurregels in de mailbox van een bestuurder. Security awareness voor bestuurders en medewerkers van de financiële afdeling hoort erbij.

Veelgestelde vragen

Wat is het verschil tussen whaling en spear phishing?

Spear phishing is gerichte phishing op 1 persoon of functie. Whaling is een vorm van spear phishing waarbij het doelwit een bestuurder of directielid is. Het verschil zit dus in het doelwit: bij whaling gaat het om de mensen met de meeste bevoegdheden, zoals het goedkeuren van grote betalingen.

Wat is het verschil tussen whaling en CEO-fraude?

Bij whaling is de bestuurder meestal het doelwit. Bij CEO-fraude doet de aanvaller zich voor als bestuurder en misleidt hij een medewerker, vaak op de financiële afdeling, om geld over te maken. De termen worden vaak door elkaar gebruikt, omdat bij beide de positie van de bestuurder centraal staat.

Waarom heet het whaling?

Whale is Engels voor walvis. De naam sluit aan op phishing, afgeleid van fishing (vissen). Bij gewone phishing gooit de aanvaller een net uit, bij spear phishing mikt hij met een speer op 1 vis, en bij whaling gaat hij voor de grootste vangst: de top van een organisatie.

Welke 4 soorten phishing zijn er?

Een vaste indeling bestaat niet. Vaak genoemde soorten zijn: gewone e-mailphishing aan grote groepen, spear phishing gericht op 1 persoon, whaling gericht op bestuurders, en phishing via andere kanalen zoals sms (smishing) en telefoon (vishing). Het NCSC noemt daarnaast quishing, phishing via een QR-code.