Microsoft Threat Intelligence detecteerde ongeveer 8,3 miljard e-mailgebaseerde phishing-bedreigingen tussen januari en maart 2026, met maandelijkse volumes van 2,9 miljard in januari tot 2,6 miljard in maart. De schaal is belangrijk, maar voor e-mailmarketeerders en bedrijfseigenaren is het urgentere verhaal wat er binnen deze getallen veranderde. Volgens MarketScreener, dat de bevindingen op 30 april 2026 publiceerde, kwam QR-code-phishing naar voren als de snelst groeiende aanvalsvector van het kwartaal, meer dan verdubbeld in deze periode. Deze groei heeft directe gevolgen voor iedereen die afhankelijk is van e-mail om klanten te bereiken, verkopen af te sluiten of abonnees vast te houden.
QR-code-phishing: De snelst groeiende bedreiging in je inbox
De cijfers over QR-code-phishing zijn specifiek en significant. QR-code-phishing groeide van 7,6 miljoen aanvallen in januari naar 18,7 miljoen in maart, een stijging van 146% gedurende het kwartaal, waarbij 70% van de kwaadaardige QR-codes via PDF-bijlagen in maart werden bezorgd. Deze bezorgingsmethode is belangrijk: de meeste beveiligde e-mailgateways zijn gebouwd om tekst en links te scannen, niet afbeeldingen in PDF-bestanden, wat betekent dat een groot deel van deze aanvallen inboxen bereikt zonder filters te activeren.
Het probleem begon niet in Q1 2026. Volgens Abnormal Security stegen QR-code-aanvallen met 400% tussen 2023 en 2025. De Q1 2026-gegevens tonen aan dat dit traject niet is omgekeerd. Deel van wat deze vector zo effectief maakt, is gebruikersgedrag. Onderzoek van KnowBe4 en NordVPN toonde aan dat 73% van de gebruikers QR-codes scant zonder te controleren waar de link naartoe gaat, een gewoonte die is ontstaan door jarenlang legitiem gebruik in restaurants, betalingen en zakelijke workflows. Aanvallers hebben die gewoonte niet gecreëerd. Ze misbruiken deze.
Omdat de payload in een afbeelding bestaat in plaats van een klikbare link, zien legacy beveiligde e-mailgateways deze nooit. De e-mail slaagt inspectie. De gebruiker scant de code met hun telefoon. En de aanval verplaatst zich van een beveiligd bedrijfsdesktop naar een onbeheerde mobiele apparaat buiten de beveiligingsperimeter.
CAPTCHA-gesloten aanvallen en Business Email Compromise
QR-phishing was niet de enige evoluerende bedreiging. CAPTCHA-gesloten phishing steeg in maart met 125% naar 11,9 miljoen aanvallen, het hoogste maandelijkse volume in een jaar. Deze aanvallen plaatsen een valse CAPTCHA-scherm tussen de e-mailklik en de phishingpagina, wat geautomatiseerde scantools vertraagt zonder een echte gebruiker tegen te houden.
Een campagne tussen 23 en 25 februari 2026 stuurde meer dan 1,2 miljoen berichten naar meer dan 53.000 organisaties in 23 landen, gebruikmakend van verleidingen met betrekking tot 401k-updates, onbetaalde facturen, creditlimieten en voicemailmeldingen, met een valse vertrouwelijkheidsverklaring om geloofwaardigheid te verhogen.
Business email compromise (BEC) bleef naast de meer technische vectoren een aanhoudend, kostbaar probleem. BEC bedroeg ongeveer 10,7 miljoen aanvallen in Q1 2026, met generieke benaderings-e-mails zoals 'Zit je achter je bureau?' die 82% tot 84% van deze e-mails uitmaakten. De low-tech benadering is opzettelijk. Zoals Microsoft-onderzoekers opmerkten: 'dit patroon onderstreept dat BEC-operators overwegend de voorkeur geven aan het opbouwen van rapportage voor een gesprek voordat ze frauduleuze verzoeken doen, in plaats van direct financiële vragen te stellen.' Het 2025-rapport van IC3 toont aan dat BEC-fraude meer dan 3 miljard dollar kostte voor Amerikaanse klagers gedurende 12 maanden.
Wat dit betekent voor e-mailmarketeerders en verzenders
Deze aanvalsvolumes hebben rechtstreekse invloed op legitieme e-mailprogramma's. Als phishingcampagnes merken nabootsen of vervalste domeinen gebruiken, ondergraven zij het vertrouwen van ontvangers en verhogen klachtcijfers in hele industrieën. Voor e-mailmarketeerders vertaalt dit zich in lagere bezorgbaarheid, hogere spamplaatsing en beschadigde verzendersreputatie, zelfs wanneer uw eigen programma schoon is.
De respons van grote inboxproviders is geweest om authenticatievereisten aan te scherpen. Vanaf november 2025 verscherpte Google de handhaving aanzienlijk, waarbij niet-conforme e-mails nu permanente afwijzingen op SMTP-niveau ondergaan. Microsoft Outlook volgde met zijn eigen verzendervereisten vanaf 5 mei 2025, stellend dat SPF, DKIM en DMARC-alignment verplicht zijn voor domeinen die meer dan 5.000 e-mails per dag verzenden, waarbij niet-conforme berichten naar junk worden gerouteerd of geheel worden geweigerd.
Het bewijs dat DMARC-handhaving werkt, is concreet. Een van de meest overtuigende bevindingen in het EasyDMARC 2025-rapport is de directe correlatie tussen nationale DMARC-mandaten en phishing-resultaten: de Verenigde Staten, die overheids-DMARC-mandaten voor federale agencies hebben, zagen succesvolle phishing-e-mailbezorging dalen van 69% naar 14%, terwijl Nederland, dat geen handhavingsmandaten heeft, phishing-kwetsbaarheid zag stijgen naar 97%.
Ondanks deze resultaten blijven adoptiegaten bestaan. Het EasyDMARC 2026 DMARC Adoption Report bevond dat wereldwijde DMARC-adoptie 52,1% van de top 1,8 miljoen domeinen heeft bereikt, omhoog van 47,7% in 2025, maar van de 937.931 domeinen met geldige DMARC-records, meer dan de helft blijft steken op p=none, het alleen-monitoringbeleid dat geen bescherming biedt tegen spoofing.
p=none is geen verdediging. Het is een meetinstrument. Overgaan naar p=quarantine of p=reject is de stap die vervalste e-mails verhindert inboxen te bereiken. Valimail heeft waargenomen dat klanten bezorgcifers van 5% tot 10% zien stijgen voor marketingcampagnes na transitie naar een handhavingsbeleid.
BIMI voegt een verdere laag toe. BIMI bouwt voort op DMARC en stelt merken in staat een geverifieerd logo naast e-mails in de inbox van de ontvanger weer te geven wanneer DMARC wordt afgedwongen, waardoor abonnees een zichtbaar signaal krijgen dat een e-mail legitiem is en phishing-impersonaties duidelijk zichtbaar worden in vergelijking.
De praktische checklist voor verzenders
Het Microsoft Security Blog-rapport stelt concrete stappen voor die even goed van toepassing zijn op beveiligingsteams als op e-mailmarketingteams:
- Controleer of je SPF, DKIM en DMARC-records correct zijn geconfigureerd en afgestemd op elk verzendingsdomein en subdomein, niet alleen op je primaire domein.
- Verplaats je DMARC-beleid van
p=nonenaar minstensp=quarantine, en streef naarp=rejectzodra je hebt bevestigd dat alle legitieme e-mailstromen authenticatie passeren. - Voeg BIMI toe zodra DMARC-handhaving op zijn plaats is, om je merklogo zichtbaar te maken in ondersteunende inboxen, waaronder Gmail, Apple Mail en Yahoo.
- Train je team op QR-coderisico's. Gebruikers moeten worden getraind om geen QR-codes van ongevraagde e-mails te scannen en transactieverzoeken via gevestigde kanalen te verifiëren.
- Schakel Zero-hour Auto Purge (ZAP) in in Defender voor Office 365 om verzonden e-mails in quarantaine te plaatsen als reactie op nieuw verworven dreigingsintelligentie en kwaadaardige berichten die al in mailboxen zijn afgeleverd, retroactief onschadelijk te maken.
De samenvoeging van mailboxprovider-mandaten, PCI DSS-vereisten en mondiale regelgevingskaders heeft e-mailauthenticatie definitief verplaatst van de kolom 'leuk hebben' naar de kolom 'moet hebben'. Voor groeiteams die e-mail-ROI meten, is de berekening eenvoudig: authenticatie beschermt je verzendersreputatie, houdt je e-mails uit spam, en onderscheidt je legitieme verzendingen van de 8,3 miljard bedreigingen die vorig kwartaal inboxen vulden.
