Email is de Nokia 3310 van zakelijke communicatie: onverwoestbaar, overal compatibel en iedereen snapt het. En precies dáár zit het probleem. We blijven in 2026 een kanaal gebruiken dat ontworpen is voor een internet dat vooral “vertrouwen” als uitgangspunt had. Niet identiteitszekerheid, dataclassificatie, compliance, of moderne aanvalstechnieken.
De uitkomst zie je dagelijks: email is niet alleen verouderd als technologie, het is ook één van de grootste (en vaak dé grootste) aanjagers van datalekken. Zowel door menselijk fouten (per ongeluk) als door social engineering (opzettelijk misbruik). De kernboodschap voor directie/board is daarom niet “zet email uit”, maar: degradeer email naar postkamer (notificatie & formele uitwisseling). Verplaats dagelijkse samenwerking en gevoelige informatie naar kanalen waar je identiteit, toegang, logging en datacontrole wél kunt afdwingen.
E-mail is gebouwd voor bezorging, niet voor veiligheid
De kern van email is het SMTP-protocol. De eerste SMTP-standaard stamt uit begin jaren ’80. Met andere woorden: het fundament van e-mail komt uit een tijd waarin het internet klein, academisch en relatief “vriendelijk” was.
SMTP’s doel was: berichten betrouwbaar afleveren tussen systemen. En niet:
- aantonen dat de afzender écht is wie hij zegt dat hij is.
- afdwingen dat alleen geautoriseerde ontvangers kunnen lezen.
- controle houden over wat er met data gebeurt ná verzending.
Dat verklaart meteen waarom email structureel botst met moderne security-eisen:
- Zwakke identiteitslaag: “Wie” de afzender is, blijft in de praktijk te makkelijk te faken of te manipuleren (spoofing, lookalike-domeinen, display name-trucs).
- Kopieer-machine voor gevoelige data: attachments en doorgestuurde threads vermenigvuldigen data. Je verliest grip op waar PII, contracten, financiële info en interne besluiten rondzwerven.
- Geen echte “intrekken/expiren”-logica: eenmaal verzonden is het weg; je kunt het zelden betrouwbaar terughalen.
- Metadata blijft gevoelig: ook als je de inhoud beter beveiligt, blijven onderwerpregels, ontvangers, tijdstippen en vaak context zichtbaar, precies de ingrediënten waar aanvallers en “lekken door misrouting” op draaien.
Kort gezegd: email is een open ansichtkaart-systeem dat we proberen dicht te tapen met beleid, plugins en training.
Waarom e-mail zó vaak eindigt in datalekken
A) Het “verkeerde ontvanger”-lek: het meest alledaagse datalek
Veel datalekken zijn niet spectaculair. Ze zijn gênant simpel: een mail met persoonsgegevens naar de verkeerde “Hennie Jansen”, een autocomplete die fout gaat, een CC/BCC-misser, of een bijlage die niet bedoeld was voor die partij.
En dat is niet marginaal. In UK-rapportage over databeveiligingsincidenten (Q1 2024) werd expliciet genoemd dat “data emailed to the wrong recipient” het meest voorkomende incidenttype was (18% van het totaal).
Dat is waarom email in veel organisaties de belangrijkste bron van datalekken voelt: het is laagdrempelig, massaal gebruikt. Eén kleine vergissing is meteen een meldplichtig incident.
B) Phishing: email als voordeur voor aanvallers (nu met AI-turbo)
Als we kijken naar “echte hacks”, dan is email al jaren de favoriete ingang. Niet omdat email “zo handig” is, maar omdat mensen nu eenmaal klikken, antwoorden, of inloggegevens weggeven, zeker als de boodschap geloofwaardig is.
- De UK Cyber Security Breaches Survey 2025 stelt dat bij organisaties die een breach/attack meemaakten, phishing de meest voorkomende én meest disruptieve categorie bleef.
- ENISA Threat Landscape 2025 gaat nog scherper: phishing bleef de dominante intrusion vector (60%) in hun geanalyseerde incidenten. Ze signaleren dat AI-ondersteunde phishing begin 2025 “meer dan 80%” van geobserveerde social engineering-activiteit wereldwijd vertegenwoordigde.
Dus zelfs als jouw technische perimeter prima is: email “omzeilt” die perimeter via gedrag.
C) Business Email Compromise: géén malware nodig, wel miljoenen schade
Business Email Compromise (BEC) is het scenario waarin criminelen zich (via compromittering of overtuigende spoofing) voordoen als CEO/CFO/leverancier en betaalinstructies of gevoelige documenten lospeuteren.
De FBI IC3-rapportage voor 2024 laat zien hoe groot dit is: Business Email Compromise staat op $2,77 miljard aan gerapporteerde verliezen en 21.442 klachten in 2024.
Let op: dit type aanval is zo populair omdat het vaak niet opvalt als “een hack”. Het lijkt op normale bedrijfsvoering (“kun je deze factuur even met spoed betalen?”).
D) Voorbeeld: één phishingmail → tienduizenden betrokkenen
De ICO beschrijft een concreet voorbeeld waarbij een phishingmail richting een accounts mailbox leidde tot malware-installatie, laterale beweging en uiteindelijk encryptie/compromittering van HR-data van ongeveer 113.000 mensen (incl. speciale categorieën).
Dit is het patroon in het wild: email is de initiële “haak”, daarna volgt escalatie.
“Maar wij hebben toch security op email?”
Klopt: MFA, secure email gateways, DMARC, DLP, encryptie-opties, het helpt allemaal. Maar de kern blijft:
- Je beveiligt een kanaal dat ontworpen is zonder sterke identiteit.
- Je beveiligt verzending, niet datacontrole. Zodra info buiten is, wordt het lastig.
- De aanval verschuift naar overtuiging. De mens blijft het doelwit.
Verizon’s DBIR 2025 executive summary benadrukt dat de human element rond de 60% van breaches blijft hangen en dat synthetisch gegenereerde tekst in kwaadaardige emails de afgelopen twee jaar verdubbelde.
Met andere woorden: email-security is noodzakelijk, maar niet voldoende. Je blijft dweilen met de kraan open als e-mail het primaire samenwerkingskanaal blijft.
Waarom secure file sharing een vaste laag moet zijn in je strategie
De grootste “quick win” richting minder e-mailrisico is vaak: stop met bijlagen als standaard en introduceer secure file sharing als organisatiebrede norm.
Een enterprise-grade secure file transfer-oplossing hoort minimaal te bieden:
- Sterke encryptie / end-to-end bescherming (in transport én opslag)
- Granulaire toegangscontrole (rollen, rechten, expliciete ontvangers)
- Audit trail + compliance-rapportage (wie deelde wat, wanneer geopend, gedownload, verwijderd)
- Toegang intrekken + automatische expiry/retentie (fout verstuurd? direct revoke; links verlopen)
- Sterke identity-koppeling (SSO, provisioning)
- Externe ontvangers veilig laten ontvangen (bijv. gasttoegang met 2FA/PIN, afhankelijk van beleid)
- Dataresidentie / EU-hosting als dat een eis is in jouw risk appetite of contracten
Waar Msafe Secure File Transfer dan concreet in past : Msafe biedt sterke encryptie, toegangsbeheer, audit trails. Integratieopties zoals Outlook-integratie, SSO (Microsoft Entra ID) en SCIM. Daarnaast een instelbare expiry/retentie en revoke-functionaliteit.
Dat maakt het type oplossing geschikt als “attachment-vervanger” in een communicatie-architectuur. Email wordt notificatie/introductie, maar het daadwerkelijke bestand gaat via gecontroleerde sharing.
Board-level spelregels die werken
Maak het simpel (en afdwingbaar):
Email blijft voor:
- eerste contact met onbekenden, formele notificaties, low-risk berichten
Niet meer via email:
- persoonsgegevens/HR, financiële stukken, contractbijlagen, IP/tekeningen, security-incidentdetails
- betaalinstructies of bankrekeningwijzigingen (altijd via workflow + out-of-band verificatie)
Norm: “Geen attachment extern” deel via secure file sharing met expiry + logging.
Email blijft bestaan, maar niet als primaire werkplek
De board-winst zit in een architectuur waarin secure file sharing de standaard wordt voor gevoelige documenten. Omdat je daarmee controle, logging en revoke/expiry toevoegt op het moment dat data het kwetsbaarst is: bij uitwisseling. Msafe Secure File Transfer is een concreet voorbeeld van zo’n enterprise-laag (encryptie, audit trails, SSO/SCIM, guest 2FA/PIN, EU-hosting/retentie-instellingen) die je als onderdeel van een bredere communicatie-strategie kunt opnemen.
