Spam herkennen is relatief eenvoudig: grote volumes, herhalende patronen, bekende verzendadressen. Filters pikken dit er vaak snel uit.

Phishing daarentegen is geraffineerd. Het is doelgericht, gepersonaliseerd en vaak nauwelijks van een legitiem bericht te onderscheiden. Geen bulkkenmerken, maar subtiele signalen: afwijkende schrijfstijl, misleidende links, look-alike domeinen of slim misbruik van vertrouwde namen.

Daarom werken traditionele spamfilters hier niet goed. Wat wél werkt, is een combinatie van technieken:

  • Inhoudsanalyse (NLP): patronen in taal en urgentietactieken herkennen.
  • URL- en domeincontrole: verdachte links en nieuw geregistreerde domeinen signaleren.
  • Authenticatie-checks: SPF, DKIM en DMARC als basis, maar aangevuld met detectie van spoofing en display-name-trucs.
  • Gedragsanalyse: afwijkend verzend- of klikgedrag en ongebruikelijke verzoeken opsporen.
  • Feedbackloops en threat intelligence: continu leren en aanpassen aan nieuwe phishing-trucs.

Het verschil is simpel: spam filter je eruit door overeenkomsten te vinden, phishing detecteer je juist door afwijkingen te leren herkennen.