Europese organisaties kunnen de gevoeligheid van medewerkers voor phishing fors terugdringen met doorlopende security awareness-training en phishingsimulaties. Dat blijkt uit het nieuwe ‘2026 Phishing by Industry Benchmarking Report’ van KnowBe4. Voor het onderzoek werden wereldwijd 42 miljoen gesimuleerde phishingaanvallen geanalyseerd onder 14,8 miljoen gebruikers bij 64.000 organisaties.
Volgens KnowBe4 lag het percentage Europese medewerkers dat gevoelig was voor phishing vóór de start van training op 31,1 procent. Na negentig dagen security awareness-training daalde dat naar 21,4 procent. Na een jaar kwam het percentage uit op 5,4 procent. Daarmee neemt de gevoeligheid voor phishing over een periode van twaalf maanden met 83 procent af.
Phishing blijft een van de meest gebruikte aanvalsmethoden door cybercriminelen. Daarbij proberen aanvallers medewerkers via misleidende e-mails, berichten of websites te verleiden tot het klikken op een link, het openen van een bijlage of het prijsgeven van inloggegevens. De schade kan groot zijn, zeker wanneer criminelen toegang krijgen tot bedrijfsaccounts, klantgegevens of financiële systemen.
Onderzoek
Uit het onderzoek blijkt dat grotere organisaties kwetsbaarder zijn dan kleinere. Bedrijven met meer dan 10.000 medewerkers hadden vóór training een basispercentage van 38,1 procent. Bij kleinere organisaties lag dat op 23,5 procent. Hoe groter de organisatie, hoe meer medewerkers, afdelingen, systemen en communicatiekanalen er zijn, en hoe groter de kans dat een phishingpoging ergens slaagt.
Ook tussen sectoren bestaan duidelijke verschillen. In Europa noteerden organisaties in de gezondheidszorg en farmaceutische sector een basispercentage van 33,4 procent, boven het Europese gemiddelde. De banksector kwam binnen de grotere Europese steekproeven uit op 40,8 procent en liet daarmee het hoogste basispercentage zien.
Wereldwijde trend
Wereldwijd zijn gezondheidszorg en farmaceutica, verzekeringen en detail- en groothandel voor het derde jaar op rij de meest kwetsbare sectoren. Zij noteerden respectievelijk basispercentages van 42,7 procent, 38,1 procent en 36 procent. Het Europese beeld sluit volgens KnowBe4 grotendeels aan bij deze wereldwijde trend.
Regionaal lag het basisrisico wereldwijd het hoogst in Afrika, met 35,9 procent. Daarna volgden Noord-Amerika met 34,5 procent en Zuid-Amerika met 31,5 procent. Azië kende met 24,9 procent het laagste basisrisico.
Lees ook: Cybersecurity draait niet meer om technologie alleen
Kunstmatige intelligentie
KnowBe4 wijst erop dat training belangrijker wordt nu cybercriminelen steeds vaker kunstmatige intelligentie inzetten. AI maakt het mogelijk om phishingberichten persoonlijker, overtuigender en op grotere schaal te verspreiden. Ook business email compromise, deepfakes en andere vormen van social engineering worden daardoor moeilijker te herkennen.
Volgens Martin Kraemer, CISO Advisor bij KnowBe4, groeit het aanvalsoppervlak verder doordat organisaties naast menselijke medewerkers ook steeds vaker autonome AI-agenten inzetten. Traditionele beveiligingsmaatregelen zijn daar niet altijd op ingericht. Volgens Kraemer is sinds eind 2025 een stijging van 17 procent in het aantal phishingaanvallen zichtbaar, maar laten de cijfers tegelijk zien dat voortdurende, gepersonaliseerde training de kwetsbaarheid binnen twaalf maanden sterk kan verlagen.