We zoeken een videobewerkingssoftware, we typen de naam in Google, en de eerste resultaat lijkt op de officiële site. Het domein is bijna identiek, de knop “Downloaden” is goed zichtbaar. Behalve dat het geïnstalleerde bestand een infostealer bevat die de opgeslagen wachtwoorden in de browser steelt. Dit scenario heeft zich de afgelopen maanden vermenigvuldigd, met tientallen valse sites die Windows-downloadpagina’s imiteren en goed scoren in de zoekresultaten.
Veilig software downloaden is niet alleen “de verdachte sites vermijden”. De misleidingstechnieken zijn geëvolueerd, en de ingebouwde beveiligingen van besturingssystemen ook. Hier is hoe je je reflexen kunt structureren om de risico’s tot een minimum te beperken.
Valse downloadsites: een bedreiging die de Google-resultaten target
Halverwege 2026 hebben verschillende analyses een golf van valse sites gedocumenteerd die pagina’s voor het downloaden van Windows-tools imiteren. Deze frauduleuze sites nemen de huisstijl van de uitgevers over, gebruiken bijna identieke domeinnamen (één letter extra, een streepje verplaatst) en weten zich te positioneren in de eerste gesponsorde of organische resultaten van Google.
Het aangeboden bestand installeert malware die zich voordoet als een legitieme installer. De gebruiker ziet niets ongewoons tijdens de installatie. Het verwachte programma werkt, maar een tweede proces draait op de achtergrond om gegevens te verzamelen.
De basisreflex blijft het exacte domein te controleren voordat je klikt. Voor software zoals VLC is het enige betrouwbare domein emptyolan.org. Voor 7-Zip is dat 7-zip.org. Elke variant (vlc-download.com, 7zip-free.net) moet alarm slaan. Daarnaast kan men deze informatie over FileCR volgens Pixel 23 raadplegen om een downloadplatform te identificeren waarvan de bestanden vóór publicatie zijn gecontroleerd.
Digitale handtekening en SHA-256 hash: controleer een bestand voordat je het uitvoert
Downloaden van de juiste site is niet altijd voldoende. Een server kan gecompromitteerd zijn, een browserextensie kan een download verstoren. Twee aanvullende controles helpen ervoor te zorgen dat het ontvangen bestand inderdaad is wat de uitgever heeft gepubliceerd.
De digitale handtekening van de uitvoerbare bestanden
Op Windows toont een rechterklik op het .exe-bestand gevolgd door “Eigenschappen” > “Digitale handtekeningen” de naam van de uitgever die het programma heeft ondertekend. Als de handtekening ontbreekt of als de naam niet overeenkomt met de verwachte uitgever, start je de installatie niet.
Een geldige handtekening bevestigt dat het bestand sinds publicatie niet is gewijzigd. Dit is de eerste verdedigingslinie en het kost tien seconden.
De SHA-256 hash om de vingerafdruk te vergelijken
Sommige uitgevers publiceren de SHA-256 hash van hun bestanden op hun site. Je kunt de hash van het gedownloade bestand genereren met het commando certutil -hashfile onder Windows, en vervolgens de twee strings vergelijken. Als ze niet overeenkomen, is het bestand gewijzigd.
Deze controle is bijzonder nuttig wanneer je software downloadt van een mirror of een derde partij platform. Het is een technische handeling die een minuut kost, maar die alle twijfel over de integriteit van het bestand wegneemt.
Smart App Control en SmartScreen: de ingebouwde beveiligingen van Windows die je moet kennen
Windows 11 heeft zijn filtermechanismen versterkt met twee aanvullende tools die de meeste downloadgidsen niet vermelden.
Smart App Control blokkeert niet-ondertekende of onbekende uitvoerbare bestanden nog voordat ze worden geïnstalleerd. Op een compatibele pc werkt deze functie aanvankelijk in evaluatiemodus en wordt automatisch geactiveerd als het gebruik van de machine dat toelaat. Het vormt een extra veiligheidsnet voor gebruikers die regelmatig software downloaden.
SmartScreen daarentegen analyseert de reputatie van gedownloade bestanden. Een vaak verkeerd begrepen punt: zelfs een correct ondertekende software kan de waarschuwing “onbekende applicatie” activeren als deze recent of weinig gedownload is. Microsoft biedt geen openbare termijn om deze waarschuwing op te heffen, en er is geen selfserviceprocedure voor uitgevers die het proces willen versnellen.
Concreet, als SmartScreen een waarschuwing geeft voor software die je hebt gedownload van de officiële site en waarvan de digitale handtekening geldig is, kun je redelijkerwijs verdergaan. Als het bestand echter van een derde partij site komt en niet is ondertekend, verdient de waarschuwing serieuze aandacht.
Pakketbeheerders en betrouwbare platforms: veilige downloads automatiseren
Elk bestand handmatig controleren werkt, maar je kunt ook je installaties structureren om de kans op fouten te verkleinen. Verschillende benaderingen vullen elkaar aan.
- WinGet, de ingebouwde pakketbeheerder van Windows, stelt je in staat om software met één commando te installeren (bijvoorbeeld winget install vlc). De pakketten komen van gecontroleerde repositories, wat het risico elimineert om op een valse site te belanden via een zoekmachine.
- Ninite verzamelt gangbare software (browsers, mediaspelers, hulpprogramma’s) in één installer die toolbars en extra software weigert. Je selecteert wat je wilt, downloadt één bestand, en alles installeert netjes.
- De Microsoft Store blijft een optie voor de software die daar beschikbaar is. De applicaties worden aan een controle onderworpen, hoewel de meningen verschillen over de strengheid van deze controle voor bepaalde categorieën tools.
Deze drie methoden delen één gemeenschappelijk kenmerk: ze verwijderen de stap waarbij de gebruiker naar een downloadlink zoekt in een zoekmachine, wat precies het moment is waarop het risico om op een valse site te belanden het hoogst is.
Checklist voordat je een gedownload software installeert
Voordat je dubbelklikt op een installer, is een snelle controle in vier punten voldoende om de meeste bedreigingen te filteren.
- Komt het bestand van de officiële site van de uitgever, een pakketbeheerder of een erkend downloadplatform?
- Is de digitale handtekening aanwezig en komt deze overeen met de verwachte uitgever?
- Komt de SHA-256 hash van het bestand overeen met die gepubliceerd door de uitgever (wanneer beschikbaar)?
- Geeft SmartScreen of Smart App Control een probleem aan, en zo ja, rechtvaardigt de context om verder te gaan?
Geen van deze punten kost meer dan een minuut. Gecombineerd dekken ze de meest voorkomende compromitteringsscenario’s, van de goed gerankte valse site tot het gewijzigde bestand tijdens de overdracht.
Veilig downloaden berust minder op een wonderbaarlijk antivirus dan op een keten van eenvoudige controles die systematisch worden toegepast. Het domein, de handtekening, de hash, de Windows-reputatie: vier filters die, achtereenvolgens toegepast, de pogingen tot infectie door schadelijke software grotendeels ineffectief maken.
