Veel organisaties denken dat een aanval begint met een zwakke plek in de software. In de praktijk is technologie zelden het echte probleem. De meeste aanvallen slagen omdat iemand een verkeerde beslissing neemt, en dat kan iedereen overkomen. Het praktijkvoorbeeld uit Het Digitale Kompas laat zien hoe dat gaat.
Het voorbeeld: Jansen & Co
Het was een gewone maandagochtend bij Jansen & Co, een middelgroot handelsbedrijf in bouwmaterialen. Medewerkers checkten hun mail, verwerkten orders en stonden klanten te woord. Niemand had door dat er op dat moment een crimineel bezig was binnen te dringen.
Fase 1: de eerste infiltratie
Een aanvaller had een lijst met e-mailadressen van medewerkers bemachtigd. Hij stuurde een overtuigende phishingmail naar Karen van de administratie. De mail leek van een vertrouwde leverancier te komen en bevatte een link naar een zogenaamd belangrijk document. Karen klikte, vulde haar inloggegevens in op de nagemaakte website, en gaf de aanvaller daarmee toegang tot haar zakelijke mailbox.
Fase 2: onopgemerkt verkennen
Met toegang tot de mailbox begon de aanvaller geduldig rond te kijken. Hij las conversaties, bestudeerde facturen en verzamelde informatie over leveranciers en klanten. Deze fase kan weken tot maanden duren. Al die tijd blijft de aanvaller vaak onopgemerkt.
Fase 3: facturen manipuleren
De aanvaller zag dat Jansen & Co regelmatig betalingen van klanten ontving. Hij deed zich voor als Karen en mailde meerdere klanten met het verzoek toekomstige betalingen naar een nieuw rekeningnummer over te maken, zogenaamd om administratieve redenen. Om het geloofwaardig te maken voegde hij kopieën van echte openstaande facturen toe. Dit heet factuurfraude.
Fase 4: ontdekking en schade
Enkele weken later belden klanten om het nieuwe rekeningnummer te laten bevestigen. Dat wekte argwaan. Na intern onderzoek bleek dat meerdere betalingen naar de rekening van de aanvaller waren gegaan. De schade liep op tot tienduizenden euro’s.
Waarom het misging
Criminelen richten zich niet op één zwakke plek, maar op een combinatie van slechte gewoonten. Een hergebruikt wachtwoord, een onbeveiligde mailbox en geen tweestapsverificatie zijn samen een open deur.
Niet alleen via e-mail
Phishing komt in veel vormen. Het Digitale Kompas noemt er drie die dagelijks voorkomen:
- De nepbank: een mail met een dringende melding over verdachte activiteit op je rekening, met een link om je account te beveiligen. Alles ziet er vertrouwd uit, maar je stuurt je inloggegevens naar criminelen.
- De nep-helpdesk: iemand belt namens “IT-support” en vraagt je wachtwoord te bevestigen. De stem klinkt professioneel en behulpzaam.
- CEO-fraude: de ‘directeur’ stuurt een WhatsApp-bericht: “Ik zit in een meeting en kan niet bellen, maar we moeten dringend een betaling doen. Kun jij dit even afhandelen?” Tijdsdruk en autoriteit doen de rest.
Criminelen spelen in op stress, tijdsdruk en routine. Daarom is bewustwording net zo belangrijk als technologie.
Zo voorkom je het
- Tweestapsverificatie op alle belangrijke accounts. Een gestolen wachtwoord geeft dan niet direct toegang tot je mailbox.
- Unieke wachtwoorden in een wachtwoordmanager. Zo werkt een gelekt wachtwoord nergens anders. Lees meer in Wachtwoordbeleid dat wél werkt.
- SPF, DKIM en DMARC op je domein. Dan kunnen criminelen niet zomaar mailen alsof ze van jou zijn. Hoe je dat stap voor stap regelt, lees je in Van none naar reject. Met de gratis domeincheck zie je direct hoe jouw domein ervoor staat.
- Een vaste afspraak over betalingen. Wijzigingen van rekeningnummers en spoedbetalingen controleer je altijd via een ander kanaal, bijvoorbeeld door te bellen naar een bekend nummer.
- Train medewerkers structureel. Niet alleen op phishing, maar ook op CEO-fraude en factuurfraude. En zorg dat iedereen een verdachte situatie durft te melden, zonder angst voor straf.
Meer in Het Digitale Kompas
Dit praktijkvoorbeeld komt uit de eerste editie van Het Digitale Kompas. Daarin lees je ook wat cybercriminelen echt willen, hoe ransomware werkt en welke vijf acties het meeste opleveren.
Download Het Digitale Kompas, editie 1
Het Digitale Kompas, editie 1
Download pdf