Ben jij wel wie je zegt dat je bent?

Door ethisch hacker Sander. Met een scherp oog voor digitale veiligheid en een voortdurende focus op ontwikkeling volgt hij intensieve trainingen en opleidingen om zijn expertise verder te verdiepen. Zo versterkt hij niet alleen de weerbaarheid van PCA, maar draagt hij ook actief bij aan de bescherming van de gegevens en systemen van onze klanten. 

Veel mensen denken bij een ‘hacker’ aan ingewikkelde software, donkere schermen vol code en technische hoogstandjes. Officieel is een ‘hacker’ is iemand die iets gebruikt op een manier die er niet voor bedoeld is. Dat hoeft zeker geen crimineel te zijn. In dit voorbeeld zou ‘digitale inbreker’ dus een beter woord zijn. Terug naar het beeld. Zie jij een eng persoon voor je met een donkere capuchon-trui? De werkelijkheid is vaak eenvoudiger. En eerlijk gezegd ook veel verontrustender. De meeste aanvallen beginnen niet met een computer. Ze beginnen met vertrouwen.

De kracht van een bekende (naam)

Stel je voor: je bent aan het werk en je ontvangt een email van een klant. De naam van de persoon die mailt herken je direct. De vraag die hij/zij heeft klinkt logisch. Misschien heeft hij problemen met zijn account, wil hij een wachtwoord resetten of heeft hij een document nodig. Jij wil uiteraard helpen, het is immers een klant.

Zou jij twijfelen?

Waarschijnlijk niet.

En precies daar ligt het gevaar.

Een cybercrimineel  hoeft niet in te breken om informatie te verzamelen. Veel gegevens liggen gewoon voor het oprapen. Namen van medewerkers, functies, bedrijfsstructuren en zakelijke relaties zijn openbaar te vinden op websites, social media en nieuwsberichten. Met die informatie bouwt een aanvaller een geloofwaardige identiteit op.

Een masker is snel gemaakt

Een gratis e-mailadres waarbij je een iemand anders naam gebruikt is binnen enkele minuten aangemaakt. Vervolgens begint het spel. De hacker doet zich voor als klant, leverancier, collega of oud-medewerker. Hij/zij vraagt een offerte op, informeert naar een factuur of stelt een onschuldige vraag over een account. Niets verdachts. Tenminste, zo lijkt het.

In werkelijkheid verzamelt de hacker puzzelstukjes. Hoe zien jullie e-mails eruit? Welke handtekeningen worden gebruikt? Welke systemen gebruiken jullie? Hoe spreken medewerkers elkaar aan? Wie is verantwoordelijk voor welke afdeling? Linkedin is een prachtig social-platform om informatie te halen. Dat kun je anoniem doen via tools zoals: linkedprofileviewer.com. Alle verzamelde gegevens maakt de volgende aanval sterker.

De aanval begint met informatie

Veel mensen denken dat hackers direct op zoek zijn naar wachtwoorden of geld. In werkelijkheid zijn ze vaak eerst op zoek naar kennis. Ze willen begrijpen hoe een organisatie werkt. Wie beslist er? Wie heeft toegang tot gevoelige informatie? Hoe verloopt de communicatie? Die kennis gebruiken ze later om geloofwaardige berichten te sturen of medewerkers te misleiden. Wat vandaag een onschuldige vraag lijkt, kan morgen het ontbrekende puzzelstukje zijn voor een succesvolle aanval.

Vertrouw niet alleen op wat je ziet

Wat mij opvalt, is dat mensen vooral controleren wát iemand vraagt. En veel minder vaak controleren wie de persoon werkelijk is. We vertrouwen een naam, een profielfoto of een bekend verhaal. Terwijl die tegenwoordig eenvoudig te kopiëren zijn. De vraag die je daarom vaker zou moeten stellen is niet: ‘Klinkt dit logisch?’ De echte vraag is: ‘weet ik zeker dat deze persoon is wie hij zegt dat hij is?’ Dat geldt voor e-mails, telefoontjes, chatberichten en zelfs videogesprekken. Technologie maakt communicatie makkelijker dan ooit. En misleiden is nog nooit zo eenvoudig geweest.

De belangrijkste beveiliging zit tussen je oren

Cyberveiligheid gaat niet alleen over sterke wachtwoorden, firewalls en slimme software. Het gaat vooral over alert blijven. Even controleren. Even terugbellen. Even verifiëren via een bekende contactpersoon of een bestaand telefoonnummer. Een cybercrimineel  hoeft niet altijd een technische genie te zijn. Vaak is geloofwaardig overkomen genoeg.