Hoeveel weet een onbekende eigenlijk van jou?

Door ethisch hacker Sander.

‘Wat is je wachtwoord?’

Die vraag zou je waarschijnlijk niet zomaar beantwoorden. Gelukkig maar. Maar wat als iemand het nét iets slimmer aanpakt?

In een video die ik onlangs zag, wordt iemand op straat een paar ogenschijnlijk onschuldige vragen gesteld. Wat voor hond heb je? Hoe heet hij? Waar heb je op school gezeten? Wanneer ben je afgestudeerd?

Klinkt als smalltalk. Tot je ontdekt dat al die informatie samen genoeg kan zijn om een wachtwoord te raden. En dan wordt het ineens een stuk minder gezellig.

Het opvallendst? Deze informatie stond niet eens online.

Wat deze video zo interessant maakt, is dat de informatie niet online stond. De persoon wordt er simpelweg naar gevraagd. En ze geeft de antwoorden zonder argwaan. Ze vertelt over haar hond, haar school en haar afstudeerjaar. Los van elkaar lijken dat onschuldige details. Maar voor iemand met verkeerde bedoelingen zijn het puzzelstukjes. Precies daar zit het gevaar van social engineering: een aanvaller hoeft niet altijd technisch in te breken. Soms is een goed gesprek al genoeg.

Eén vraag leidt naar de volgende

Dat maakt dit soort aanvallen juist zo verraderlijk. Een cybercrimineel begint met een onschuldige vraag: ‘Leuke hond! Hoe heet hij?’ Daarna: ‘Hoe lang heb je hem al?’ Of: ‘Waar heb je eigenlijk gestudeerd?’ Elke vraag lijkt op zichzelf onschuldig. Maar samen ontstaat er een steeds completer beeld van jou.

Dat werkt ook op jouw werk. 

Iemand merkt dat er de laatste tijd regelmatig een busje met bedrijfslogo bij een pand staat. Een kleine moeite om daarna op LinkedIn op te zoeken wie daar de planning doet, en al snel weet hij ook dat het zoontje van die planner op voetbal zit. Op een zaterdag staat hij dan ’toevallig’ naast je langs de lijn. Een praatje over de wedstrijd, en het gesprek glijdt vanzelf af naar werk: ‘Hé, hoe staat het eigenlijk met dat project bij [Klant X]? Lopen jullie nog op schema?’ Een heel normale vraag, gesteld door iemand die schijnbaar toevallig even bijpraat. Precies daardoor denk je er niet twee keer over na om antwoord te geven: ‘Ja, gaat goed, we zijn volgende week klaar. Ik ben er donderdag nog even voor de oplevering.’

Zonder dat je het doorhebt, geef je nu drie dingen weg: welk bedrijf je klant is, hoe ver het project staat, en wanneer je daar fysiek aanwezig bent. Genoeg voor iemand met verkeerde bedoelingen om die donderdag zelf ook langs te gaan bij die klant — niet als indringer, maar als de vriendelijke after-sales manager die netjes alles komt afronden. Inclusief een factuur die er precies zo uitziet als altijd… behalve dat het rekeningnummer erop stiekem van de fraudeur zelf is.

(Dit specifieke voorbeeld is fictief, maar het patroon niet: dit type factuurfraude (waarbij een fraudeur zich voordoet als bekende leverancier en een vervalste factuur stuurt) komt in Nederland regelmatig voor, ook bij het MKB.)

Dus de volgende keer dat iemand vraagt hoe je hond heet… Misschien toch eerst even nadenken.