Phishing: Zo denkt een hacker en zo bescherm jij je

20 september ’23 – Geen enkele organisatie ontkomt aan de poging van cybercriminelen om informatie of geld af handig te maken. Een goede phishing-e-mail kost minder moeite en levert meer op dan de meeste geavanceerde aanvallen op beveiligde netwerken en portalen. Door de ontwikkeling van vertaalmachines zoals Google Translate en programma’s zoals ChatGTP zijn de berichten nauwelijks van echt te onderscheiden. Dus hoe kun jij je hier dan tegen beschermen?

Wat is phishing?

Phishing wordt door het Nationaal Cyber Security Centrum (NCSC) gedefinieerd als een aanvalstechniek die door kwaadwillenden wordt gebruikt om gevoelige gegevens te ontfutselen aan individuen of een organisatie. De gevoelige gegevens die de hacker in handen krijgt, kunnen het begin zijn van een geavanceerde cybersecurityaanval waarbij de hacker zich uiteindelijk toegang verschaft tot grote hoeveelheden vertrouwelijke gegevens. De hacker kan de vertrouwelijke gegevens versleutelen en om losgeld vragen, dreigen de gegevens te publiceren of de gegevens verkopen op het darkweb.

De APWG (De Anti-Phishing Working Group) toont in de grafiek ‘Phishing Attacks’ over de periode januari 2019 tot en december 2022 de explosieve stijging van het aantal phishingaanvallen. Binnen een periode van 3 jaar is het aantal verstuurde phishing-e-mails gestegen van 50.000 stuks naar 450.000 stuks, waarbij er een jaarlijkse stijging is van meer dan 150%.

De cirkelgrafiek ‘most-targeted industries, Q4 2022’ toont het aantal phishingaanvallen per sector van Q4 2022. De financiële sector wordt het vaakst getroffen met 27,7%. Tot de financiële sector behoren o.a. banken, pensioenfondsen, verzekeraars en assurantieadviseurs.

Hoe gaat de hacker te werk?

Om de phishing-e-mail zoveel mogelijk aan te laten sluiten op jouw situatie, maakt een hacker gebruik van digitale platforms zoals Facebook en LinkedIn om informatie te vinden zoals wie jouw collega’s zijn, wat hun functies zijn en wat ze zowel zakelijk als privé bezighoudt. Deze informatie gebruiken hackers om de organisatie in kaart te krijgen, de inhoud van de phishing-e-mail samen te stellen en slachtoffers uit te kiezen.

Hoe kun jij je tegen phishing-e-mails beschermen?

Een phishing-e-mail bevat in de regel één of meer van de onderstaande kenmerken:

Vertrouwde afzender: het lijkt of de email van een bekende afzender is. De naam van de afzender is vertrouwd, maar het emailadres van de afzender wijkt af van het oorspronkelijke adres. Het e-mailadres mist tekens, bevat extra tekens of komt niet overeen met de naam van afzender. Een voorbeeld hiervan is John.Doe@Vereede.nl in plaats van John.Doe@Vereende.nl. Bij het eerste adres ontbreekt de ‘n’.

Verkeerde URL: Als er een link in de email is toegevoegd, kun je het adres controleren door op de link te klikken en de URL in de adresbalk te bekijken. Hackers maken vaak gebruik van een verlengde URL zoals https://www.vereende.nl.example.nl/www.verzekeraar.nl/inloggen. Hierbij is het adres van de Vereende het eerste gedeelte van de URL en is het adres van de example.nl/www.verzekeraar.nl het verlengde onderdeel wat de link verdacht maakt.

Dringend verzoek om gegevens: In phishing-e-mails vragen hackers vaak op een dringende toon om persoonlijke of financiële gegevens zoals naam, e-mailadres of rekeningnummer.

Verdachte bijlage: Als een e-mail een onbekende bijlage bevat, is het advies hier voorzichtig mee te zijn. Open geen bijlage van verdachte afzenders of van e-mails die een verdachte inhoud bevatten.

Cybersecurity-aanpak door jou en de Vereende

Steeds meer organisaties hebben een brede cybersecurity-aanpak om de cyberweerstand te verhogen. Wat kun jij zelf doen om jouw organisatie tegen hackers te beschermen en hoe kan de Vereende jou helpen?

Technische maatregelen: De technische omgeving van een organisatie is een basisuitgangspunt. De basiselementen moeten goed beveiligd zijn. Hierbij kun je onder andere denken aan passwordmanagement en -tools, de inrichting van digitale omgevingen en autorisatiemanagement. De ICT-infrastructuur is de basis en dient goed beveiligd te zijn. Denk hierbij aan verschillende soorten maatregelen. Preventieve maatregelen om het de hacker moeilijker te maken om toegang te krijgen tot de ICT-omgeving zoals multi-factor authenticatie. Detectieve maatregelen zoals monitoring kunnen signaleren als de hacker toch binnen is gekomen.
Bewustzijn kweken: Technische maatregelen kunnen niet voorkomen dat jij of jouw collega per ongeluk op een phishing-e-mail klikt. Daarom is bewustzijn van cybersecurity minstens zo belangrijk. De menselijke firewall, oftewel de mensen in jouw organisatie, is een belangrijke speler. Het trainen van het bewustzijn draagt bij in de alertheid waardoor verdachte e-mails sneller herkend worden en maakt de medewerkers bewust van de te volgen procedure(s). Gesimuleerde phishing-e-mails kunnen een goede test zijn om te kijken in hoeverre de medewerkers bewust zijn.
Communicatie: Het klikken op een e-mail kun je niet altijd voorkomen maar communicatie draagt bij om de schade te beperken. Meld in de organisatie dat je op een link van een verdachte email hebt geklikt. Dan kunnen er extra maatregelen genomen worden om eventuele verdere schade te beperken door bijvoorbeeld de omgeving te monitoren en bij verdachte activiteiten direct actie te ondernemen.
Cybersecurityverzekering: De Vereende biedt haar BAVAM-klanten de mogelijkheid om een cyberrisicoverzekering af te sluiten. Mocht het toch misgaan dan biedt de dekking voor verschillende zaken een vergoeding. Bedragen voor ransomware zijn veelal hoog.

Conclusie

Hackers en phishing-e-mails nemen in aantallen toe. Met de nieuwe technologieën zijn de phishing-e-mails steeds moeilijker te herkennen. Het is daarom zaak heel alert te blijven en de beveiliging goed op orde te hebben. Maar voor hackers zijn phishing-e-mails eenvoudig tegen lage kosten te produceren. De menselijke schakel is de laatste in het handelen om een omgeving te benaderen en daarmee een hele belangrijke. Dus besteed tijd aan het vergroten van het bewustzijn van je medewerkers en aan het op orde houden van jouw digitale omgeving.

Auteurs Veruschka Kavelaars (Foto – Information Security Officer, Vereende) & Patricia Koppers (Chief Information Security Officer, Vereende)