Een hack stopt niet bij gestolen data: waarom phishing daarna extra gevaarlijk wordt

Begin augustus werd logistiek dienstverlener CEVA getroffen door een cyberincident. Dat kreeg direct gevolgen voor meerdere bekende organisaties die van CEVA gebruikmaken, waaronder Bol.com en Ajax. Bij Bol.com konden klantgegevens die nodig waren voor het verwerken en bezorgen van bestellingen mogelijk worden ingezien of gekopieerd. Het ging bijvoorbeeld om namen, adressen, e-mailadressen, telefoonnummers, ordernummers en bestelgegevens. De systemen van Bol.com zelf waren niet geraakt.

Een datalek is vervelend genoeg. Maar het risico stopt niet zodra de aanval voorbij is.

Juist de gegevens die bij zo’n incident buitgemaakt kunnen worden, maken het voor cybercriminelen makkelijker om phishingberichten geloofwaardig te laten lijken.

Als een phishingmail ineens wel heel echt lijkt

Veel mensen denken bij phishing nog steeds aan een opvallende e-mail vol taalfouten, afkomstig van een onbekende afzender. In de praktijk kan het veel subtieler zijn.

Stel: je hebt onlangs iets besteld bij een bekende webshop. Een paar dagen later ontvang je een mail waarin staat dat er iets mis is gegaan met de bezorging. Je naam klopt, het bestelproces klinkt herkenbaar en misschien wordt zelfs verwezen naar een product of levering.

Dan is de kans groter dat je denkt: dit zal wel kloppen.

Dat is precies waarom gestolen persoonsgegevens zo waardevol kunnen zijn voor cybercriminelen. Hoe meer echte informatie zij hebben, hoe makkelijker het wordt om een bericht persoonlijk en betrouwbaar te laten lijken.

Bol.com waarschuwde getroffen klanten na het incident dan ook expliciet om alert te blijven op phishing en andere vormen van fraude. Het bedrijf adviseert onder andere om de afzender van berichten goed te controleren, niet zomaar op links in onverwachte e-mails te klikken en geen persoonsgegevens te delen wanneer daar onverwacht om wordt gevraagd.

Phishing draait steeds vaker om vertrouwen

Een phishingaanval hoeft helemaal niet ingewikkeld te zijn.

Cybercriminelen proberen vooral één ding te bereiken: ervoor zorgen dat iemand een handeling uitvoert.

Bijvoorbeeld:

• klikken op een link;
• een bijlage openen;
• inloggegevens invullen;
• persoonsgegevens doorgeven;
• een betaling uitvoeren;
• of reageren op een zogenaamd dringend verzoek.

Daarbij wordt vaak ingespeeld op herkenning, tijdsdruk en vertrouwen.

Een mail van je bank. Een pakketbezorger die een probleem met je levering meldt. Een bericht van een collega of leidinggevende. Of een webshop waar je daadwerkelijk iets hebt besteld.

Precies daardoor kan een phishingmail lastig te herkennen zijn.

Niet alleen een probleem voor de IT-afdeling

Cyberveiligheid wordt nog regelmatig gezien als iets van de IT-afdeling. Natuurlijk spelen technische beveiligingsmaatregelen een belangrijke rol, maar uiteindelijk ontvangen medewerkers dagelijks e-mails, openen zij bestanden en werken zij met verschillende systemen.

Daarom is bewustwording minstens zo belangrijk.

Medewerkers hoeven geen cybersecurityspecialist te worden. Ze moeten vooral weten wanneer ze even extra kritisch moeten kijken.

Klopt het e-mailadres van de afzender?
Waar leidt die link werkelijk naartoe?
Waarom moet ik ineens zo snel handelen?
Is het logisch dat ik via deze mail om gegevens of een betaling wordt gevraagd?

Een paar seconden extra nadenken kan al verschil maken.

Wat kun je doen bij een verdachte e-mail?

Twijfel je over een bericht? Klik dan niet direct op links of bijlagen.

Controleer eerst de afzender en kijk kritisch naar het e-mailadres. Ga bij twijfel zelf naar de website van de organisatie, in plaats van de link in de e-mail te gebruiken. Wordt er namens een collega of leverancier een opvallend verzoek gedaan? Controleer het dan via een ander kanaal.

En misschien wel het belangrijkste: zorg dat medewerkers weten waar zij een verdacht bericht binnen de organisatie kunnen melden.

Een medewerker die twijfelt en een e-mail meldt, is geen probleem. Juist dat gedrag wil je stimuleren.

Phishing herkennen in 5 tot 10 minuten

Bewustwording hoeft gelukkig geen urenlange training te betekenen.

In onze e-learning Phishingmail leren medewerkers in ongeveer 5 tot 10 minuten hoe zij phishingmails herkennen en hoe zij veilig handelen bij verdachte berichten.

De training behandelt onder andere verdachte afzenders, misleidende links, dringende verzoeken en andere veelgebruikte trucs. Met praktijkvoorbeelden en interactieve opdrachten wordt de kennis direct gekoppeld aan situaties die medewerkers in hun dagelijkse werk kunnen tegenkomen. De training is volledig online, geschikt voor alle medewerkers en wordt afgesloten met een eindtoets en certificaat.

Bekijk de e-learning Phishingmail

Een kleine investering in bewustwording

Een cyberincident bij een grote organisatie lijkt misschien ver weg van je eigen werkdag. Maar juist het incident bij CEVA laat zien hoe gegevens uit de ene organisatie gevolgen kunnen hebben voor klanten en medewerkers van allerlei andere organisaties. Bij Ajax werd later bijvoorbeeld bevestigd dat bij het incident gegevens zoals namen, e-mailadressen, adressen, telefoonnummers en bestelinformatie betrokken waren. Betaalgegevens en wachtwoorden maakten daar volgens Ajax geen deel van uit.

Je kunt niet ieder cyberincident voorkomen.

Maar je kunt medewerkers wel leren om nét iets kritischer te kijken voordat ze klikken.

En soms zijn daar maar vijf minuten voor nodig.