We hebben een nieuw wapen in de strijd tegen phishing. Toegegeven, op
een schaal van proppenschieter tot kruisraket is het niet meer dan een schaar
om het lijntje van de gegevenshengelaar mee door te knippen, maar toch. Het is weer een stap op weg naar een wereld
zonder mensen die op slinkse wijze proberen gegevens te ontfutselen aan
argeloze computergebruikers.
Het nieuwe wapen is uiterst goedkoop. We hebben het bij anderen afgekeken. Om het aan te zetten hoefde een beheerder slechts eenmalig een tekstje te kopiëren en ergens een vinkje te zetten. Sinds afgelopen maandag wordt aan alle e-mail, die wij van buiten de eigen organisatie ontvangen, deze melding toegevoegd: [EXTERNE E-MAIL] Dit bericht is afkomstig van een externe afzender. Wees voorzichtig met het openen van linkjes en bijlagen.
Helaas moeten we de gebruiker nog steeds inzetten als schakel in de
verdediging tegen criminelen, die proberen om wachtwoorden of andere gevoelige
informatie te bemachtigen door mensen op linkjes te laten klikken of bijlagen
te laten openen, waardoor ze bijvoorbeeld op de nagemaakte website van een bank
of ander bedrijf terechtkomen, of waardoor hun computer besmet raakt met
malware die de crimineel kan gebruiken om zichzelf toegang tot die computer te
verschaffen. Om de gebruiker niet onvoorbereid ten strijde te laten trekken,
steken we nogal wat energie in voorlichting: hoe herken je phishing, wat doe je
als het tegenkomt, welke gevolgen kan het hebben, enzovoorts.
En nu dus dat zinnetje. Want zoals de kracht van reclame in de herhaling
zit, zo zit ook de kracht van training in de herhaling. Frappez toujours, zeggen de Fransen – blijf aankloppen. Door dat
ene zinnetje telkens te presenteren als het gevaar loert, willen we onze
collega’s een “oh ja”-momentje bezorgen. Als in: “Oh ja, dit mailtje komt van
buiten. Als er een link of een bijlage in zit, dan moet ik me even afvragen of
ik er wel op moet klikken. En bij twijfel doe ik even niks.” Elders leggen we
uit wat je zelf kunt doen om te bepalen of je met phishing te maken hebt.
Er zijn vragen gekomen over dat zinnetje. Bijvoorbeeld: hoe doe ik dat,
een bijlage voorzichtig openen? Maar dat staat er niet (en het kan ook helemaal
niet). Nee, de boodschap is: denk na óf je het bestand moet openen. Komt het
van een bekende afzender, past het in je contacten met die afzender en is de
tekst van het mailtje logisch? Dan is er waarschijnlijk niets aan de hand. Die
tweede vraag is belangrijk omdat, als een bedrijf of persoon gehackt is, de
hacker ‘echte’ mailtjes kan versturen namens zijn slachtoffer. Kortom, zo luidt
het vriendelijke verzoek: laat je niet gek maken, maar als je nattigheid voelt,
negeer dat gevoel dan niet maar handel ernaar.
Sommigen maken zich zorgen over ons imago. Ze vrezen dat het
onprofessioneel overkomt als ze een extern mailtje beantwoorden en de ander dan
ziet dat wij zo’n waarschuwing aan zijn oorspronkelijke mail hebben toegevoegd.
Ik zie dat anders: het getuigt van een proactieve houding als een organisatie
zijn medewerkers en zichzelf op deze wijze beschermt. Ik vertelde al dat we het
idee gejat hebben; dat ging als volgt. Een collega zag een dergelijke
waarschuwing in het antwoord op een mailtje dat hij privé naar een bedrijf had
gestuurd, vond dat een goed idee en vertelde het aan mij. Mensen, die ons
mailen, zullen heus niet denken dat we specifiek hún mail niet vertrouwen. Ze
zullen begrijpen dat die waarschuwing aan álle mail wordt toegevoegd en
menigeen zal denken: die zijn goed bezig!
Het zou fijn zijn als we onze collega’s niet in de frontlinie van de
strijd tegen phishing zouden hoeven te plaatsen. Er bestaan wel degelijk
mogelijkheden om phishing (en spam) op technisch niveau een halt toe te roepen.
Protocollen als SPF, DKIM en DMARC zijn echter alleen effectief als ze breed
worden ingezet. Een organisatie of provider, die ze niet implementeert, laat de
deur voor internetcriminelen openstaan – die wandelen als het ware naar binnen
en doen alsof ze iemand anders zijn. Met de genoemde protocollen wordt onder
andere vastgelegd dat een mailtje, dat beweert dat het afkomstig is van bijvoorbeeld
belastingdienst.nl, vanuit specifieke mailservers moet worden verzonden. Als
een mailtje met zo’n afzenderadres ergens anders vandaan komt, dan is het af –
althans, als aan de kant van de ontvanger daarop wordt gecontroleerd.
Of een bedrijf of provider deze protocollen toepast, kun je gemakkelijk
testen op internet.nl.
Daar krijg je een mooi (of minder mooi) rapport met uitleg over de mate van
beveiliging van een e-maildomein of website.
En in de grote boze buitenwereld …
- is het aantal hacks en datadiefstallen in Nederland vorig jaar flink gestegen.
- weten criminelen nu of je wel eens in de dierentuin of het pretpark komt.
- tornt de overheid weer aan sterke versleuteling.
- is een Nederlandse cryptocurrencyhandelaar gehackt en zijn klantgegevens gelekt.
- zijn fouten in Microsoft Exchange misbruikt door Chinese hackers, zegt Microsoft.
- zijn die Exchange-exploits ook in Nederland toegepast.
- biedt een VPN geen waterdichte garantie tegen criminelen.
- heeft het Donorregister dringend behoefte aan beveiligingsprocedures.
- stort de Universiteit Twente zich op cybersecurity (met een geinige afkorting).
- mag je hopen dat je Android-toestel nog beveiligingsupdates krijgt.
- is tweefactorauthenticatie (2FA) best wel belangrijk.
- staat 2FA nu ook op de politieke agenda.
Geen opmerkingen:
Een reactie posten