Security (b)log: ondermijning

Posts tonen met het label ondermijning. Alle posts tonen

woensdag 26 november 2025

Leuke bijverdienste

Afbeelding via Unsplash

“Beste Patrick, ik wil je graag wijzen op een super interessante hightech kans!” Of: “We zijn gecharmeerd van je profiel, in hoeverre zou je openstaan voor meer informatie?” Internationaal kan ook: “I’m working on an exciting opportunity for an Information Security Team Lead role. Would you be open to a quick chat this week to discuss further?”

Headhunters gaan in opdracht van bedrijven op zoek naar kandidaten voor moeilijk vervulbare vacatures. Als ik ergens anders zou willen werken, dan zou ik zelf niet op zoek hoeven te gaan; potentiële werkgevers melden zich met grote regelmaat zelf. Dat gebeurt vooral via LinkedIn, want daar ligt je professionele profiel voor het grijpen.

Van Dale geeft als vertaling van headhunter: breinronselaar. Die term had ik niet eerder gehoord, maar het is wel een mooi bruggetje naar waar ik in deze blog heen wil. Het zijn niet alleen bedrijven die contact met professionals willen leggen. Ook criminele organisaties proberen nieuwe mensen te ronselen. Dat gaat dan niet via LinkedIn, maar bijvoorbeeld via Telegram – een medium waar criminelen zich thuis voelen.

Ze willen niet dat je voor hen komt werken. Sterker nog, ze willen juist dat je blijft zitten waar je zit. Je hoeft maar één ding voor ze te doen: hen toegang verschaffen tot de systemen van je organisatie. Zij regelen de rest. Behalve een aantrekkelijke beloning levert het je waarschijnlijk ook een paar extra vrije dagen op. Het uiteindelijke doel is namelijk om je organisatie met ransomware te besmetten. Meestal gaat de boel dan behoorlijk plat en kan er vaak weken niet gewerkt worden. Zo lag onlangs bij Jaguar Land Rover de wereldwijde autoproductie drie weken stil. De financiële schade wordt geschat op honderden miljoenen. En eerder dit jaar moest een Duitse servettenfabrikant na twee weken omzetderving faillissement aanvragen.

Cybercriminelen hebben initial access nodig: een digitale voet tussen de deur. Phishing is een beproefd middel, maar nu wordt er dus ook actief geronseld. En dat gebeurt behoorlijk gericht. Een bepaalde ransomware-bende is momenteel specifiek op zoek naar medewerkers uit de financiële, verzekerings- en reiswereld. Ook de horeca, auto-industrie en oliebedrijven zijn in trek. Ze leggen uit dat je niet bang hoeft te zijn voor strafrechtelijke vervolging, want ze zijn erg zuinig op hun insiders; ze beloven discreet met jouw login-gegevens om te gaan. Volgens hen word je in het ergste geval ontslagen. “Luister vooral niet naar die idiote informatiebeveiligers, die hebben geen idee waar ze het over hebben!”.

Discreet omgaan met je login-gegevens? Dat klinkt leuk, maar het is slechts het halve verhaal. Je kunt je werk bepaald niet anoniem doen – veel van wat je doet, wordt gelogd. In de logging staat dan: gebruiker xyz heeft op die-en-die datum om zo-en-zo laat dat-en-dat gedaan. Als er serieuze aanwijzingen zijn, dan zijn er best wel uitgebreide mogelijkheden om op jacht te gaan naar de vermoedelijke dader. En daar maken we dan vol overgave gebruik van.

Het lijkt gemakkelijk geld, maar vergis je niet. Je komt niet weg met “dat was ik niet” als jouw user-id in de logbestanden staat. Dat is nou precies de reden waarom je je wachtwoord nooit aan iemand anders mag geven, óók niet aan een collega. Want stel dat die collega voor dat Telegram-bericht valt en dan jouw inloggegevens verstrekt… Bovendien kost zo’n ondoordachte actie je niet alleen je huidige baan, maar ook je toekomstige. Wie wil er nou iemand in dienst nemen die er om zo’n reden uit is geschopt?

Luister maar liever naar het advies van zo’n “idiote informatiebeveiliger” en houd je verre van dergelijke praktijken. Kom je door financiële problemen toch in de verleiding, klop dan aan voor hulp.

Vanwege een paar vrije dagen verschijnt deze blog eerder dan gebruikelijk.

En in de grote boze buitenwereld …

… had ik deze week helaas geen tijd om deze rubriek te vullen.

vrijdag 29 augustus 2025

Nieuwe vrienden

Afbeelding via Unsplash

Het hield het midden tussen een conferentie en een zomerkamp: er waren veel mensen en het was een rommelige boel. Onderweg van de ene presentatie naar de volgende workshop werd ik lastiggevallen door een paar jongeren; er ontstond zelfs een klein handgemeen, waarbij ik die jongens eens goed op hun plek zette.

Toen ik mijn weg vervolgde, merkte ik dat de jongen, die het felst was geweest, een briefje in mijn jaszak had gestopt. Ik wilde het pas buiten hun zicht lezen, maar dat was een grote fout. We zullen nooit weten welke boodschap die jongen wilde overbrengen. Want op dat moment liep de wekker af. En hoe goed ik mijn best ook deed om de draad nog even op te pakken, het lukte niet.

Je gaat natuurlijk fantaseren over de betekenis van zo’n droom, en vooral wat er, als het echt was geweest, op dat briefje zou hebben gestaan. Het was vast een noodkreet, en het handgemeen had alleen tot doel had om dat briefje in mijn zak te kunnen stoppen. Misschien heb ik wat teveel van dat soort films gezien.

Maar goed, laten we eens doorgaan op het thema dat iemand hulp nodig heeft en daar kennelijk niet openlijk om kan vragen. In mijn werk kom ik dat niet zo direct tegen – mensen, die met een beveiligingskwestie zitten, komen gewoon advies vragen; soms ook als ze al vermoeden dat het te verwachten antwoord hen extra werk gaat bezorgen of als het betekent dat ze hun huidige werkwijze moeten loslaten. Gelukkig snappen collega’s meestal wel het belang van beveiligingsmaatregelen.

Buiten mijn directe werkzaamheden kan zo’n situatie wel degelijk voorkomen. Onze organisatie heeft nu eenmaal een enorme impact op wat jij en ik in onze portemonnee aantreffen. Maar ook op de opbrengsten van al dan niet legale handel. En als het om geld gaat, dan ligt criminaliteit altijd op de loer. Dat hoeft lang niet altijd te betekenen dat mensen uit zichzelf criminele dingen gaan doen. Omdat we een krankzinnige hoeveelheid gegevens over alles en iedereen beheren, laten beroepscriminelen soms een oogje op onze medewerkers vallen.

Even een stukje uit een nieuwsbericht van de NOS van 20 augustus: “Een Amsterdamse gemeenteambtenaar die vastzit op verdenking van corruptie en medeplichtigheid aan explosies heeft op grote schaal gegevens verkocht aan criminelen, stelt het Openbaar Ministerie. Die criminelen pleegden vervolgens aanslagen of veroorzaakten explosies op tientallen adressen die hij had aangeleverd.”

Het lijkt erop dat deze ambtenaar uit eigener beweging een handeltje in adressen heeft opgezet. Het komt echter ook voor dat mensen, die een functie hebben met toegang tot bepaalde gegevens, door criminelen worden benaderd. En dat gebeurt heus niet altijd recht-toe-recht-aan. Nee, vaak proberen ze eerst vriendjes te worden, en misschien helpen ze je op een gegeven moment ergens mee. Ze zoeken namelijk een zwakke plek bij jou, iets waar je heel goed hulp bij kunt gebruiken. En die krijg je dan ook van je nieuwe vriend. Een poosje later wordt een kleine wederdienst gevraagd. “Moet je nou zien, iemand heeft mijn auto geramd! Gelukkig kon ik nog net zijn kenteken noteren. De politie heeft het te druk om dit uit te zoeken, maar voor de verzekering moet ik natuurlijk wel weten wie die hufter is. Zeg, jij kunt toch bij dat soort informatie, jij wilt me vast wel helpen!”

Waarschijnlijk kloppen ze daarna nog vaker bij je aan, en dan kun je er niet meer onderuit. Want tja, je hebt iets gedaan wat ‘eigenlijk’ niet mag, en dan zit je klem. Je wilt geen informatie meer doorspelen, maar je nieuwe ‘vriend’ neemt daar geen genoegen mee. Als je hem niet meer helpt, dan zou je baas er wel eens achter kunnen komen wat je hebt gedaan…

Zo’n situatie lijkt uitzichtloos, maar er is altijd hulp beschikbaar. En daarvoor hoef je gelukkig niet in mijn dromen te verschijnen. Er zijn diverse interne loketten waar je kunt aankloppen. De zoekterm ondermijning kan je op weg helpen. Doe iets voordat het écht te laat is. En voor de overgrote meerderheid die dit niet raakt: bedenk dat je nooit weet wie jouw pad in de toekomst zal kruisen.

En in de grote boze buitenwereld …

vrijdag 18 oktober 2024

In en onder de mijn

Afbeelding via Pixabay

In Zuid-Limburg floreerde in de vorige eeuw de mijnbouw. Die activiteit begon overigens al rond het jaar 1100, toen de monniken van de abdij Rolduc in Kerkrade al in de grond wroetten. Vanaf de 17^e eeuw werd het allemaal wat serieuzer, en in 1902 werden de Staatsmijnen opgericht. Uit mijn jeugd herinner ik me nog twee markante punten: een grote, pikzwarte bult in het landschap als we over de snelweg naar Heerlen reden en de Lange Jan, de 135 meter lange schoorsteen van de elektriciteitscentrale die bij een mijn hoorde, midden in diezelfde stad. In 1973 sloot de regering de mijnen. In Landgraaf herinneren nog diverse straatnamen aan die tijd: Koempel, Pungel, Houwer, Zeverij, Mijnlamp, Galerij, Aan de Schacht en nog meer.

Misschien is het wel deze geschiedenis die maakt dat ik wat moeilijk vat krijg op de term ondermijning. Die mijngangen zitten immers al onder de grond, wat kan daar nog onder zitten? Tegelijkertijd zit er toch een mooie metafoor in. Want ondermijning duidt op de verwevenheid van de onderwereld en de bovenwereld, ofwel criminaliteit en legaliteit. In de onderwereld gebeuren dingen die het daglicht niet verdragen, en in de mijngangen was het ook donker.

Maar wat is dat nou precies, die ondermijning? Op de site van de rijksoverheid komen ze ook niet met een heel concrete definitie: “Criminelen maken voor illegale activiteiten gebruik van legale bedrijven en diensten. Hierdoor vervagen normen en neemt het gevoel van veiligheid en leefbaarheid af. Dit effect heet ook wel ondermijning.” Als je doorklikt, wordt het een stuk duidelijker. Er wordt gesproken over het beïnvloeden en onderdrukken van bijvoorbeeld parlementariërs, ambtenaren en “onschuldige burgers” (alsof die beide andere steevast schuldig zijn…). Er kan zwaar geweld aan te pas komen, “tot aan liquidaties en explosies in woonwijken toe”.

Voorbeelden maken duidelijker waar het om draait als legale bedrijven worden betrokken bij criminele activiteiten: bij witwassen van crimineel vermogen worden banken gebruikt, drugs- en mensensmokkel lopen via havens en luchthavens en voor de aanleg van een hennepkwekerij hebben ze een elektricien nodig. Ambtenaren worden onder druk gezet of betaald om informatie door te spelen. Het gaat dan misschien om de adresgegevens van iemand waarmee ze nog een appeltje te schillen hebben. Dan kom je op het werkterrein van de Rijksrecherche: een opsporingsdienst die rechtstreeks onder het Openbaar Ministerie ressorteert. Het opsporen en onderzoeken van mogelijk strafbaar gedrag van ambtenaren is een van hun belangrijkste taken.

Op ons intranet staat een verplichte e-learning “Weerbaarheid: Bescherming bij benadering”. Aan de hand van indringende filmpjes wordt duidelijk hoe sluipend ondermijning in z’n werk gaat: een bezorgde kennis merkt dat je even wat krap bij kas zit, leent je een paar duizend euro en vindt vervolgens dat je moreel verplicht bent een wederdienst te leveren. Raak je daar eenmaal in verstrikt, dan kom je er niet meer gemakkelijk uit. De e-learning heeft indruk op mij gemaakt.

Wat dan weer jammer is, is dat er volgens diezelfde cursus maar liefst vijf verschillende meldpunten zijn: vier interne plus 112, voor als er acuut gevaar dreigt. “Hoe goed ken jij de verschillende meldpunten waar je terecht kunt?” Nou, weet je, mocht het ooit voorkomen dat ik met mogelijke ondermijning te maken krijg, dan zoek ik dan wel uit waar ik terecht kan. Het lijkt me een beetje onzinnig om nu uit het hoofd te leren bij welk loket ik in welke specifieke situatie moet aankloppen.

Criminelen onderscheiden niet goed tussen wat van hen is en wat van anderen is. Dat is het onderscheid tussen mijn en dijn. Wat me dan toch weer op slinkse wegen terugbrengt naar die steenkolenmijn van weleer.

Volgende week verschijnt er geen Security (b)log.