Wie belt nou wie?

Afbeelding: Wikipedia

“Hallo, u spreekt met Peter den Vlieger van de Huisbank*. Ik wil graag nog even wat dingen doornemen met betrekking tot uw nieuwe hypotheek.”

Tot zover niets aan de hand, tenminste, als je daadwerkelijk een nieuwe hypotheek bij die bank hebt afgesloten. Wat de klant echter wel vreemd vond is dat de bankmedewerker ook nog contactgegevens wilde doornemen, ter verificatie. “Ze bellen mij toch, dan weten ze toch dat ik het ben?”

Wist je dat phishing niet alleen via e-mail en sms, maar ook via de telefoon kan? Dan noemen we het vishing (met de v van voice), maar het doel is hetzelfde: informatie ontfutselen. Stel, die Peter den Vlieger is een crimineel. Dan begint hij waarschijnlijk niet over een hypotheek, want de kans is groot dat zijn beoogd slachtoffer helemaal geen hypotheek heeft aangevraagd. Hij zal dus over iets algemeners beginnen, zoals een spaarrekening of bankpasje.

Stel, zijn verhaal klinkt plausibel. Vervolgens stelt Peter een aantal vragen zoals je die zo vaak hoort als jij een bedrijf of instantie belt: je adres, geboortedatum, misschien wel je bankrekeningnummer of je BSN. Heel logisch als jij belt – al ben ik vaak verbaasd over het kleine beetje informatie waar ze genoegen mee nemen. Maar als zij jou bellen, dan wordt het een ander verhaal.

Want waarom zouden ze in dat geval jouw identiteit moeten verifiëren? Ze hebben immers jouw dossier voor hun neus, en daarin staat ook het telefoonnummer dat ze bellen. Oké, iemand anders zou jouw telefoon kunnen opnemen, maar dat is in het tijdperk van de mobiele telefonie niet zo waarschijnlijk (vroeger, jongelui, had je één telefoontoestel (de T65 van de PTT) in huis, die je slechts zo ver kon verplaatsen als de draad toestond). Als iemand jou namens een bedrijf belt en om identificerende gegevens vraagt, moet je dus op je hoede zijn. Want met die gegevens in de hand kan een crimineel gemakkelijk een bedrijf bellen en doen alsof hij jou is. Met alle gevolgen van dien.

Nee, als ze jou bellen, dan moet je het spel omdraaien: jij stelt zelf de vragen. Wat is mijn geboortedatum? Waar woon ik? Wat zijn de laatste vier cijfers van mijn IBAN? Als ze daar niet op willen (of kunnen!) antwoorden, dan kun je maar beter ophangen. Twijfel je of het telefoontje misschien toch legitiem was? Bel het bedrijf dan via een nummer dat je kent of van hun website of brieven haalt. Ze kunnen je vast wel vertellen of ze jou gebeld hebben.

Maar natuurlijk hoorde ik ook weer verhalen van mensen die ‘gewone’ phishing hadden ontvangen, via de mail. Zo ook de collega die een superaanbieding van bol.com kreeg: sneakers van een bekend merk voor een tientje in plaats van negentig euro. Als je al eens een presentatie van mij hebt bijgewoond, dan herken je waarschijnlijk deze tegeltjeswijsheid: als iets te mooi lijkt om waar te zijn, dan is het dat meestal ook. De collega vond het mailtje in eerste instantie wel betrouwbaar ogen – hij werd zelfs bij zijn voornaam genoemd. Maar omdat er toch iets knaagde, vroeg hij AI om hulp. Uitslag: phishing! Dat werd overigens vooral geconcludeerd omdat het logo van bol.com ontbrak. Dat juist dit de doorslag gaf is verontrustend, want een beetje professionele phishing investeert juist in look and feel. Wat zou AI gezegd hebben als het logo er wél was geweest?

Waarom wist de crimineel achter dit mailtje hoe onze collega heette? Vanwege Odido. Of Rituals. Of Basic-Fit. Allemaal grote datalekken waarbij veel gegevens (waaronder e-mailadressen en namen) van heel veel mensen zijn buitgemaakt. Het oude criterium, dat de afwezigheid van een persoonlijke aanhef een rode vlag is – en dus impliciet dat een persoonlijke begroeting juist een groene vlag is – kan daarmee wel naar de prullenbak.

Of ze je nu willen phishen, smishen, vishen of quishen**: wees de criminelen te slim af. Laat mensen als Peter den Vlieger maar lekker crashen door jouw alertheid.

*: Deze namen zijn verzonnen.

**: smishing = phishing via sms, vishing via de telefoon, quishing via QR-codes.

 

En in de grote boze buitenwereld …

• zijn de gevolgen van een cyberaanval op de watervoorziening groter dan je zou denken.
• gaat Meta in de toekomst misschien je stemming analyseren.
• struikelde een jonge hacker over zijn eigen honger.
• is het Rijkscloudbeleid aangescherpt.
• draait cybersecurity niet om het bang maken van mensen.
• had het Japanse leger last van besmette USB-sticks.
• spelen cybercriminelen graag in op actuele gebeurtenissen.
• hoef je je telefoonnummer niet meer te delen om met iemand te kunnen appen.
• zijn wereldwijd duizenden cybercriminelen opgepakt.
• was er een grote aanval op Microsoft 365-accounts.
• is China geïnteresseerd in de mail van westerse wetenschappers.

 

Geheimen verklappen

 

Afbeelding: Unsplash

Als ik vraag: “Wat is je wachtwoord?”, dan zeg jij: [je krijgt een halve seconde bedenktijd]. Als ik het op deze manier vraag, dan komt iedereen, naar ik mag hopen ruim binnen de bedenktijd, tot het enig mogelijke antwoord: “Dat zeg ik niet.” En toch landden deze week een paar voorbeelden op mijn bureau die mijn nekharen rechtop deden staan.

In het eerste geval startte een collega een chat met de helpdesk omdat hij niet in een bepaald systeem kon inloggen. De helpdeskmedewerker vroeg:

Welk wachtwoord gebruik je?

Windows of mainframe?

De hulpzoekende antwoordde:
              iloveyou246

Waarop de helpdeskmedewerker zich verslikte en (netjes) foeterde dat er geen wachtwoorden mogen worden gedeeld. De ander probeerde het nog met “ik deel geen wachtwoorden”, maar daar trapte de helpdesker natuurlijk niet in. De vrager reageerde nog met: “Ja maar je vraagt aan mij wat is je wachtwoord. Ik geef dit door zodat je mijn probleem kunt oplossen.”

Hoe kon het zo misgaan? Onder welke steen heb je gelegen als je nu nog niet weet dat een helpdesk nooit om je wachtwoord vraagt? En – een stapje verder dan bovenstaand relaas – dat als iemand je belt en zegt dat hij van de helpdesk is en jouw wachtwoord nodig heeft om iets te checken, deze persoon met honderd procent zekerheid niet van de helpdesk is, maar iemand met kwade bedoelingen? Je wachtwoord is van jou van jou alleen, basta!

Toegegeven, de vraagstelling van de helpdesk was ook niet helemaal zuiver. Door de vraag over twee regels te spreiden, zou je de eerste regel kúnnen interpreteren als vraag naar het wachtwoord. De helpdesk gaat nu kijken hoe ze dit kunnen verbeteren.

Het tweede geval ontlokte mij in eerste instantie een wat ongelovige glimlach, die helaas toch weer moest worden gevolgd door verontwaardiging. Deze collega schreef naar de helpdesk:

Bij inloggen op mijn PC wordt mijn gezicht (na vakantie) niet herkend en mijn code niet geaccepteerd.

Graag mijn gezicht weer opvoeren en pincode 375484 opvoeren. 

Los van de vele human interest-vragen die de eerste regel oproept, spreekt hier een verbluffende argeloosheid uit. Om te beginnen kan dit helemaal niet – de gebruiker moet dat zelf doen (en dat kan uiteraard pas als hij een weg heeft gevonden om in te loggen; uiteraard kan de helpdesk hem de juiste weg wijzen). En dat je je pincode of wachtwoord deelt met een vreemde, dat blijft toch wel heel bijzonder.

Ik leg het nog maar eens een keertje uit voor wie zich afvraagt waar ik mij zo over opwind. Iemand die jouw wachtwoord of pincode heeft, kan inloggen alsof hij jou is. Wat dan volgt kan grofweg variëren van een ludiek mailtje in de trant van “morgen taart voor iedereen” tot het opzoeken van gegevens en die doorspelen aan criminelen. En bij wie denk je dat de opsporingsdiensten komen aankloppen als onderzocht wordt wie er gelekt heeft? Juist ja. En klets je daar dan maar eens uit. Ik bedoel maar: het is echt in je eigen belang dat je wachtwoorden strikt voor jezelf houdt. En natuurlijk is het ook in het belang van de organisatie, die ‘herleidbaarheid van handelen’ hoog in het vaandel heeft staan. Je wilt altijd kunnen achterhalen wie wat heeft gedaan. Maar je wilt het vooral kwaadwillenden niet te gemakkelijk maken. Dat kan belangrijker zijn dan je kunt vermoeden.

 

En in de grote boze buitenwereld …

• heeft hier misschien ook iemand een wachtwoord gedeeld.
• het een wachtwoord-Excel op GitHub ook al geen goed idee.
• hoeft digitale autonomie niet zo moeilijk te zijn.
• maak je hopelijk geen gebruik van First VPN (spoiler: werkt niet meer).
• is Defensie nu wél alert op trackers.
• zijn quantumcomputers belangrijk voor informatiebeveiliging. Dit artikel vertelt je wat je erover moet weten.
• vraag ik me af hoe je open source software kunt stelen.
• blijft ShinyHunters slachtoffers maken.
• begint typosquatting aan een tweede leven.

 

Roestende kettingen

Afbeelding via Unsplash

“De zwakste schakel in de beveiliging van IT bevindt zich altijd tussen het beeldscherm en de leuning van de bureaustoel,” meldde iemand met een knipoog in de commentaren onder mijn vorige blog. Die ging erover dat WhatsApp- en Signal-accounts waren gehackt via hun eigenaren. Daar lijnrecht tegenover staat een uitspraak van een voormalig algemeen directeur van onze organisatie: “De mens is de sterkste schakel in de beveiliging.” Hoe verhouden deze uitspraken zich tot elkaar?

Dat eerste citaat hoor je wel vaker. Het betekent zoveel als: de computergebruiker tuint er met open ogen in, want hij snapt het allemaal niet. Sommigen durven zelfs te spreken van ‘die domme eindgebruiker’. Dat laatste is sowieso niet eerlijk: je kunt onmogelijk van elke medewerker verwachten dat hij of zij alle ins en outs van cybercriminaliteit en informatiebeveiliging doorgrondt en op elk moment van de dag alert is op verdachte situaties. Van domheid kan dus bijna nooit sprake zijn (ik kom nog terug op dat ‘bijna’).

Een ketting bestaat uit meerdere schakels. Volgens het oude gezegde bepaalt de zwakste schakel hoe sterk de ketting in haar geheel is. In dat gezegde zit de impliciete aanname besloten gaf dat er één schakel kan worden aangewezen die het zwakst is. Maar wat als een andere schakel harder roest en zijn zwakke broeder inhaalt? Dan is opeens een andere schakel de zwakste. Als er dan spanning op de ketting komt te staan, dat breekt zij misschien wel op een heel andere plek dan je had verwacht. Kortom: ik geloof niet zo in de zwakste schakel. Waar ik wel in geloof, is een ketting die regelmatig onderhouden wordt. Als een zwakke plek wordt gevonden, dan wordt die hersteld.

De beveiligingsketting heeft twee soorten schakels: technische en menselijke. Ik houd het hier simpeler dan andere modellen omdat ik niet meer dan dit nodig heb om mijn punt te maken. Je zou het liefst willen dat de techniek in staat is om alle kwaad en ongemak buiten de deur te houden. Onze mailfilters herkennen alle phishing-aanvallen en gooien spam feilloos in de prullenbak. Alle DDoS-aanvallen worden afgeweerd nog voordat ze jouw netwerk bereiken. En hackers maken geen schijn van kans omdat alle inbraakpogingen genadeloos in de kiem worden gesmoord.

We weten allemaal dat het zo niet werkt. Want honderd procent beveiliging vanuit de techniek is een illusie. Dat zou je niet geloven als je over een beveiligingsbeurs loopt waar fabrikanten hun hard- en softwaresystemen aanprijzen. Ze leken altijd al de perfecte beveiliging te verkopen, en sinds de opkomst van AI is dat alleen maar ‘erger’ geworden. De praktijk is helaas anders: de schakels van de ketting bevatten hier en daar wat roestplekjes. En weet je hoe dat vooral komt? Doordat de schakels van een ketting langs elkaar schuren. Het is niet zo dat één systeem alles beschermt; er is interactie. Daar kan het misgaan. In de interactie tussen technische systemen, maar ook – vooral? – in de interactie tussen technische en menselijke schakels. Even heel simpel voorgesteld: als een systeem piept maar de mens de melding als irrelevant afdoet, terwijl er toch echt iets aan de hand is, dan heb je een flinke roestplek te pakken. Overigens is dat niet de enige reden waarom de techniek ons niet volledig beschermt. Dat komt ook doordat de boeven steeds iets nieuws bedenken. En ook doordat zelfs beveiligingssystemen domweg fouten bevatten, zoals alle computersystemen.

Is de mens dan wel de sterkste schakel? Toen ik die stelling destijds voor het eerst hoorde, was ik verbaasd, want tja, de zwakste-schakel-theorie was toen gemeengoed. Ik ben daar echter op teruggekomen. Tegenwoordig houd ik mijn gehoor bij presentaties voor dat zij inderdaad de sterkste schakel zijn. De gebruiker is mijn laatste verdedigingslinie – als alle technische systemen gefaald hebben, dan is de mens het enige resterende redmiddel. Tenminste, bij het soort ellende waar de gebruiker een rol in speelt. Bij een DDoS-aanval sta je als eindgebruiker buiten spel, maar als we het over phishing hebben, dan ben je juist superbelangrijk. Jouw inzicht kan het verschil maken tussen wel of geen geslaagde ransomware-aanval, of tussen een intacte of een geplunderde bankrekening. Daarom laat ik geen gelegenheid voorbijgaan om met mensen over phishing te praten.

Van domheid kan bijna nooit sprake zijn, schreef ik. Bijna. Dus soms wel? Ja. Het komt namelijk voor dat mensen nattigheid voelen, dat ze bijvoorbeeld een bepaald mailtje niet vertrouwen. En dan tóch op die link klikken of de bijlage openen. Om te kijken wat er gebeurt. Omdat ze nieuwsgierig zijn. Of omdat ze denken: ach, het zal wel niet. Dan ben je niet slim bezig. Hanteer nou maar die eenvoudige regel: bij twijfel ga je uit van foute boel.

 

En in de grote boze buitenwereld …

• Zie je hier waar een geslaagde phishing-aanval (in dit geval per telefoon) toe kan leiden.
• Heeft een beveiligingsbedrijf een netwerk van Noord-Koreaanse infiltranten blootgelegd.
• Gebruiken hackers ook gewoon beheersoftware.
• Kon je in Perm gratis parkeren dankzij een DDoS-aanval.
• Kun je beter niet opscheppen over hardlopen op een boot.
• Beperken aanvallen op iPhones zich niet langer tot high-value targets.
• Word je misschien wel aangevallen door onzichtbare code.
• Appen Belgische ambtenaren voortaan met Beam.

 

Boek hier niet

Afbeelding via Pixabay

In de herfstvakantie wilden we er nog even met z’n allen tussenuit. Kritisch als we nu eenmaal zijn, volgde een uitgebreide zoektocht naar een geschikt huis op een leuke locatie. Uiteindelijk vonden we op een boekingsite wat we zochten. Omdat we daar al vaker hadden geboekt, dachten we dat we klaar waren. Het liep anders.

Daags na de boeking ontving ik in een tijdspanne van anderhalf uur acht berichten van een bedrijf waar ik nog nooit van had gehoord; ik geef het hier de fictieve naam Boekhierniet. De mailtjes gingen over mijn boeking, met onderwerpen als ‘payment failed’, ‘request for payment of deposit’ en ‘activeer uw klantaccount’. En ze wilden ook nog een kopie van mijn paspoort. Weliswaar kwamen die berichten allemaal via het mailsysteem van de boekingsite, maar ik was zeer achterdochtig. Zoals gezegd, we zijn daar zo’n beetje vaste klant en we zijn nog nooit eerder door een andere partij benaderd. De betaling was al geregeld, en de waarborg betaal je normaal gesproken op locatie. Bovendien bedroeg de borgsom maar liefst zevenhonderd euro – exorbitant hoog. En er viel nog meer op. In die berichten werden drie verschillende internetdomeinen genoemd: boekhierniet.eu, boekhierniet.be en boekhierniet.es (Europa, België en Spanje). Bovendien kwam naast de naam Boekhierniet ook de naam Investeerhierniet voor. Mijn achterdocht werd verder opgeschaald.

Natuurlijk ging ik met de boekingsite bellen. Lang verhaal kort: de ontvangen berichten waren legitiem. Het enige wat niet klopte, was het bericht dat ik de huursom nog moest betalen. Maar ik werd gerustgesteld: ik hoefde me daar niets van aan te trekken en ik hoefde ook niet bang te zijn voor annulering (waar Boekhierniet wel mee dreigde). Ze hadden contact gehad met de lokale verhuurder – dat was dus Boekhierniet – en het met hen geregeld.

Gelukkig, denk je dan, niets aan de hand. Maar ik moest nog wel zo’n beetje alles doen wat in al die berichten stond. En dus een klantaccount aanmaken bij Boekhierniet en elk gezinslid apart inchecken, inclusief alle paspoorten. Ik ging natuurlijk niet zomaar de paspoorten opsturen; eerst ging ik van alles weglakken, waaronder de foto’s. Kreeg ik daar weer commentaar op: we hebben de foto nodig, anders kunt u de sleutel niet in ontvangst nemen. Omdat dat plausibel klonk, stuurde ik ze een nieuwe scan van mijn eigen paspoort, met zichtbare foto. Overigens had de man, die mij de sleutel overhandigde, een paspoortkopie bij zich met de afgeplakte foto. En hij vroeg enthousiast of ik Patrick was. Het zou dus voor een derde erg gemakkelijk zijn geweest om de sleutel voor mijn neus weg te graaien.

Zolang legitieme bedrijven dingen blijven doen die criminelen ook doen, blijft het lastig om mensen bewust te maken van risico’s. Je kunt immers niet zeggen: als je dit of dat ziet, dan is het altijd foute boel. Nee, je moet ruimte laten voor false positives: onterechte signalen dat er iets mis is. Dan moet je dus uitleggen: kijk, als je zoiets ziet, dan kán het foute boel zijn, maar het hóéft niet zo te zijn; je moet uiteindelijk maar zelf bepalen of je het vertrouwt of niet. Dat komt een stuk minder krachtig over en veroorzaakt bij sommigen eerder onzekerheid dan dat het echt helpt.

Dat zien we ook bij phishing. Dan zeg je: let op, als een mailtje geen persoonlijke aanhef heeft, maar begint met zoiets als “Beste klant” of “Hallo!” (of helemaal geen begroeting), dan moet je uitkijken. Want criminelen die phishingmail versturen hebben meestal alleen je e-mailadres en weten je naam niet. Maar ja, net kwam er in mijn privémail ook weer een hartstikke legitiem mailtje binnen dat mij begroette met “Beste klant”. Zijn die bedrijven dan gewoon te lui om mijn naam te gebruiken? Of brengt het hoge kosten met zich mee? Ik heb het voor je uitgezocht.

Om met die kosten te beginnen: het hangt ervan af. Bij een modern mailsysteem zijn de kosten verwaarloosbaar. Heb je echter een oud, bedrijfseigen systeem, waar personalisatie destijds niet in is aangebracht, dan moet je de software aanpassen, en dat kost natuurlijk wel wat. Verder hebben lang niet alle bedrijven correcte gegevens. Als die je dan een mailtje sturen met “Beste {klantnaam}”, of mij begroeten als “Geachte mevrouw Borsoi”, dan schaadt dat het vertrouwen van de klant. Het opschonen van die gegevens is moeizaam en dus duur. Overigens zijn er ook nog bedrijven die bewust kiezen voor een algemene aanhef, om de impact bij het onderscheppen van de mail te verkleinen (er lekken dan minder gegevens). In dat geval is de algemene aanhef dus een privacymaatregel.

En ja, er zijn óók bedrijven die gewoon te beroerd zijn om je netjes te begroeten. Mijn oproep aan hen: doe even je best en help mee in de strijd tegen phishing!

 

En in de grote boze buitenwereld …

• worden boekingsites inderdaad misbruikt om mensen te tillen.
• kan je verloren iPhone nog een lelijk staartje krijgen.
• kaart een open brief aan de Europese Commissie grote privacy-zorgen over de Digitale Omnibus aan.
• kreeg cybercrime weer flink klappen van Operation Endgame, gecoördineerd door Europol.
• heeft dit bedrijf op verfrissende wijze gereageerd op een ransomware-aanval.
• werkt eens in de zoveel tijd een security-update averechts.
• willen we graag digitale soevereiniteit, en dan neemt een Amerikaans bedrijf een Nederlands cloudbedrijf over.
• zijn ad blockers belangrijk voor je privacy.
• richt deze spyware zich specifiek op Samsung Galaxy-telefoons.
• moesten de DJ’s van RTV Noord na een cyber-aanval met de hand plaatjes draaien.
• gebruiken overheden hun spyware niet alleen tegen topcriminelen en terroristen.
• is het geen wonder dat ze bij het Louvre hebben ingebroken.

In het theater

Foto van auteur

De Rode Zaal van het Meervaart Theater in Amsterdam is op de foto nog leeg. Enkele minuten later was hij gevuld met zo’n driehonderd medewerkers van het Landelijk Incasso Centrum (LIC) van de Belastingdienst. En die laptop, die is van mij.

Een paar maanden geleden was de organisatie van deze jaarbijeenkomst enthousiast geworden over mijn blogs. Waarschijnlijk onder de wat riskante aanname “als hij leuk kan schrijven, dan zal hij ook wel leuk kunnen vertellen” nodigden ze me uit om een deel van het programma voor mijn rekening te nemen. En dus toog ik dinsdag, de spoorwegstaking trotserend, naar de hoofdstad. Ik had drie missies: vóór de lunch een presentatie in het keuzeprogramma, na de lunch een plenaire presentatie in die grote zaal en aan het einde van de dag nog eens hetzelfde verhaal als ’s ochtends, maar dan voor een andere groep van zo’n veertig man. Hoewel, “man”: de collega’s, die in zaal 9 naar mij kwamen luisteren, waren voor 92% vrouw. Iemand zoals ik, uit de ICT én de security, ziet in z’n werk zelden zoveel vrouwen bij elkaar. Ze vormden een hartstikke leuk, geïnteresseerd publiek, en gaven mij een mooi inkijkje in wat er bij hen speelt.

Die uitnodiging had ik met name te danken aan mijn blog over Girl’s Day. (Korte samenvatting: voor een presentatie aan meisjes van een middelbare school had ik hun namen gegoogeld en laten zien wat ik – amateur op dat gebied – allemaal te weten was gekomen.) Dat verhaal wilden ze bij het LIC ook wel eens horen. Er was één verschil: op Girl’s Day ging mijn verhaal over de aanwezige meisjes, terwijl het in de Meervaart niet over het aanwezige publiek ging, maar over diezelfde meisjes (natuurlijk heb ik noch in de ene, noch in de andere presentatie namen of te pijnlijke details genoemd). Desondanks was de spanning ook in de Rode Zaal van de gezichten af te lezen. Vooral de onthulling dat presentaties, die je maakt met de gratis versie van Powerpoint-alternatief Prezi, openbaar op het internet staan, leidde tot een “Oh!” vanuit de zaal. Een filmpje, waarin een ‘waarzegger’ in een tent moeiteloos allerlei details over zijn klanten boven water krijgt, maakte het af.

Mijn andere presentatie droeg de titel Phish & Chats en ging over phishing, chat-apps en kunstmatige intelligentie. Het eerste deel was voor velen een feest der herkenning: “Wie heeft er nog nooit een phishingmailtje ontvangen?” Niemand. “Hoi pap, dit is mijn nieuwe telefoonnummer.” Geroezemoes in de zaal. Engels, met Indiaas accent: “Hallo, dit is de Microsoft Helpdesk.” Ja-knikkende hoofden. Natuurlijk heb ik ze ook wat handvatten gegeven om phishing te herkennen – want iedere individuele medewerker kan op een kwade dag zomaar de laatste verdedigingslinie van de organisatie zijn, als hij of zij een phishingmailtje in de mail aantreft. Dan wil je echt heel graag dat de collega daar adequaat op reageert.

Het onderdeel chat-apps ging over de voors en tegens van verschillende van deze apps. In het kort: gebruik WhatsApp niet voor je werk vanwege privacy-issues en gebruik Telegram sowieso niet. Voor chatten binnen de rijksoverheid is Webex beschikbaar. Verder is Signal een uitstekende keus.

Ook het onderwerp kunstmatige intelligentie (AI) viel onder de noemer ‘chats’ van Phish & Chats, want al die handige hulpjes zoals ChatGPT, Gemini en Copilot zijn slimme chat-bots: je kunt letterlijk met ze kletsen. Ik heb besproken hoe ze werken, hoe ik er vanuit mijn vak tegenaan kijk en wat onze organisatie wel en niet toestaat (wel: Copilot Chat; niet: de rest).

Voor mij leverde deze dag een warm bad in duimpjes, complimenten en bedankjes op. En ik hoop dat de mensen, die dat nog niet deden, nu ook de Security (b)log gaan lezen. Niet voor mij, maar om vertrouwd te raken met wat er speelt in de informatiebeveiliging en met jouw eigen rol daarin. Binnenkort ben ik te gast bij een team dichter bij huis, en na de zomer ben ik weer present op de vaktechnische dagen van onze EDP-auditors. Gisteren hebben we besproken waar ik het zoal over zou kunnen hebben en daar ga ik de komende tijd een rode draad in zoeken. Tussendoor kom ik nog een keertje langs als gast in een podcast. Maar daarover later meer.

 

En in de grote boze buitenwereld …

• holt je privacy in WhatsApp nog verder achteruit.
• vindt deze privacy-organisatie daar ook wat van.
• vinden scammers altijd weer nieuwe wegen.
• plegen de Russen een nieuwe vorm van social engineering.
• blijft oud nieuws soms gewoon actueel.
• opereerde deze ransomware-bende vanuit een hotel in Thailand.
• worstelen ze ook in Zwitserland met de alomtegenwoordige Amerikaanse cloud. [DUITS]
• maak je misschien wel gebruik van een Chinese VPN-app.

Den Haag plat

Afbeelding via Pixabay

Je hebt het inmiddels wel gehoord: over ruim een week wordt Den Haag een onneembare vesting. Mensen die in de wijde omgeving van het World Forum wonen en werken ondervinden al weken de nodige hinder van de grootste veiligheidsoperatie aller tijden. Maar net als bij een ijsberg zie je ook nu niet het hele plaatje.

Het vorige event dat aan deze schaalgrootte kon tippen was de Nuclear Security Summit in 2014. Die bracht ook tientallen wereldleiders naar datzelfde congrescentrum. In de elf jaar die sindsdien zijn verstreken is de dreiging op het gebied van cybersecurity enorm toegenomen. Zowel de aanvalsmethodes als de mensen daarachter zijn slimmer geworden. Veel slimmer. En uitgekookter. En dat is gemeen, omdat je je daar als gewone burger maar moeilijk tegen kunt wapenen.

“Maar wat heb ik, als gewone burger, met die hele NAVO-top te maken?”, hoor ik je denken. De meesten van ons hebben daar inderdaad weinig tot niets mee van doen – in directe zin althans. Toch kun je er wel degelijk mee in aanraking komen, al zul je lang niet altijd weten dat er een verband met die bijeenkomst is.

Dat zit zo. Grote gebeurtenissen als deze werken als een magneet op wat we met een verzamelterm ‘kwaadwillenden’ noemen. Zoals zakkenrollers afkomen op een markt, zo komen cybercriminelen en spionnen af op zo’n event van wereldformaat. Dat gebeurt om drieërlei redenen: geld verdienen, informatie buitmaken en invloed uitoefenen. Het eerste is vooral het domein van criminelen, al zijn ook sommige schurkenstaten daar van regeringswege bepaald niet vies van (ik kijk naar jullie, Noord-Korea).

Informatie buitmaken zou je vooral toedichten aan statelijke actoren uit Rusland, China en Irak (en nog een handjevol andere landen die niet op het openbare lijstje staan), maar je mag de criminelen ook hier niet uitvlakken: met ransomware-aanvallen leggen ze niet alleen organisaties plat, maar stelen ze ook gegevens, om vervolgens te dreigen met openbaarmaking. Dat vergroot hun kans dat ze losgeld ontvangen.

Invloed uitoefenen kan op verschillende manieren. Eén daarvan is het verspreiden van desinformatie. Daarmee kun je niet alleen de publieke opinie beïnvloeden, maar ook die van conferentiegangers; er zijn zelfs staatshoofden die zich gemakkelijk door desinformatie laten meeslepen. Je kunt ook invloed op zo’n top uitoefenen door hem te verstoren, waardoor bijvoorbeeld de planning in de war raakt en agendapunten komen te vervallen – in het extreme zelfs de hele bijeenkomst.

Wat ook de achtergrond van dat soort activiteiten is, ze komen samen bij jou als achteloze burger omdat ze alle drie een zelfde mogelijk startpunt hebben: phishing. Je ziet dan ook rond dergelijke evenementen een flinke toename aan phishing-pogingen, vaak met het evenement als thema. Je zou bijvoorbeeld een mailtje kunnen krijgen dat afkomstig lijkt te zijn van de gemeente Den Haag, met als inhoud: “Ondervindt u hinder van de NAVO-top, bijvoorbeeld doordat u niet op uw werk kunt komen? Vraag dan hier een schadeloosstelling aan.” Kwaadwillenden weten donders goed dat ze meer kans maken als ze met hun verhaal een gevoelige snaar weten te raken en ze geld in het vooruitzicht stellen.

Gewone phishing is schieten met hagel: het bericht gaat naar heel veel mensen en dan zien ze wel of er iemand hapt. Daarnaast wordt er ook gericht gephisht. Dat heet spearphishing. Dan hebben ze een specifiek doelwit op de korrel en wordt de phishing maatwerk. In de context van de NAVO-top zal dit ook wel toenemen.

Ik vraag me wel af hoe ze het ‘m in het Vaticaan flikken. Daar overleed de paus en vijf dagen later vond zijn uitvaart plaats, waarbij veel hoogwaardigheidsbekleders – inclusief de Amerikaanse president – acte de présence gaven. Nederland is al maanden bezig met de veiligheidsoperatie rondom de NAVO-top. Misschien wordt het eens tijd voor een informatieve dienstreis naar Rome.

 

En in de grote boze buitenwereld …

• is spionage soms heel geavanceerd.
• draagt de ware CISO een hoody en een spijkerbroek.
• vormen gestolen gegevens de brandstof voor de digitale onderwereld.
• verzetten Wikipedia-redacteuren zich tegen AI-samenvattingen, omdat ze vrezen voor de integriteit van de informatie.
• maakt AI inderdaad ‘wel eens’ pijnlijke fouten.
• was je telefoonnummer niet veilig bij Google.
• zijn je gegevens bij een Europese dochter van een Amerikaans bedrijf wél veilig; althans, wettelijk.

 

Bord voor de kop

 

Foto van auteur

Kijk eens even goed naar de foto en probeer te bedenken waarom ik dit plaatje met maar één doel heb geschoten: er een blog over maken.

We bevinden ons in een hotel. Onder in beeld zie je een trap naar beneden. Daarboven hangt een waarschuwingsbord: “Waarschuwing – kijk uit”. Hoeveel mensen zouden er al van deze trap zijn gekukeld omdat ze naar dit bord keken? Het trekt je aandacht, waardoor je blik niet meer is gericht op de gevaarlijke situatie zelf: de trap. Je loopt met open ogen in de valkuil. Letterlijk.

Soms worden beveiligingsmaatregelen misbruikt om je een veilig gevoel te geven terwijl je je in een gevaarlijke situatie bevindt. Zo zijn er phishing-mailtjes waarin wordt gewaarschuwd voor phishing. Als je op de ‘voor meer informatie’-link klikt, dan kom je netjes op de phishing-informatiepagina van het echte bedrijf terecht. Dat kan je het gevoel geven dat je een legitiem mailtje voor je neus hebt. Want boeven gaan je heus niet op het bestaan van criminaliteit wijzen, toch? Ze gaan je toch niet op het idee brengen dat er iets aan de hand zou kunnen zijn, ze willen toch niet dat je daarover nadenkt?

Cybercrime draait om vertrouwen. Als je het vertrouwen van je slachtoffer weet te winnen, ben je binnen. Je wint het vertrouwen door je als degelijke partij te profileren, die je als extra service waarschuwt voor gevaren. Daarmee sluipen ze jouw wereld binnen en kijken jullie samen naar de grote boze buitenwereld. Dat schept een band. En daarmee vertrouwen.

In datzelfde mailtje staat echter ongetwijfeld ook een link die je naar een valse website brengt. Omdat het mailtje zo betrouwbaar overkomt, ben je eerder geneigd om ook daar op te klikken. Hebbes.

Blijft natuurlijk de vraag: waarom zou je in hemelsnaam zo’n bordje boven een trap aanbrengen? Dat zal wel met de Amerikaanse claimcultuur te maken hebben. “Heel vervelend dat u van de trap bent gevallen, maar ja, we hadden u gewaarschuwd hè, dus u krijgt geen schadevergoeding.” Iedereen weet ook zo wel dat je moet uitkijken met trappen – ook zonder zo’n bord. Bovendien was dit de enige trap in het hotel met een waarschuwing. Er zal wel ooit iemand op die plek de diepte in gestort zijn, waarna deze trap als Gevaarlijke Plek werd aangemerkt.

 

En in de grote boze buitenwereld …

• zijn berichten ‘namens de overheid’ ook altijd goed om vertrouwen te wekken.
• is het niet handig om je mail bij een Amerikaans bedrijf onder te brengen.
• leidt AI tot meer paranoia.
• kregen deze cybercriminelen een koekje van eigen deeg.
• heeft Europa nu een eigen kwetsbaarhedendatabase.
• wordt de Europese security-organisatie Enisa in verband gebracht met de stroomstoring in Spanje en Portugal.
• moet je opnieuw zelf in actie komen als Meta z’n AI niet met jouw gegevens mag trainen.
• is cyberspionage vanaf nu strafbaar.

 

De remmen van de fatbike

 

Afbeelding via bol.com

Fatbikes. Alleen dat woord al. Ik blijf hier maar weg van de brede discussie over dit jonge fenomeen op de weg. Maar ik wil het wel hebben over iets dat ik gepaard zie gaan aan het berijden van zo’n ding: het remmen à la Fred Flintstone.

Je weet toch hoe Fred zijn auto afremt? Letterlijk met de hakken in het zand. En de laatste tijd zie ik steeds vaker dat jeugdige fatbikers hun tweewieler net als Fred tot stilstand proberen te krijgen door hun beide voeten op de grond te zetten. Vaak slingeren ze daarbij vervaarlijk heen en weer. Uiteindelijk komen ze net op tijd tot stilstand.

Zit er iemand in de zaal die ervaring heeft met het rijden op zo’n ding? Zijn de remmen werkelijk zo slecht dat je een Fredje moet doen om op tijd stil te staan? Of hebben we het hier over opgevoerde exemplaren, waarbij de remmen, die amper voldoen aan de voorschriften, te kort schieten zodra de fiets sneller gaat dan bedoeld en toegestaan?

Even iets anders; je snapt zo waarom ik dit erbij haal. Eerder deze week kwam ik met de trein door Gouda. Op het station viel mijn oog op de openluchtfietsenstalling. Aan weerskanten van die stalling – die slechts twee fietslengtes plus een gangpad breed is – stonden zo’n beetje om de tien meter beveiligingscamera’s opgesteld. Ik heb ze niet geteld, maar het waren er in ieder geval absurd veel. Je zou bijna denken dat de camera’s bijziend zijn.

Ziehier twee voorbeelden van beveiligingsmaatregelen die worden genomen in situaties waarin de werking van de eigenlijke maatregelen – remmen en sloten – in de praktijk onvoldoende is gebleken. In de informatiebeveiliging hebben we ook van die maatregelen. Meestal gaat het daarbij om techniek die niet voor de volle honderd procent waarmaakt wat je ervan hoopt. Bijvoorbeeld een virusscanner die toch dat allernieuwste virus erdoor laat, of die mailscanner die dat ene mailtje niet als phishing herkent. In die situaties komt het probleem op het bordje van de gebruiker terecht.

En daarom hebben we jouw inzet nodig, beste lezer. Jij bent de remschoen die op het laatste moment, als al het andere heeft gefaald, nog kan ingrijpen. Jij bent onze laatste verdedigingslinie. En dat is precies de reden waarom ik zoveel energie steek in het up-to-date houden van je kennis op mijn vakgebied. Je hoeft niet alle ins en outs te weten, maar wel de dingen die – letterlijk – van levensbelang kunnen zijn voor de organisatie, zoals het herkennen van phishing-mail.

Ik weet het, dat kan moeilijk zijn. Meer dan alertheid kan ik niet van je vragen. Help ons om onze fatbike, desnoods al slingerend, op tijd tot stilstand te brengen.

De komende twee weken verschijnt er geen Security (b)log.

 

En in de grote boze buitenwereld …

• zijn niet alle awareness-campagnes even effectief.
• start nu ook je Android-telefoon opnieuw op als je hem drie dagen niet aanraakt.
• had de moeder van Appie vorig jaar een flink datalek door een cyberaanval.
• heeft Google vorig jaar ruim vijf miljard advertenties geblokkeerd. Veel daarvan waren door AI gegenereerd.
• leek het er even op dat het gedaan was met de CVE’s.
• moeten alle rijksambtenaren op weerbaarheidstraining.
• gaat een gezichtsscan bepalen of je oud genoeg bent voor Discord.
• heeft de politie veertien jaar lang niet goed gelakt.
• kun je beter geen gekraakte computerprogramma’s downloaden.
• is de CISO Mindmap 2025 gepubliceerd.

Boodschap nr. 2

 

Afbeelding via Pixabay

“Boodschap nr. 2? Doet dat a.u.b. thuis, want ons toilet raakt snel verstopt.”

Op weg naar huis van een korte vakantie deden we een cafetaria vlakbij huis aan, want we hadden geen eten in huis. En daar, op het verder keurige toilet, hing dus dat briefje. De tekst was ook in het Engels vertaald en daarbij veel chiquer geworden (“If you need to defecate…”). De tekst deed mij denken aan Belgische wegen. In plaats van het soms abominabele wegdek te herstellen, zetten ze er een bord bij: slecht wegdek.

Zo’n bord plaatsen is natuurlijk veel goedkoper dan het fixen van het probleem. Althans, op het eerste gezicht. Misschien mijden hongerige gasten in het vervolg deze cafetaria, omdat ze na een lange wandeling in de omgeving toch ergens met hun nr. 2 heen moeten voordat ze hun friet verorberen. Dat betekent omzetverlies. En in België slijten auto’s harder. Bovendien kan ik me voorstellen dat een slecht wegdek voor meer ongelukken zorgt: je verliest de macht over het stuur als je door een kuil rijdt, of je probeert die kuil juist te ontwijken en komt daardoor in botsing met een andere auto. Dat zorgt allemaal voor extra kosten, en misschien zelfs voor menselijk leed.

En als onze zuiderburen nu eens die wel erg uitbundige verlichting van ’s lands wegen zouden halveren, zouden ze dan geen geld overhouden om diezelfde wegen te herstellen? Dat ligt wat ingewikkelder. Mijn natuurkundedocent van lang geleden legde eens uit waarom de Belgen zoveel straatlantaarns hebben. Dat kwam door de aanleg van kerncentrales. Toen die er waren, had het land overcapaciteit. Je moet ergens heen met die elektriciteit, en daarom werden al die lantaarns geplant. Ook toen was er al sprake van netcongestie; de opgewekte stroom moest meteen opgemaakt worden. Ik heb trouwens geen idee of dat argument decennia later nog steeds van kracht is, maar ik vond het altijd een boeiende – want onverwachte – connectie.

Als je een probleem hebt, dan wil je dat liefst oplossen. Bijvoorbeeld door de oorzaak ervan weg te nemen. Als dat niet kan, omdat je er geen invloed op hebt, kun je maatregelen treffen om de negatieve gevolgen ervan te compenseren. En als ook dat niet kan, bijvoorbeeld omdat je er geen geld voor hebt, dan… Tja, dan kun je altijd nog waarschuwingsborden plaatsen.

Een voorbeeld waarbij het lastig is om de oorzaak weg te nemen, is cybercriminaliteit. Zeker, met enige regelmaat worden die boeven – net als hun analoge collega’s – opgepakt, maar het zijn er domweg teveel en bovendien opereren ze vaak vanuit het veilige buitenland, waar de Nederlandse sterke arm er nauwelijks grip op heeft (al zijn er zeldzame gevallen bekend waarin de Russische justitie haar medewerking verleende aan buitenlandse verzoeken om bijstand, bijvoorbeeld die zaak waarin een meterslang in het Russisch vertaald dossier in Moskou werd afgeleverd).

Omdat het wegnemen van de oorzaak dus knap lastig is, hebben we allerlei maatregelen om kwaadaardige acties te detecteren en onschadelijk te maken. Denk daarbij aan virusscanners, mailfilters en mensen die de boel in de gaten houden. Maar omdat dat allemaal niet voldoende is, moeten we iedereen vragen om alert te zijn. Phishing is daarbij het nr. 1 aandachtspunt, omdat één verkeerde muisklik een hele organisatie in het verderf kan storten. Dat klinkt dramatisch, maar zo is het wel. En er zijn meer onderwerpen waarvan alle gebruikers iets af moeten weten om een gezonde bedrijfsvoering te waarborgen.

Gelukkig is er honger naar informatie hierover. Ook de komende tijd ben ik bij diverse organisatieonderdelen te gast, die me gevraagd hebben om hun medewerkers te trakteren op een presentatie. Ik vraag dan altijd aan de organisatoren wat er bij hen leeft, waarover zij iets willen horen. Zo’n gesprek levert soms verrassende inzichten in het succes van awareness-inspanningen op. Zoals eerder deze week, toen ik met een collega sprak over een presentatie in hun team. De teamleden zijn trouwe lezers van de Security (b)log. Desondanks vergeet ook daar wel eens een hoogst enkele keer iemand om zijn werkplek te vergrendelen als hij even wegloopt. En dan roepen zijn collega’s: “Oe, als Patrick dit ziet…!” Fijn om te zien dat de boodschap goed overkomt.

 

En in de grote boze buitenwereld …

• waart er momenteel een op crypto-investeerders gerichte phishingcampagne rond.
• kan hallucinerende kunstmatige intelligentie zeer schadelijk zijn.
• lijken de Britten de tijdslijn voor quantumveilige cryptografie naar achteren te hebben geschoven.
• gaat Noord-Korea AI-ondersteund hacken.
• gaan ook anderen AI misbruiken.
• kunnen hackers prima uit de voeten met oude kwetsbaarheden.
• vertrouwen we onze collega’s, tot het tegendeel bewezen is.
• krijgt de Amerikaanse pers ook in de gaten dat Europa werkt aan digitale soevereiniteit.
• moeten sportieve militairen van Strava af.
• mogen Europese data voorlopig nog naar de VS.

 

Geen stijl

 

Afbeelding via Pixabay

Als je ergens een sticker met de tekst VEILIG op plakt, is het dan veilig? Dat hangt ervan af. Als die sticker wordt geplakt nadat de veiligheid gecontroleerd is, en er afspraken zijn dat die sticker alleen dán geplakt wordt, dan mag je er inderdaad van uitgaan dat het gestickerde ding veilig is – tenminste, als aan die sticker te zien is dat hij echt is. In alle andere gevallen slaat zo’n sticker natuurlijk helemaal nergens op. Sterker nog: het werkt schijnveiligheid in de hand.

Laatst sprak ik een collega die een mooie webapplicatie beheert. Bij het maken van dat programma waren ze één ding vergeten: de huisstijl. En dat vonden de mensen, die over de huisstijl waken, geen goed idee. Want, zo vond men, dan gaan gebruikers denken dat het een valse website is, waar enge dingen zouden kunnen gebeuren. Zet ons huisstijllogo erop, zeiden ze, dan is duidelijk dat de site veilig is.

Onzin. Als cybercriminelen de laatste jaren érgens goed in zijn geworden, dan is het wel het natuurgetrouw nabouwen van websites. Ze gaan kijken hoe de echte website eruitziet en kopiëren de complete huisstijl: logo’s, foto’s, lettertype, schrijfstijl, ja zelfs de waarschuwing voor cybercriminelen, die tegenwoordig op veel sites staat, nemen ze over. Aan het uiterlijk valt de veiligheid dus niet af te lezen.

Maar, zei de beheerder, gebruikers van mijn applicatie kunnen in de URL-balk van de browser zien dat de getoonde webpagina in ons domein zit. Maar dat werkt dus óók niet. Want voor de gemiddelde gebruiker is dat gewoon een brug te ver. Of heb jij nog nooit gezien dat iemand in de zoekbalk van Google ‘buienradar.nl’ intikt en vervolgens via de zoekresultaten naar die website gaat? In plaats van ‘buienradar.nl’ (de URL) meteen in de URL-balk (helemaal bovenin de browser) in te tikken, zodat je meteen op de juiste plek belandt? Veel gebruikers hebben een blinde vlek voor de URL-balk, laat staan dat ze gaan kijken wat daar staat en op basis daarvan ook nog eens kunnen bepalen of ze op een bonafide site zijn aanbeland.

Terzijde: de hier geschetste werkwijze introduceert een extra probleem. Cybercriminelen slagen er goed in om hun valse sites hoog in de zoekresultaten te laten tonen. Zo kan het dus gebeuren dat je via je zoekmachine op een valse site terechtkomt. Tip: als je de URL weet, tik die dan in de URL-balk in, niet in Google (of een andere zoekmachine). Ga je vaker naar een site, maak er dan een bookmark/bladwijzer voor, zodat je niet hoeft te typen. Met bookmarks voorkom je bovendien dat je door een typfout (‘buienrader.nl’) alsnog op een valse site terechtkomt. Criminelen bouwen namelijk graag websites met URL’s die erg lijken op die van de echte websites. En dan hopen ze dat jij een typfout maakt en bij hen belandt. Typosquatting heet dat. Een typo is een typfout, en squatting betekent kraken (als in: een woning kraken).

Ondanks dit alles heb ik er bij de beheerder voor gepleit om de huisstijl toe te passen. Ben ik dan voor schijnveiligheid? Geenszins. Maar ik wil voorkomen dat het onterechte meldingen regent van gebruikers die denken dat ze op een valse site zitten – de collega’s van de ICT-servicedesk hebben het al druk genoeg, dus als ik ze een aantal false positives kan besparen, dan doe ik dat graag. Bovendien trainen wij gebruikers in het herkennen van gevaren. Ik noem dat rode vlaggen. Hoe meer rode vlaggen, hoe aannemelijker dat het foute boel is. Voor bijvoorbeeld phishing kan ik zo een aantal rode vlaggen opdreunen: een onpersoonlijke aanhef (“Beste klant”), afwijkend afzenderadres (bol.nl in plaats van bol.com) of een link naar een afwijkend domein (bol.com.klantenservice.nl). Tip: zo’n URL moet je van rechts naar links lezen; dus alleen als bol.com helemaal rechts staat, bezoek je het domein van die webwinkel. Daar mag overigens nog wel iets achter staan, beginnend met een ‘/’: bol.com/klantenservice is een pagina in het domein bol.com. Maar bol.com.klantenservice.nl is dus niet van bol.com.

Ik ben natuurlijk even op de pagina van die interne webapplicatie gaan kijken. En wat zie ik? In een hoekje prijkt ons huisstijllogo! Er is water bij de wijn gedaan, in de hoop dat iedereen nu tevreden is. En ze gaan nog een stap verder: de applicatie zal worden aangesloten op single sign-on, zodat bezoekers niet meer handmatig hoeven in te loggen. Een slimme zet, want als je het gevoel hebt dat je misschien op een valse site bent en daar dan ook nog op moet inloggen, versterkt dat het gevoel van onveiligheid.

 

En in de grote boze buitenwereld …

• voerde dit security-bedrijf een jarenlang gevecht tegen Chinese staatshackers.
• onthullen de Strava-accounts van bodyguards waar wereldleiders uithangen.
• spreekt dit artikel van een quantum-hype.
• heeft een internationale politie-coalitie een infostealer-operatie opgeruimd.
• horen ontslagen medewerkers niet meer te kunnen inloggen.
• wordt ransomware alleen maar erger.

 

Awaremess

 

Afbeelding via Unsplash

Als je met tien vingers blind typt, dan hebben je vingers soms een eigen willetje. Gelukkig besef je meestal wel dat ze iets anders hebben geschreven dan de bedoeling was en dan is de backspace-toets je beste vriend. Onlangs had ik zo’n gevalletje, waarbij ik een grijns niet kon onderdrukken: ik typte niet ‘awareness’, maar ‘awaremess’. Het scheelt maar één poot, maar maakt wel meteen een heel verhaal los.

Awareness betekent bewustzijn. In mijn vak gaat het dan over beveiligingsbewustzijn: de mate waarin medewerkers beseffen dat ze een belangrijke rol in de informatiebeveiliging spelen, over de bijbehorende kennis beschikken en daar ook naar handelen. Maar het Engelse mess betekent: (war)boel, knoeiboel, rotzooi, mislukking (Van Dale).

Waar kwam nou die grijns op mijn gezicht vandaan? Het woord awaremess bestaat niet, maar je zou het kunnen interpreteren als warboel die ontstaat op het gebied van bewustzijn. En dat is precies waar we ons nu bevinden. Zo doen we veel om jullie te leren hoe je phishingmail kunt herkennen. Maar tegelijkertijd worden jullie gebombardeerd met legitieme e-mail die eruitziet alsof het phishing is. En dan wordt het een zooitje.

Ik geef twee voorbeelden. Alle ambtenaren hebben mail gehad (of krijgen die nog) van Shuttel, waarin stond dat we een nieuwe kaart voor het OV moesten aanvragen. Dat mailtje bevatte nogal wat indicatoren die op phishing duidden. De belangrijkste rode vlaggen waren de algemene aanhef (“Beste medewerker”), de waarschuwing dat je oude kaart geblokkeerd zou worden en – de belangrijkste – een link die, als je er met de muis boven zweefde, een heel andere bestemming toonde dan wat er stond: niet mijn.shuttelportal.nl/[enzovoorts], maar iets als fbdecbh.r.af.d.sendiobt2.com/tr/cl/[enzovoorts]. Het grappige is dat medewerkers ook aansloegen op iets dat helemaal geen phishing-indicator is. Men had bedacht dat sommige woorden in de mail vetgedrukt moesten zijn, maar in de eerste serie mailtjes werd dat verkeerd getoond: daar stond niet look & feel, maar —look & feel’. De codes, die ervoor moesten zorgen dat de tekst vet werd, werkten niet goed. Maar dat heeft dus niets met phishing te maken. De rest echter wel. Het enige dat hier wel goed ging is dat de omruilactie vooraf op het intranet was aangekondigd (alleen leest niet iedereen dat). En wat achteraf goed ging, is dat ik snel iemand bij de verantwoordelijke afdeling vond die mij begreep en ervoor zorgde dat de firma Shuttel hierop werd aangesproken. Voor ons kwam dat helaas te laat, maar bij andere ministeries zou het nu beter moeten gaan.

Het tweede voorbeeld komt dichter bij huis, want het gaat over een medium waarop deze blog wordt gepubliceerd: ons intranet. Een poosje geleden is dat intranet ingrijpend gewijzigd. En dus kwam er een mailtje met als onderwerp: “Enquête: Wat vind jij van het gepersonaliseerde intranet?” Dat mailtje komt van een extern adres maar toont als afzender wel de naam van onze organisatie: rode vlag! De algemene aanhef (“Beste lezer!”) en de kans om een “exclusief gepersonaliseerd aardigheidje met jouw avatar erop” te winnen, met daarbij tijdsdruk (“We geven er 15 weg, dus wees er op tijd bij”), maakten het alleen maar erger. En ten slotte was het mailtje onpersoonlijk ondertekend (“Team Online Redactie”) en was de enquête niet op het intranet (!) aangekondigd. Het eerste mailtje van een bezorgde collega is al binnen, en er zullen er nog wel meer volgen. En terecht. Nu hadden we vorige week een gezellige bijeenkomst met de bloggers en de intranetredactie, en toen werd verteld dat er een enquête zou komen. Ik weet dus bij toeval dat dit mailtje wél echt is en ik heb de redactie ingelicht over het phishy karakter van hun mail.

Andersom kan het ook misgaan. Medewerkers ontvingen een mailtje van een buitenlands adres, zonder onderwerp en tekst; het bevatte alleen een wazige link. Dan denk je: dit kán niet goed zijn. Toch? Desondanks hebben vijftien collega’s op die link geklikt. Onze beveiligingssystemen hebben die link geblokkeerd, en daarom weten we wie er geklikt hebben. Ik heb een paar van deze collega’s gesproken. En dan hoor je verhalen waardoor je toch begrijpt hoe iemand “zo stom kon zijn” om te klikken. Het meest schrijnend was het geval van een manager uit wiens team onlangs iemand was overleden – en de achternaam van deze collega kwam overeen met de naam van de afzender. De manager dacht daardoor dat de familie contact zocht. In een ander geval bevatte de mail ook de adressen van iemands broer waar hij al lang geen contact meer mee heeft en van nog een kennis. Waarschijnlijk hebben hackers adresboeken buitgemaakt en daarvan handig gebruikgemaakt bij het samenstellen van de mail. Het is dus veel te gemakkelijk om te zeggen: hoe kon je zo stom zijn. Hun handelen was niet stom, maar menselijk. Het stemt mij verdrietig dat criminelen die menselijkheid aan het wankelen brengen.

En zo is het best wel een zooitje op het gebied van beveiligingsbewustzijn. Mijn typfout was zo gek nog niet.

 

En in de grote boze buitenwereld …

• is een test-phish over salarisverhoging een onsmakelijk idee.
• moet je nu ook al je power-lampje afplakken.
• vervalste een ambtenaar rapporten over de beveiliging van DigiD.
• moeten financiële en ICT-dienstverleners aan de slag met DORA.
• kan een organisatie plotseling een stortvloed aan inzageverzoeken over zich heen krijgen.
• start de politie een internationaal netwerk voor het voorkomen en verstoren van cybercrime.
• worden Belgische rechters en politiemensen bespioneerd.
• vertraagde een DDoS-aanval de bekendmaking van examenuitslagen.
• is het verplicht periodiek wijzigen van wachtwoorden een achterhaalde gewoonte.
• wordt kunstmatige intelligentie getraind met privégegevens, nepnieuws en auteursrechtelijk beschermde zaken.