Phishing

Een generieke phishing-mail wordt verstuurd naar willekeurige mailadressen. De verzender heeft niet uitgezocht wie de ontvangers zijn. De aanhef is dan vaak ook niet persoonlijk, maar algemeen (bijvoorbeeld ‘beste heer/mevrouw’). Je hebt vast al wel eens zo’n mail gehad, misschien zelfs van een organisatie waar je helemaal geen klant bent of zaken mee doet. De verzender probeert te vissen (phishing) naar gevoelige informatie of een betaalopdracht.

In een phishing-mail wordt vaak één of meerdere van de volgende acties gevraagd:

• Geld overmaken
• Inloggen op een website of het sturen van persoonlijke gegevens
• Openen van een bijlage of klikken op een link
• Reageren op de mail
• Snel te handelen

Bij ‘spearphishing’ zijn de cybercriminelen een stuk beter voorbereid te werk gegaan. Het is een gerichte aanval. Het zit ‘m al in de naam: speervissen.

De verzender heeft zich al verdiept in het werk, de functie of de persoonlijke situatie van de ontvangers, door bijvoorbeeld informatie van de bedrijfswebsite of social media-profielen te halen. Ook kunnen ze persoonlijke informatie hebben gebruikt die bij eerdere datalekken op straat is komen te liggen. De crimineel doet zich voor als iemand die je kent of vertrouwt, waardoor je veel eerder geneigd bent om op het verzoek in te gaan. Ze kunnen zelfs hun verzend-adres vervalsen, waardoor het lijkt alsof het bericht van een bekend mailadres komt. Deze techniek heet e-mailspoofing.

Een specifiek voorbeeld hiervan is CEO-fraude. Door e-mailspoofing kan het lijken alsof je een mail van je directeur ontvangt, waarin je gevraagd wordt om even snel geld over te maken of vertrouwelijke gegevens te sturen.

Vishing, of ‘voice-phishing’, is een brutale vorm van phishing waarbij een crimineel belt naar het slachtoffer. De gegevens heeft de crimineel gevonden op sociale media of op de bedrijfswebsite.

De crimineel doet zich bijvoorbeeld voor als medewerker van de IT-helpdesk van het bedrijf en vraagt het slachtoffer even mee te werken aan een systeem-update. Daarvoor moet het slachtoffer naar een website gaan en inloggegevens invoeren. De crimineel krijgt vervolgens toegang tot het bedrijfsnetwerk, met alle gevolgen van dien…

Bij smishing ontvangt het slachtoffer een sms uit naam van bijvoorbeeld een bank, postbedrijf of een overheidsinstantie, met de mededeling dat de bankpas is geblokkeerd, je een bestelling moet bevestigen of je je gegevens moet verifiëren. Er zit een link in het bericht waarmee je zogenaamd de blokkade kan opheffen of de actie kan uitvoeren. Je komt daarmee bijvoorbeeld op een site waar je betaalgegevens invoert, maar daarmee krijgen de criminelen toegang tot jouw internetbankieren-gegevens; vaak proberen ze daarna je rekening te plunderen!

Een ander bekend voorbeeld is een WhatsApp-bericht van een zogenaamd familielid met een nieuw telefoonnummer. Diegene vraagt vaak om even snel wat geld nodig over te maken voor een openstaande rekening of boete.

Helaas trappen hier nog altijd veel mensen in, die uit goed vertrouwen geld overmaken naar iemand die ze denken te kennen. Criminelen halen namelijk vaak informatie als namen, profielfoto’s en telefoonnummers van sociale media of andere plekken op het internet, waardoor het net echt kan lijken.
Omdat deze twee vormen van phishing vooral in de privésfeer gebruikt worden, en niet op de werkvloer, gaan we er in de rest van deze training niet verder op in.

Bij deze manier van phishing ontvangen slachtoffers een e-mail waarin wordt beweerd dat hun computer is gehackt en dat de oplichter intieme opnamen van hen heeft verkregen. Sommige versies bevatten een bestaand wachtwoord van het slachtoffer voor een online account (deze is dan verkregen door een eerder datalek), of de mail lijkt te zijn verzonden vanaf het eigen e-mailadres van het slachtoffer.

De oplichter beweert in de mail toegang te hebben tot de contactenlijst van het slachtoffer en dreigt de beelden naar deze contacten te sturen, tenzij er een betaling wordt gedaan (vaak via Bitcoin). Deze beelden zijn natuurlijk nooit gemaakt, dus ga er dan ook niet op in!