NL EN
Plan een gesprek

Wat is social engineering en wat zijn de gevaren?

Wat is social engineering en wat zijn de gevaren?

Social engineering is het manipuleren en misleiden van de mens om informatie of toegang tot een systeem te kunnen verkrijgen. Hierbij wordt er gebruik gemaakt van basale menselijke reacties door urgentie te creëren of druk uit te oefenen.

Misleiding & manipulatie

Met social engineering wordt vaak bedoeld dat er niet een systeem wordt aangevallen maar kort gezegd de pijlen op de mens worden gericht.
Hierbij worden een aantal psychologische trucs uitgehaald om de mens te misleiden of manipuleren in het verstrekken van informatie of toegang verlenen tot een gebouw of systeem.
Deze aanvallen kunnen zowel offline (fysiek) of online plaatsvinden en kan zich ook buiten de organisatie op mensen in hun privé-tijd en -sfeer richten.
Hieronder staan een aantal voorbeelden van social engineering.

Offline: verspreiden USB-sticks

Hierbij verspreiden criminelen USB-sticks (of andere draagbare media) via verschillende manieren, zo kunnen ze worden achtergelaten op een parkeerplaats of andere plek maar brutalere criminelen kunnen ook net doen alsof ze een verloren USB-stick terugbrengen en inleveren bij bijvoorbeeld de receptie. Soms worden hierbij zelfs enveloppen ingezet met daadwerkelijke namen van personeel erop om het nog gerichter te maken.

Offline: meekijken op een scherm (shoulder surfing)

Vaak denken mensen er niet bij na dat als ze op een publieke locatie zoals in een trein aan het werk zijn dat er mensen mee kunnen luisteren of erger nog op een scherm mee kunnen lezen en zo mogelijk gevoelige informatie kunnen inzien, met alle gevolgen van dien.

Online: Phishing

Phishing via e-mail of via SMS/WhatsApp/Teams en andere kanalen valt ook zeker onder de noemer social engineering, omdat hierbij de mens gemanipuleerd wordt. Een nieuwere variant hierop is fraude via WhatsApp waarbij er iemand wordt nagedaan die in nood is, de zogenoemde “vriend-in-nood fraude” om geld afhandig te maken.

On- & offline: toegang verschaffen

Een trend die we de laatste tijd (helaas) steeds vaker zien is het verschaffen van toegang door mensen persoonlijk onder druk te zetten door te dreigen met doxxing (waarbij persoonlijke gegevens openbaar worden gemaakt) en andere vormen van kwalijke zaken.
Daarbij komt het ook voor dat mensen benaderd worden om hun toegang tot bedrijfsinformatie te verkopen waarbij soms flinke bedragen genoemd kunnen worden.

Adviezen

Een groot aantal van dit soort aanvallen is te voorkomen door bewustzijn te creëren van de gevaren en risico’s. Daarnaast helpt het enorm om cybersecurity vanuit een positief daglicht te benaderen, door niet fouten af te straffen en een cultuur te creëren waarbij vragen stellen bevorderd wordt. Hierdoor melden mensen zich sneller als ze in zo’n situatie terechtkomen.

Daarbij is gezond verstand altijd goed: denk na over wat je waar zegt en voer geen gevoelige gesprekken in bijvoorbeeld de trein.

Meer weten of benieuwd hoe wij hierin kunnen helpen?

Neem contact met ons op

Meer artikelen

Zero Trust: het fundament van beveiliging

Zero Trust: het fundament van beveiliging

Met een zero trust strategie wordt er vanuit gegaan dat niets en niemand te vertrouwen is en om alles te verifiëren. Dat klinkt heftig maar kan een belangrijk fundament vormen voor uw beveiliging.

Het belang van Zero Trust

Vrijwel alle bedrijven hebben hun processen en informatie in een rap tempo gedigitaliseerd en is het vrijwel overal en altijd beschikbaar door het gebruik van bijvoorbeeld cloud diensten. Daarnaast is het aantal risico’s en dreigingen enorm toegenomen.

  • Hybride werken
    Door de introductie van hybride werken werkt men steeds vaker vanuit huis en andere locaties, waardoor devices volgens het traditionele model steeds vaker buiten het “bastion” vallen. Hierdoor is een verandering van benadering hierin nodig.
  • Toename van aanvallen
    Cyberaanvallen worden steeds geavanceerder, waarbij niet alleen systemen worden aangevallen maar ook direct aanvallen op de mens worden geplaatst om gegevens of credentials te overhandigen, al dan niet onder druk. Hierdoor neemt het risico op aanvallen van binnenuit (insider threats) toe.
  • Bring Your Own Device (BYOD)
    Met BYOD werken mensen vanaf hun eigen device (smartphone, tablet, laptop, etc.) die geen eigendom is van het bedrijf en dus onder andere regels kan vallen waardoor de beveiliging hiervan minder kan zijn.

Drie basisprincipes

Kortgezegd bestaat Zero Trust uit een drietal basisprincipes die worden meegenomen in het (her)ontwerp van een omgeving.

  • Least Privilege
    Least Privilege zorgt dat iedereen, zowel gebruikers als beheerders en externen het absolute minimale aan rechten hebben om hun werk te kunnen uitvoeren
  • Assume Breach
    Dit principe wordt ook wel eens “expect the worst” genoemd en hierbij wordt er naar de IT gekeken alsof er al een incident heeft plaatsgevonden en helpt om na te denken over dit worst case scenario.
  • Verify Explicitly
    Bij het verlenen van toegang is het zaak om elke keer opnieuw iemands identiteit (wie ze zijn), authenticatie (mogen ze inloggen) en autorisatie (mogen ze toegang tot het object) te verifiëren. Dit om te zorgen dat bijvoorbeeld mensen die uit dienst zijn alsnog bij data of systemen kunnen.

Zero Trust implementeren

Zero Trust is een strategie die top-down geïmplementeerd moet worden, dat wil zeggen dat dit begint bij het (hoger) management/board/directie/etc. en vanuit daar de organisatie in gedragen wordt.

Wij kunnen adviseren en ondersteunen bij het implementeren van een Zero Trust strategie door de kroonjuwelen van de organisatie en daarop aansluitende maatregelen in kaart te brengen. Daarbij is het zaak om bij de belangrijkste zaken te beginnen en niet in één keer de gehele organisatie om te gooien.

Neem contact met ons op

Zero Trust factsheet

Download hier het Zero Trust Factsheet van het NCSC:

Factsheet

Meer artikelen

Veiligheid begint met een sterke back-up strategie

Veiligheid begint met een sterke back-up strategie

Een effectieve back-up strategie kan de ruggengraat vormen van uw digitale veiligheid. Dit omvat veel meer dan alleen maar zorgen dat de back-ups offline of immutable zijn, zo is het essentieel om back-ups periodiek te (laten) testen en verifiëren of de data die er staat bruikbaar en intact is, waarbij data in de cloud niet vergeten moet worden.

3-2-1

De gouden regel voor back-ups is de 3-2-1 regel:

  • 3 back-ups
  • 2 locaties
  • 1 offline/read-only/immutable

Dit zorgt ervoor dat de back-up een effectief hulpmiddel kan zijn in verschillende situaties, door een hot back-up in uw netwerk zijn snelle acties voor kleine restores mogelijk en met de cold back-up is er in een noodgeval een reservekopie van de data beschikbaar.

Vergeet clouddiensten niet!

Soms worden in back-up strategieën geen rekening gehouden met het back-ups van data in clouddiensten. Afhankelijk van het geldende (service-)contract kan er mogelijk een clausule in staan waarin staat dat de provider geen back-ups maakt van uw data inclusief retentie van meerdere dagen.

Daarom is het essentieel om deze data ook mee te nemen, veel (grotere) clouddiensten zijn vaak goed te koppelen aan bestaande back-up diensten zoals bijvoorbeeld van Veeam.

Test, verify, repeat

Back-ups moeten niet alleen gemaakt worden, maar ook worden gecontroleerd en dan niet alleen of ze gelukt zijn maar ook of de integriteit van de data intact en beschikbaar is volgens het CIA-principe (Confidentiality, Integrity & Availability).

Daarnaast is het ook belangrijk om regelmatig restores te laten testen, om te controleren of de theorie aansluit op de praktijk maar ook om een inschatting te kunnen hebben of de tijd benodigd om te restoren binnen de perken valt, een back-up die dagen nodig heeft om te herstellen is niet effectief.

Veilig restoren

In het geval van bijvoorbeeld ransomware of een APT (Advanced Persistent Threat) is het van essentieel belang om te weten of de back-up data die gerestored moet worden ook ‘schoon’ is zodat de threat niet vrolijk meekomt.
Daarom is het ook van belang dat in uw back-up strategie rekening wordt gehouden met een secure restore mogelijkheid waarbij data die hersteld wordt gescand kan worden door één of meerdere anti-virus lagen – zonder dat dit het proces enorm vertraagd.

Meer weten of hulp nodig?

Hulp nodig of gewoon eens nieuwsgierig hoe dit er nu voor staat en hoe uw back-up strategie in een noodgeval uw redding kan zijn?

Neem contact met ons op

Meer artikelen

Wachtwoorden & passkeys

Wij hebben een hekel aan wachtwoorden

Onderzoek laat zien dat iedere medewerker in Nederland gemiddeld meer dan 65 wachtwoorden moet onthouden. Al deze wachtwoorden moeten daarbij ook nog eens uniek zijn én voldoen aan een hele serie aan eisen, zoals een minimaal aantal karakters, hoofdletters, leestekens, et cetera.

Passkeys kunnen hierin een oplossing bieden.

Zwaktes van een wachtwoord

Wachtwoorden zijn om meerdere reden niet meer voldoende om veiligheid te kunnen waarborgen:

  1. Enkele factor
    wachtwoorden zijn gebaseerd op één factor: “iets wat je weet” en bieden daardoor een eendimensionale beveiliging
  2. Makkelijk te raden
    Omdat men veel wachtwoorden heeft en soms nog zelfs moet kunnen onthouden worden vaak zwakke wachtwoorden zoals “password” of “welkom” in allerlei variaties gebruikt
  3. Hergebruik
    Naast dat de sterkte van de wachtwoorden vaak te wensen overlaat worden ze ook nog eens hergebruikt
  4. Phishing & datalekken
    Wachtwoorden kunnen door middel van phishing en datalekken gemakkelijk uitgelekt en hergebruikt worden en omdat er geen enkele controle is op waar en wanneer ze gebruikt kunnen worden kunnen criminelen hier gemakkelijk gebruik van maken.

Multi-Factor Authenticatie (MFA/2FA)

Multi-Factor Authenticatie (MFA of ook wel 2FA) genoemd voegt een extra dimensie toe aan een wachtwoord. Vaak wordt hierbij de factor “iets wat je hebt” met een app op de smartphone gebruikt of “iets wat je bent” als de tweede factor iets biometrisch is.

Door deze tweede factor is een gebruikersnaam & wachtwoord alleen niet meer genoeg om de authenticatie te doen. Hierdoor wordt de veiligheid al vele malen beter geborgd maar het is nog steeds gebaseerd op een wachtwoord en kan door gebruikers als omslachtig of dubbelop worden ervaren.

Passkeys

Passkeys, oftewel digitale sleutels, zijn een initiatief van de FIDO Alliance waarbij onder andere Apple, Microsoft en Google zijn aangesloten.

Hierbij worden cryptografisch twee sleutels gegenereerd: een private key die geheim is en een public key die gebruikt wordt tijdens de authenticatie en in feite zal dienen als een wachtwoord.


Zo’n passkey kan een smartphone zijn (in combinatie met bestaande biometrische beveiliging zoals FaceID of een vingerafdrukscanner) of een token als een YubiKey met een USB-aansluiting.

Door de inherente veiligheid van passkeys wordt het vrijwel onmogelijk om met een nagemaakte website credentials te achterhalen, de passkey weet immers dat de credentials bij een bepaalde website horen en zo’n nagemaakte phishing site valt hier niet onder.

Meer weten over hoe we je kunnen helpen met de integratie van passkeys en alle voordelen ervan?

Neem contact met ons op

Meer artikelen

Wat gaat de NIS2 richtlijn betekenen?

Wat gaat de NIS2 richtlijn betekenen?

De NIS2 richtlijn, ook wel de Network and Information Systems Directive 2, is een Europese richtlijn die tot doel heeft de cybersecurity in de EU te versterken. Deze richtlijn stelt strenge eisen aan de beveiliging van vitale infrastructuren en digitale diensten om cyberaanvallen te voorkomen en te bestrijden. Het is een belangrijk instrument om de digitale weerbaarheid van Europa te vergroten.

Richtlijnen en wetgeving

Op het moment van schrijven is de NIS2 (de opvolger van de NIB of NIS1) alleen nog een richtlijn gesteld vanuit Europa, maar zal in de loop der tijd worden vertaald naar Nederlandse wetgeving zoals dit voorheen ook met de AVG en GDPR is gegaan.

Vanaf dat moment zullen publieke en private organisaties die onder de NIS2 regelgeving vallen er ook een aantal verplichtingen bij krijgen:

  • Zorgplicht
    Hierin zijn organisaties verplicht om zelf een risico analyse te doen en op basis hiervan gepaste maatregelen te nemen.
  • Meldplicht
    Organisaties zijn verplicht om incidenten binnen 24 uur bij de toezichthouder en bij een CSIRT (Computer Security Incident Response Team) te melden.
  • Toezicht
    Binnen de NIS2 richtlijn valt ook toezicht, wat wil zeggen dat er een onafhankelijk toezichthouder wordt aangewezen die organisaties kan controleren op de hierboven gemelde verplichtingen.

Essentiële & belangrijke organisaties

Binnen de NIS2 vallende organisaties worden ingedeeld in twee categorieën: essentieel (bijlage 1) voor organisaties met een ontwrichtende impact op de samenleving of economie en belangrijk (bijlage 2) voor bijvoorbeeld aanbieders van digitale (cloud-)diensten.

afb.1: sectoren per bijlage (bron: digitaltrustcenter.nl)

Meer artikelen

Voorbereiding

Zoals met zoveel zaken is een goede voorbereiding essentieel.
Er zijn op dit moment nog veel onduidelijkheden omtrent de NIS2 maar duidelijk is al wel dat dit voor veel organisaties inhoudt dat de digitale weerbaarheid verbeterd moet worden.

Wij kunnen hierbij helpen, denk hierbij aan een risico analyse om te weten waar je staat aan de hand van onze gestandaardiseerde baseline of maatwerk advies, waarin we een op maat gemaakt plan maken om jouw organisatie beter voor te bereiden op de NIS2.

Quishing – een nieuwe dreiging in de wereld van oplichting

Quishing – een nieuwe dreiging in de wereld van oplichting

In een tijdperk waarin technologie en communicatie naadloos zijn geïntegreerd in ons dagelijks leven, evolueren ook de tactieken van oplichters.

Een van de nieuwste en meest verontrustende vormen van oplichting is “quishing,” een term die is afgeleid van de woorden “quick” en “phishing.”

Wat is quishing?

Met quishing worden legitiem ogende (of zelfs legitieme) e-mails met daarin alleen een QR-code massaal naar een groot aantal adressen gestuurd. Deze berichten bevatten verder geen tekst, komen vaak van een gecompromitteerd valide e-mailadres (een account wat is overgenomen) en zijn dus enorm lastig te detecteren voor beveiligingsoplossingen.

In sommige gevallen worden in deze e-mails zelfs notificaties van beveiligingsoplossingen nagemaakt en wordt de gebruiker wijs gemaakt dat er een nieuwe “multi-factor app” geïnstalleerd moet worden, het enige wat ze nog even moeten doen is de code scannen om het proces af te ronden – aangezien vrij veel MFA oplossingen deze methodiek hanteren is dit voor gebruikers soms een bekend proces.

Hoe gaat het te werk?

Zodra de gebruiker de QR-code scant wordt er een browser geopend die navigeert naar een phishing-pagina met een niet van echt te onderscheiden login-pagina van bijvoorbeeld Microsoft 365.
Wanneer de gebruiker hier zijn of haar e-mailadres & wachtwoord invult komen deze gegevens in de handen van de aanvaller en worden ze vaak opgeslagen.

In sommige gevallen hebben we gezien dat het gecompromitteerde account wordt gebruikt om de QR-code verder te verspreiden naar de gehele contactenlijst – met alle gevolgen van dien.

Hoe een quishing-aanval te werk gaat

Wat is er tegen te doen?

Voor traditionele(re) e-mailbeveiliging is dit technisch een lastig probleem om op te lossen, er zit vrijwel geen tekst in de e-mail en de link waarnaar de QR-code verwijst is, zonder de juiste technische oplossingen, zeer lastig te herhalen.

De belangrijkste maatregel die genomen kan worden is het opleiden van gebruikers door middel van awareness training(en), hierin wordt men geleerd deze aanvallen te herkennen en de code niet te scannen en/of niet in te loggen wanneer daarom gevraagd wordt.

Meer artikelen

FBI ontmantelt wereldwijd botnet

FBI ontmantelt wereldwijd botnet

Tijdens een internationale politie operatie waarbij naast het Team High Tech Crime van de Nederlandse politie ook politie uit onder andere Duitsland en Frankrijk actief waren heeft de FBI een groot botnet genaamd Qakbot offline gehaald.

Botnets

Botnets zijn (vaak enorme) netwerken van computers en servers die besmet zijn met zogenaamde command-and-control software waarbij criminelen vaak onzichtbaar dit netwerk kunnen inzetten om bijvoorbeeld op grote schaal phishing te versturen of zelfs DDoS-aanvallen.

Naar schatting bestond het Qakbot-botnet uit meer dan 700.000 apparaten wereldwijd en stond bekend als notoir lastig te verwijderen.
Afgelopen vrijdagnacht is de FBI erin geslaagd om de controle van het botnet over te nemen en het verkeer om te leiden naar eigen servers.
Door het botnet volledig over te nemen konden de FBI & partners ervoor zorgen dat de malware van vrijwel elk systeem wat onderdeel was van het botnet verwijderd werd – vaak zonder dat de gebruiker dit doorhad.

Verspreiding

Uit onderzoek is gebleken dat de Qakbot malware zich voornamelijk verspreidde via e-mail met kwaadaardige links en/of bijlagen.

Zodra de gebruiker op de link klikte of de bijlage opende kon de malware zich nestelen in het systeem en werd er vervolgens meer malware (zoals ransomware) geïnstalleerd en werd het systeem een onderdeel van het grotere botnet.

Check je Hack

Bij deze wereldwijd gecoördineerde actie zijn er onder andere door de Nederlandse politie 7,6 miljard gestolen credentials veilig gesteld.

Op www.politie.nl/checkjehack kun je nagaan of jouw inloggegevens voorkomen in de op dit moment geverifieerde dataset uit dit onderzoek. Op deze pagina kun je je e-mailadres invoeren. Als jouw e-mailadres voorkomt in de huidige dataset, ontvang je binnen enkele minuten een e-mail van de politie op het ingevoerde e-mailadres. In deze e-mail staat meer info over wat je vervolgens kunt doen.

Meer weten of hulp nodig?

Wil je naar aanleiding van dit artikel meer weten of heb je hulp nodig met het detecteren of opruimen van dit soort bedreigingen?
Neem dan contact met ons op!

Meer artikelen

De gevaren van phishing

De gevaren van phishing

In het digitale tijdperk waarin bedrijven sterk afhankelijk zijn van technologie, is cybersecurity een niet te negeren prioriteit geworden. Een van de meest verraderlijke en veelvoorkomende bedreigingen waarmee bedrijven te maken hebben, is phishing. Deze vorm van cyberaanvallen kan verwoestende gevolgen hebben voor zowel gegevensbeveiliging als reputatie.

Een geraffineerde bedreiging

Phishing is niet langer beperkt tot amateuristische e-mails die gemakkelijk kunnen worden herkend. Tegenwoordig hebben cybercriminelen hun tactieken verfijnd en passen ze geavanceerde methoden toe om bedrijven te misleiden.
Valse e-mails die afkomstig lijken te zijn van legitieme bronnen, zoals banken of leveranciers, worden gebruikt om werknemers te verleiden tot het verstrekken van gevoelige informatie, zoals inloggegevens en financiële gegevens. Deze bedrieglijke praktijken kunnen leiden tot ernstige datalekken en financiële schade.

Cybercriminelen doen ook steeds vaker vooronderzoek zodat ze kunnen bepalen of uw organisatie populaire tools zoals Microsoft 365™ gebruikt zodat ze hun aanval hierop kunnen toespitsen en een nog gerichtere aanval kunnen inzetten.

Een voorbeeld van phishing waarbij echt lijkende Microsoft kenmerken worden gebruikt.

De oplossing

Door de combinatie van awareness training met effectieve en krachtige e-mailbeveiliging van Mimecast zorgen ervoor dat uw organisatie minder kwetsbaar is voor phishing en andere op e-mail gebaseerde risico’s.

Meer artikelen