NL EN
Plan een gesprek

De menselijke factor in digitale veiligheid

De menselijke factor in digitale veiligheid

Uit recent onderzoek van onze partner Mimecast is gebleken dat 74% van alle cyberaanvallen veroorzaakt zijn door de menselijke factoren: fouten, gestolen credentials, misbruik van rechten of social engineering.
Mede door opkomst van generatieve AI neemt dit steeds meer toe, omdat het daarmee voor de aanvaller makkelijker wordt gemaakt.

Menselijke factor

Een bekend gezegde is dat “waar mensen werken, worden fouten gemaakt”, en dat is zeker waar.
Daar maken criminelen dan weer handig gebruik van door middel van social engineering of phishing druk uit te oefenen op een mens om diegene te dwingen om minder goed op te letten – en daarmee sneller een fout te maken.

Daarin zien we een steeds grotere verschuiving van de focus van de techniek naar de mens.

Generatieve AI

Doordat criminelen vaak ook generatieve AI’s gebruiken zoals ChatGPT, worden de aanvallen ook steeds geraffineerder. Zo waren vroeger phishing mails vaak goed te ontdekken door het gebrekkige taalgebruik, zeker met een relatief lastige en kleine taal als het Nederlands.
Tegenwoordig kunnen ze met AI natuurlijk vrijwel foutloos en grammaticaal correct Nederlands genereren en zélfs in een bepaalde toon laten schrijven.

Samenwerken

Een trend die ook steeds vaker terugkomt is het gebruik van tools om mee samen te werken, vaak overbruggend over meerdere organisaties, zogenaamde collaboration tools. Hierbij maken gebruikers vaak gebruik van software die niet door IT of management is goedgekeurd en wordt er bijvoorbeeld buiten het zicht data gedeeld met Dropbox, terwijl Microsoft OneDrive de voorgeschreven oplossing is. Los van het aspect dat dit een lek oplevert waarbij data mogelijk op een plek komt waar het niet hoort, dit opent ook een nieuwe kwetsbaarheid (attack vector) voor de gehele organisatie, die vaak buiten het zicht van het management valt.

Inzicht en overzicht

Daarom is het belangrijk om goed inzicht en overzicht van alle assets (zowel hardware als software) te hebben, hierdoor kunnen dit soort scenario’s bijvoorbeeld worden voorkomen, simpelweg omdat het waargenomen wordt. Het is bij het beschermen van zogenaamde collaboration tools ook belangrijk om meerdere lagen te creëren; een leverancier die de functionaliteit levert en een andere die onafhankelijk dit kan analyseren en controleren. Je wilt immers geen slager die z’n eigen vlees keurt.

Meer weten of benieuwd hoe bestendig jouw organisatie is?

Hier kunnen we je bij helpen! We kunnen een risico analyse doen om in kaart te brengen waar de grootste risico’s zitten. Ook met de resultaten van een simulatie kunnen we altijd helpen.

Meer weten? Neem contact met ons op!

Neem contact met ons op

Meer artikelen

De risico’s van het gebruiken van AI chatbots

De risico’s van het gebruiken van AI chatbots

Tegenwoordig zijn ze bijna overal te vinden: AI chatbots die je kunnen helpen met allerhande taken en informatievoorziening en eerlijk is eerlijk, ze kunnen enorm handig zijn! Maar zoals wel vaker zijn er ook risico’s verbonden aan het gebruik hiervan. 
In dit (geheel door een mens geschreven!) artikel leggen we een aantal van die risico’s uit.

Chatbots

Het lijkt wel een enorme hype te zijn, overal verschijnen nieuwe chatbots en worden ze geïntegreerd in bestaande applicaties. Vaak zijn dit AI-toepassingen gebaseerd op het LLM-model wat staat voor Large Language Model. Dat betekent dat dit type AI getraind is met enorme sets aan data om menselijke taal te intepreteren, begrijpen en genereren.
Ze kunnen dus enorm goed tekst genereren, maar niet echt de materie ‘begrijpen’.
Bekende modellen hiervan zijn ChatGPT, Microsoft Copilot of GROK van X (voorheen Twitter).

Kwaliteit & betrouwbaarheid van de datasets

Deze LLM’s baseren de informatie die ze je geven op informatie die ze al hebben verzameld vanuit hun datasets. Daar zit ook meteen een risico in; je weet immers niet waar de dataset op gebaseerd is, de meeste publiek beschikbare chatbots zijn daar ontzettend onduidelijk over.
Daarnaast moet je je ook afvragen of de informatie relevant is voor de locatie waar je je bevindt, zo zijn er voorbeelden bekend van juristen of advocaten die informatie uit ChatGPT haalden over wetboeken maar de chatbot doodleuk met informatie uit een wetboek van een ander land kwam die helemaal niet relevant was. Dat laat maar weer zien dat de informatie die zo’n bot geeft handig is, maar niet klakkeloos 1-op-1 overgenomen moet worden.

Gevoelige informatie delen

Daarbij is het ook belangrijk om te onthouden dat je geen gevoelige informatie deelt met een chatbot, tenzij de dataset privé of 100% transparant is. Een publieke chatbot verwerkt namelijk de gegevens die jíj erin stopt ook in de dataset en daarmee kunnen die gegevens in potentie gedeeld worden met derden. Uit onderzoek van Netskope is gebleken dat van de 10.000 zakelijke gebruikers er minimaal 183 een incident hebben gehad waarbij gevoelige informatie zoals personal identifiable information (PII) gedeeld is met een chatbot, maar dit kan ook net zo goed broncode van een applicatie of andere bedrijfsgeheimen inhouden. In sommige gevallen zijn er zelfs credentials gedeeld met een chatbot.

Rechten binnen een zakelijke chatbot

Met Microsoft Copilot zien we ook een opkomst van een nieuw soort chatbot, eentje die geïntegreerd wordt in je bestaande Microsoft 365-omgeving en daaruit relevante informatie kan opzoeken.
Maar dit model brengt ook weer een nieuw risico met zich mee: Copilot baseert zich op de bestaande rechten van de gebruiker die een vraag stelt, maar als de rechtenstructuur niet klopt of niet dekkend is kunnen er heel makkelijk gegevens worden gedeeld met iemand die dat niet hoeft te weten. Zo is het niet ondenkbaar dat in specifieke gevallen een gebruiker toegang kan krijgen tot gevoelige HR-informatie, simpelweg omdat de rechten niet goed genoeg zijn ingesteld volgens het Zero Trust-model.

Meer weten of benieuwd hoe bestendig jouw organisatie is?

Hier kunnen we je bij helpen! We kunnen een risico analyse doen om in kaart te brengen waar de grootste risico’s zitten.

Meer weten? Neem contact met ons op!

Neem contact met ons op

Meer artikelen

Politie vindt 5 miljoen unieke Nederlandse e-mailadressen

Politie vindt 5 miljoen unieke Nederlandse e-mailadressen

Na aanhoudingen eind januari dit jaar heeft de Nederlandse Politie bij de verdachten lijsten aangetroffen met 7 miljoen unieke e-mailadressen waarvan meer dan 5 miljoen adressen van Nederlanders zijn.
Deze adressen werden verhandeld maar ook gebruikt voor phishing of identiteitsdiefstal. Je kunt dus slachtoffer zijn zonder dat je dit weet.

Bankhelpdeskfraude

De eerder dit jaar aangehouden verdachten worden verdacht van het plegen van helpdeskfraude waarbij ze zogenaamd namens een helpdesk, vaak van een grote bank, mensen hun gegevens afhandig proberen te maken met uiteindelijke doel hun bankrekening te kunnen legen. Dit gaat vaak zó ver dat ze terwijl ze een slachtoffer bellen een handlanger aan de deur staat en zich voordoet als bankmedewerker en de betaalpas of creditcard komt ophalen omdat deze onveilig zou zijn.

Datasets

In de enorme datasets die hierbij in beslag zijn genomen zijn er meer dan 5 miljoen unieke e-mailadressen van Nederlanders gevonden.
Deze adressen worden gebruikt om grootschalig phishing of spam te versturen, of om gerichtere aanvallen op specifieke doelgroepen uit te oefenen.
Daarnaast worden deze datasets vaak verhandeld op allerlei plaatsen waaronder het darkweb waarbij andere criminelen vervolgens weer aan de haal gaan met de gegevens.

Helaas zijn deze gegevens al in omloop en betekent deze actie van de Politie helaas niet dat jouw e-mailadres zal verdwijnen van dit soort lijsten.
Wees je er vooral bewust van dat dit voor een toename van phishing en andere vervelende zaken kan zorgen.

Ben ik slachtoffer?

Met de speciale website die de Politie hiervoor heeft opgezet kun je zelf controleren of jouw e-mailadres in deze dataset(s) voorkomt.
Als dat zo is krijg je van de Politie een bericht met tips en informatie met wat je kunt doen.

Meer weten of benieuwd hoe bestendig jouw organisatie is?

Hier kunnen we je bij helpen! We kunnen een risico analyse doen om in kaart te brengen waar de grootste risico’s zitten.

Meer weten? Neem contact met ons op!

Neem contact met ons op

Meer artikelen

Wachtwoorden & passkeys

Wij hebben een hekel aan wachtwoorden

Onderzoek laat zien dat iedere medewerker in Nederland gemiddeld meer dan 65 wachtwoorden moet onthouden. Al deze wachtwoorden moeten daarbij ook nog eens uniek zijn én voldoen aan een hele serie aan eisen, zoals een minimaal aantal karakters, hoofdletters, leestekens, et cetera.

Passkeys kunnen hierin een oplossing bieden.

Zwaktes van een wachtwoord

Wachtwoorden zijn om meerdere reden niet meer voldoende om veiligheid te kunnen waarborgen:

  1. Enkele factor
    wachtwoorden zijn gebaseerd op één factor: “iets wat je weet” en bieden daardoor een eendimensionale beveiliging
  2. Makkelijk te raden
    Omdat men veel wachtwoorden heeft en soms nog zelfs moet kunnen onthouden worden vaak zwakke wachtwoorden zoals “password” of “welkom” in allerlei variaties gebruikt
  3. Hergebruik
    Naast dat de sterkte van de wachtwoorden vaak te wensen overlaat worden ze ook nog eens hergebruikt
  4. Phishing & datalekken
    Wachtwoorden kunnen door middel van phishing en datalekken gemakkelijk uitgelekt en hergebruikt worden en omdat er geen enkele controle is op waar en wanneer ze gebruikt kunnen worden kunnen criminelen hier gemakkelijk gebruik van maken.

Multi-Factor Authenticatie (MFA/2FA)

Multi-Factor Authenticatie (MFA of ook wel 2FA) genoemd voegt een extra dimensie toe aan een wachtwoord. Vaak wordt hierbij de factor “iets wat je hebt” met een app op de smartphone gebruikt of “iets wat je bent” als de tweede factor iets biometrisch is.

Door deze tweede factor is een gebruikersnaam & wachtwoord alleen niet meer genoeg om de authenticatie te doen. Hierdoor wordt de veiligheid al vele malen beter geborgd maar het is nog steeds gebaseerd op een wachtwoord en kan door gebruikers als omslachtig of dubbelop worden ervaren.

Passkeys

Passkeys, oftewel digitale sleutels, zijn een initiatief van de FIDO Alliance waarbij onder andere Apple, Microsoft en Google zijn aangesloten.

Hierbij worden cryptografisch twee sleutels gegenereerd: een private key die geheim is en een public key die gebruikt wordt tijdens de authenticatie en in feite zal dienen als een wachtwoord.


Zo’n passkey kan een smartphone zijn (in combinatie met bestaande biometrische beveiliging zoals FaceID of een vingerafdrukscanner) of een token als een YubiKey met een USB-aansluiting.

Door de inherente veiligheid van passkeys wordt het vrijwel onmogelijk om met een nagemaakte website credentials te achterhalen, de passkey weet immers dat de credentials bij een bepaalde website horen en zo’n nagemaakte phishing site valt hier niet onder.

Meer weten over hoe we je kunnen helpen met de integratie van passkeys en alle voordelen ervan?

Neem contact met ons op

Meer artikelen