Technologie alleen biedt geen sluitende bescherming
Phishing richt zich op de zwakste schakel: de mens. Daarom is de mens er ook zelf het beste wapen tegen, al vraagt het veel tijd, middelen en inspanning om de bewustmaking rond phishing te versterken.
Via phishing slagen cybercriminelen erin mensen zo ver te krijgen dat ze geld overmaken, een paswoord geven of een pincode delen. Het fenomeen is niet nieuw. Vroeger vermomden criminelen zich als medewerkers van de elektriciteitsmaatschappij. Ze belden aan bij de oudjes in de straat, voerden zogezegd een controle uit en lieten hen betalen. “Het gaat om social engineering“, zegt Andy De Petter, Head of Cyber Security Intelligence & Incident Response bij Proximus. “Dat is inderdaad vergelijkbaar met wat die zogenaamde technici deden die van deur tot deur gingen.” Technologie maakt die oefening makkelijker. Andy De Petter: “E-mail zorgt voor een enorme hefboom. Cybercriminelen kunnen met één e-mail in één keer heel veel mensen bereiken. En ook al is de respons erg laag, door het grote volume van uitgestuurde berichten, blijkt het ook nu nog een vrij succesvolle formule.”
Phishingberichten bestaan intussen in allerlei vormen en soorten. Cybercriminelen geven zich bijvoorbeeld uit voor een medewerker van een bank en vragen de ontvanger om zijn gegevens te verifiëren. Wie op de bijgevoegde link klikt, komt op een nagemaakte site terecht en tikt daar eigenhandig een paswoord en kredietkaartnummer in. Met name tijdens de lockdown – toen iedereen thuis werkte – zou dat type phishingaanvallen sterk zijn toegenomen. “Er waren wel extra kwetsbaarheden”, zegt Andy De Petter, “zowel bij grote bedrijven als kmo’s, omdat ze vrij snel moesten omschakelen op thuiswerk. Ging dat ten koste van security? Dat is moeilijk te zeggen. Trouwens, het gebruik van een remote desktop is niet bepaald nieuw. Het grote verschil was wel dat al die thuiswerkers van op afstand toegang moesten krijgen tot het bedrijfsnetwerk.”
Uiteindelijk draait het allemaal om data. Je kunt veel problemen vermijden – ook bij phishing – met een goede back-upstrategie.
Bewustmaking
Iedereen weet intussen dat er risico’s bestaan, maar even goed zijn er ook oplossingen beschikbaar. “Aan technologie ontbreekt het niet”, stelt Andy De Petter. “De risico’s zijn reëel: er zijn zowel brede aanvallen die zich op de consument richten, als heel gericht acties – spear phishing – met bedrijven als doelwit. Uiteindelijk draait het allemaal om data. Zorg daarom voor een goede back-upstrategie. Wanneer je back-up in orde is, ben al meteen een stuk minder gevoelig voor ransomware. Bewustzijn kun je creëren door zelf een aanval te simuleren. Stuur zelf een phishing mail naar je medewerkers en kijk wat er gebeurt. Wie toch op de verdachte link klikt, krijgt dan bijvoorbeeld een pagina met uitleg over de gevaren van phishing te zien.”
Die bewustmaking kan het verschil maken in de aanhoudende wedloop tussen cybercriminelen en securityspecialisten. “Zolang er met cybercriminaliteit winst te maken is, blijft er ook geld om te investeren”, zegt Andy De Petter. “Maar het is een ongelijke strijd. De verdedigers moeten continu inspanningen leveren om hun data te beschermen, terwijl ze weten dat geen enkele oplossing ooit volledig waterdicht kan zijn. Daar staat tegenover dat de aanvaller aan één succesvolle inbraak genoeg kan hebben.” Vandaar dat bedrijven specialisten inschakelen wanneer het om cybersecurity gaat. “Als provider zijn we doorheen de jaren geëvolueerd tot een end-to-end securityspecialist”, besluit Andy De Petter. “We bieden niet alleen de nodige technologie, maar ook programma’s rond awareness en opleiding. We beschikken over alle bouwstenen om voor ieder bedrijf een gepersonaliseerde aanpak uit te werken, op maat van de specifieke situatie.”