Wat is phishing en hoe beschermt u uw bedrijf?
Er zijn veel soorten cyberaanvallen die hackers gebruiken om informatie, bestanden en andere bezittingen van individuen en bedrijven te verkrijgen. Hiertegen beschermd blijven is cruciaal.
Terwijl cyberbeveiligingsoplossingen effectiever worden in vergelijking met traditionele soorten aanvallen, maken hackers gebruik van de menselijke aard van gebruikers om beveiligingsmaatregelen te omzeilen.
Definitie: Wat is phishing?
Phishing (uitgesproken als: ‘fishing’) is een vorm van social engineering waarbij gebruikers worden misleid om gevoelige informatie, zoals inloggegevens, bankrekeningnummers of toegang tot IT-systemen, prijs te geven. Deze aanvallen vinden meestal plaats via een e-mail of een sms-bericht waarin legitieme merken of gebruikers worden nagebootst.
Korte geschiedenis van phishing-aanvallen
Begin jaren 90 hadden gebruikers een inbelverbinding nodig om toegang te krijgen tot internet en AOL was een van de grootste providers. Door zijn populariteit werd het een belangrijk doelwit voor hackers en werd het de dekmantel voor de eerste phishing-aanvallen.
In 1995 werd "AOHell" gemaakt om wachtwoorden van gebruikers te stelen en algoritmen te gebruiken om willekeurige creditcardnummers te maken. Het imiteerde AOL-medewerkers en -beheerders door gebruikers te vragen hun inloggegevens te verstrekken als onderdeel van systeemcontroles en -audits.
Begin jaren 2000 richtten aanvallers hun aandacht op financiële systemen. Tegen 2003 begonnen phishers domeinnamen te registreren die kleine variaties waren van legitieme handelssites, zoals eBay en PayPal, en stuurden ze massamailings waarin ze klanten vroegen de sites te bezoeken, hun wachtwoorden in te voeren en hun creditcardgegevens bij te werken.
In september 2013 infecteerde Cryptolocker ransomware 250.000 pc's en was daarmee de eerste cryptografische malware die werd verspreid door downloads vanaf een gecompromitteerde website.
Phishers beginnen HTTPS te gebruiken met phishingcampagnes voor cadeaubonnen vanaf 2018 en evolueren dan naar e-mailcompromissen met leveranciers in 2019.
In 2020 kreeg 74% van de organisaties in de Verenigde Staten te maken met een succesvolle phishingaanval.
Tot op de dag van vandaag groeien de aanvallen nog steeds en vormen ze een reëel risico voor zowel individuen als bedrijven over de hele wereld, daarom is het belangrijk om op de hoogte te zijn van cyberaanvallen en deze te beperken.
Veelgebruikte phishingtechnieken: gevoel van urgentie
E-mails van nepbedrijven die om persoonlijke of gevoelige informatie vragen.
E-mails van valse financiële instellingen waarin wordt gevraagd om bankrekeningnummers en wachtwoorden.
E-mails van overheidsinstanties die om persoonlijke informatie vragen.
Berichten op sociale media die je vragen om in te loggen met je gebruikersnaam en wachtwoord.
Phishing-aanval voorbeelden
Valse websites en aanmeldingsgegevens
Een van de meest voorkomende vormen van phishingaanvallen is het versturen van e-mails die veelgebruikte diensten zoals Netflix imiteren. Dit is meerdere keren gebruikt en gemeld door politie en veiligheidsdiensten over de hele wereld.
Het is een vrij eenvoudige tactiek die gebruik maakt van vertrouwen, omdat gebruikers het merk al kennen. Het wekt ook een gevoel van urgentie op omdat het suggereert dat je account in de wacht staat. In werkelijkheid is dit echter een imitatie-e-mail die linkt naar een valse website waar je je kaartgegevens kunt "bijwerken". Zodra je de gegevens hebt bijgewerkt, heb je in feite je gegevens overgedragen aan de aanvaller, die ze vervolgens kan gebruiken voor wat hij maar wil.
Vertrouwen, urgentie, duidelijk doel. Deze tactieken vormen de ruggengraat van alle succesvolle phishingaanvallen.
Verschillende soorten phishing-aanvallen
Er zijn veel verschillende soorten aanvallen, maar ze hebben allemaal één ding gemeen: ze proberen het slachtoffer zover te krijgen dat hij of zij persoonlijke informatie deelt. Er zijn echter verschillende manieren om dit te bereiken, van verdachte e-mails tot sms-berichten, phishers proberen je op elke mogelijke manier te misleiden.
Spear Phishing
Spear phishing is een doelgerichte vorm van phishing waarbij wordt geprobeerd een individu te verleiden om toegang te krijgen tot gegevens of gevoelige informatie. Vergeleken met meer gebruikelijke soorten phishingaanvallen die willekeurig zijn en gericht op grote groepen mensen.
Aanvallers doen zich voor als iemand die het doelwit goed kent of als een organisatie waar ze bekend mee zijn. Een goed voorbeeld van spear phishing is een hacker die zich voordoet als CEO van het bedrijf van een beoogde gebruiker. Ze vervalsen het e-mailadres van de CEO en beweren vervolgens dat hun inloggegevens niet werken en vragen het doelwit om die van hen te delen zodat ze die kunnen gebruiken om toegang te krijgen tot een bestand of gegevens.
Er kan extra tijdsdruk zijn om een gevoel van urgentie toe te voegen, bijvoorbeeld een directievergadering of persconferentie. Omdat de beoogde gebruiker de CEO kent / bij dat bedrijf werkt, is hij of zij misschien te goed van vertrouwen en door de tijdsdruk controleert hij of zij de rode vlaggen misschien niet zo grondig mogelijk.
Deze aanvallen worden meestal gemaakt nadat er onderzoek is gedaan naar het doelwit, wat resulteert in een meer persoonlijk relevante aanval.
Whaling e-mail Phishing
Whaling phishing is een vorm van phishingaanval die gericht is op een hoogwaardig doelwit of een senior medewerker binnen een organisatie. Deze aanvallen zijn gedetailleerder dan algemene phishingmails, omdat ze gericht zijn op een individu, normaal gesproken persoonlijke informatie bevatten en vaak zijn opgesteld met een goed begrip van zakelijke taal. Deze eigenschappen maken ze erg moeilijk te herkennen en leiden er regelmatig toe dat hooggeplaatste werknemers worden overgehaald om geld of gevoelige gegevens over te maken of malware te activeren.
Een van de grootste voorbeelden van dit soort CEO-fraude- of ‘whaling’-aanvallen vond plaats in 2016 bij de Belgische bank Crelan Bank. Deze aanval leidde tot een verlies van 75 miljoen dollar voor het bedrijf.
Hoewel dit type aanval zeer gericht is, is het essentieel om ervoor te zorgen dat alle werknemers zich bewust zijn van en beschermd zijn tegen cyberaanvallen, omdat iedereen een doelwit kan zijn, niet alleen hoge leidinggevenden.
Massacampagnes
Massale phishingberichten worden naar zoveel mogelijk mensen gestuurd om gebruikers te verleiden tot het verstrekken van gevoelige gegevens of financiële informatie. Bij deze aanvallen wordt meestal een populair merk nagebootst met het verzoek om een wachtwoord opnieuw in te stellen of factuurgegevens bij te werken.
De schade die wordt veroorzaakt door het slachtoffer te worden van een massacampagne is mogelijk niet zo direct zichtbaar als bij meer gerichte aanvallen, omdat er een tijd verstrijkt tussen de succesvolle aanval en de verkoop van de gegevens die bij de aanval zijn verkregen.
Ambulance oplichting / phishing
Ambulance chasing phishing scams maken extreem gebruik van de menselijke natuur door mensen te benaderen in tijden van extreme stress. Deze campagnes richten zich normaal gesproken op gebruikers met nep geldinzamelingsacties tijdens rampen zoals branden, overstromingen en oorlogen. Door de emotionele aantrekkingskracht van dit soort gebeurtenissen kan het extreem effectief zijn om gebruikers te misleiden.
Deze vorm van phishing is meestal een massacampagne, maar kan ook een spear phishing-aanval zijn, afhankelijk van hoe gericht het bericht is.
Pretexting
Pretexting is een zeer effectieve methode van phishing omdat er twee belangrijke contactmomenten bij betrokken zijn. Het ene bouwt vertrouwen op, normaal gesproken persoonlijk of via een telefoongesprek, om de verwachting te wekken dat ze in de nabije toekomst iets schijnbaar legitiems zullen sturen. Het tweede contactpunt is via e-mail of een digitaal bericht met een triggerpoint die een kwaadaardige link bevat om gevoelige gegevens buit te maken of malware te downloaden.
Aanvallers kunnen bijvoorbeeld bellen en een voicemail achterlaten waarin ze zich voordoen als een leverancier en zeggen dat hun contract binnenkort via e-mail wordt verzonden. Vervolgens wordt een e-mail met betrekking tot de voicemail verzonden met schadelijke koppelingen, die mogelijk ransomware of een andere vorm van malware bevatten.
Mobiele phishing
Omdat aanvallers op alle mogelijke manieren misbruik willen maken van gebruikers, is mobiele phishing een groeiende trend. Door gebruik te maken van SMM- en MMS-toepassingen kunnen aanvallers gebruikers 24/7 bereiken.
Bij mobile phishing, ook bekend als smishing, sturen aanvallers phishingberichten via sms of sociale media naar gebruikers om ze te verleiden tot een snelle actie door zich voor te doen als een vertrouwde derde partij.
Een gebruiker kan bijvoorbeeld een sms krijgen van iemand van wie hij denkt dat het zijn bank is en die zegt: "We hebben ongewone activiteit op uw bankrekening gedetecteerd, als u dit niet was, log dan alstublieft in op uw rekening en bekijk deze transacties." Dit is bedoeld om paniek te zaaien en gebruikers snel actie te laten ondernemen door hun inloggegevens van de bank te geven.
Door op links in deze berichten te klikken, kunnen hackers toegang krijgen tot je gegevens of kwaadaardige software op je apparaat installeren.
Man-in-the-Middle
Dit type aanval is geavanceerder, omdat het inhoudt dat e-mails tussen twee mensen worden onderschept. De aanvaller kan dan e-mails terugsturen naar deze twee mensen, die denken dat ze van elkaar komen, maar in werkelijkheid van de aanvaller zijn.
Ze kunnen vragen om privé-informatie of om bepaalde acties, en de persoon kan gemakkelijk het slachtoffer worden omdat ze denken dat de e-mail afkomstig is van een vertrouwde bron.
Wi-Fi Twin
Bij deze methode creëren hackers een Wi-Fi netwerk dat het adres van een ander netwerk kopieert. Iedereen die verbinding maakt met dit gespoofde netwerk wordt blootgesteld aan de hackers, waardoor ze toegang krijgen tot wachtwoorden en andere informatie.
Dit gebeurt meestal in openbare ruimtes zoals coffeeshops, winkelcentra en luchthavens.
Rapporteren van phishing-zwendel Rapporteer phishing-e-mail
Als u of een van uw klanten het slachtoffer wordt van een phishingaanval, kunt u proberen uw gegevens terug te krijgen, anderen te beschermen en aanvallers ervan te weerhouden verdere schade aan te richten. De meeste lokale overheden hebben hun eigen gidsen en advies over het melden van fraude, maar burgers in de VS, het VK en Australië kunnen ondersteuning vinden op de volgende links.
Fraudepreventie in de Verenigde Staten: https://www.usa.gov/stop-scams-frauds
Brits rapport over phishing-aanvallen: https://www.ncsc.gov.uk/collection/phishing-scams/report-scam-website
Australia Scamwatch: https://www.scamwatch.gov.au/report-a-scam
Bescherming tegen phishing: Hoe kun je je verdedigen tegen oplichting?
Er zijn een paar belangrijke manieren om een organisatie te beschermen tegen phishing en je cyberweerbaarheid te vergroten.
Regelmatige training van personeel en klanten
Leer de psychologische triggers
Een positieve beveiligingscultuur opbouwen
Technische maatregelen implementeren, zoals oplossingen voor e-mailbeveiliging of anti-phishing
De effectiviteit van de training testen
Lees voor meer informatie over deze beveiligingsmethoden onze blog over„Hoe je phishing-aanvallen via e-mail kunt herkennen en je ertegen kunt beschermen“
