Soms voelt cyber security expert Rickey Gevers zich een roepende in de woestijn. ‘Terwijl we zeggen dat bedrijven zich beter moeten wapenen tegen hackers, gaan zelfs de meest lullige dingen nog fout.’ Een duidelijk voorbeeld daarvan was rondom de ontmoeting van Donald Trump en Kim Jung-un op Twitter te zien. ‘Journalisten kregen een USB-ventilatortje aangeboden dat ze in hun laptop konden steken, waarna de ventilator zou werken op de stroom van de laptop. Je weet dat je bespioneerd gaat worden, je schrijft er zelfs over, maar zodra je zo’n ventilator ziet, denk je alleen maar: wat verfrissing kan ik wel gebruiken.’
Dat het nog vaak mis gaat en hackers vaak geen strobreed in de weg gelegd wordt, ligt volgens Gevers vooral aan het feit dat mensen niet goed begrijpen waartegen ze zich moeten wapenen. ‘Je ziet of voelt het vaak niet als je gehackt wordt. Zolang je niets ziet, denken mensen dat er niets aan de hand is. Terwijl een hacker dan allang je systeem leeggetrokken kan hebben.’
Het is ook een lastig en vaak technisch verhaal, dat geeft Gevers wel toe. ‘Je ziet vaak dat er in artikelen ingezoomd wordt op lastige, zeldzame situaties. Terwijl het juist de allerkleinste dingen zijn die al een groot verschil kunnen maken.’ Als voorbeeld noemt hij een https-verbinding, waarmee websites ervoor zorgen dat gegevens als wachtwoorden niet meer zomaar afgeluisterd kunnen worden. ‘Dat is nu voor websites van gemeenten bijvoorbeeld verplicht. Een kleine verandering die grote gevolgen heeft voor de veiligheid op internet.’
Maar er is ook genoeg wat bedrijven die niet verplicht worden kunnen verbeteren. Gevers noemt vier manieren waarop hackers nog steeds makkelijk binnenkomen én wat daaraan te doen is.
#1 Via verouderde apparatuur
‘Het gebeurt vaak dat er apparatuur op de werkvloer draait, waarvan eigenlijk niemand weet wat het precies doet. Een oude router of server die niet meer gebruikt wordt, maar wel nog steeds verbonden is het met het internet. Waarschijnlijk zijn er in de loop van de jaren een aantal collega’s weg gegaan, dus niemand weet meer precies wie de verantwoordelijkheid over deze apparaten draagt.’
‘Uit angst om iets uit te zetten wat belangrijk is, blijft het apparaat aanstaan. Het is de ideale manier om binnen te komen voor hackers: het apparaat is waarschijnlijk allang niet meer geupdate, dus bevat veel kwetsbaarheden. Controleer dus altijd welke apparaten werkzaam zijn binnen je bedrijf, wat voor doel ze dienen en of ze geupdate zijn naar de laatste versie.’
#2 Door gewoon in te loggen
‘Dit klinkt lachwekkend, maar zodra er een lek is geweest met wachtwoorden gaan hackers vaak op zoek naar de namen van medewerkers en gaan ze gokken. Hoeveel bedrijven hebben wel niet een pagina waar ze al hun medewerkers voorstellen? Dat maakt het voor hackers extra makkelijk. Daarbij is het ook belangrijk om de wachtwoorden op veelgebruikte apparaten niet op de standaardinstellingen te laten staan. Je kunt een geweldige password generator hebben waarmee de moeilijkste combinaties gemaakt worden, maar zodra het wachtwoord van de WiFi-router ‘admin’ of ‘welkom’ is, zijn die maatregelen kansloos en is een hacker zo binnen. Die WiFi-router of beveiligingscamera gebruiken ze dan als springplank om binnen te komen.’
#3 Via de website
‘Het uploaden van bijvoorbeeld CV’s lijkt een hele leuke tool voor op je website om nieuw personeel aan te trekken, maar het implementeren hiervan kan grote kwetsbaarheid op de website met zich meebrengen. Een hacker kan een Word-document op de server uploaden met een bepaalde code. Na het uploaden van het bestand, komt het op de webserver te staan en is het via een andere weg aan te spreken. Wanneer het aanspreken van dit document lukt en het bestand wordt uitgelezen, wordt de handeling in de code uitgevoerd. Dit kan bijvoorbeeld het aanmaken van een extra gebruiker zijn waarmee de hacker kan inloggen in het systeem. Verwijdert hij daarna dat bestand, dan weet het bedrijf niet dat hij binnen is en kan hij ongestoord zijn gang gaan.’
#4 Phisingmails
‘Een praktijk die steeds meer aan bekendheid wint, maar nog steeds veel voorkomt is de phisingmail: hackers proberen via een mail met een link binnen te komen in je systeem. Vroeger kon je het vaak nog aan de spelling herkennen, omdat mails uit het Engels slecht vertaald werden. Tegenwoordig anticiperen hackers daar heel goed op en zijn ze bijna niet van echt te onderscheiden. Een veel voorkomende fraude is CEO-fraude, waarbij de CFO van een bedrijf een mail krijgt van de ‘CEO’ waarin wordt gevraagd bedragen over te maken.’
‘Zelfs de tip om te kijken naar het e-mailadres gaat hier vaak niet op. Hackers worden steeds slimmer en maken een link naar het originele e-mailadres, maar zodra je op beantwoorden klikt, gaat de mail ergens anders heen. Om dit te voorkomen, is het belangrijk bij iedere mail op te letten. Verwacht je een dergelijke mail, kunnen de gegevens die je stuurt misbruikt worden? Vertrouw je het echt niet, bel diegene dan even op om te vragen of het klopt. De mens is van nature lui, dus doe je het liever niet. Maar je kan er een hoop ellende mee voorkomen.’
