Het beeld van de eenzame hacker in een donkere kelder klopt allang niet meer. ‘Deze organisaties groeien en worden volwassen’, stelt James Dyer, Threat Intelligence Lead bij KnowBe4. ‘Ze kijken hoe legitieme bedrijven opereren en nemen de beste praktijken over voor hun criminele organisatie.’
Vanuit het KnowBe4-onderzoekslab in Cheltenham volgt Dyer dagelijks hoe cybercriminelen evolueren. ‘Ik zie regelmatig Telegram-gesprekken waarin ze dagelijkse standups houden over hoe malware wordt geschreven, welke doelen ze hebben én welke taken nog openstaan. Er zijn hiërarchieën, professionele zakelijke relaties, presentaties over bevindingen — net als elke andere ontwikkelingsafdeling.’
Cybercrime-as-a-Service
De professionalisering gaat verder dan interne processen. ‘Op het darkweb bieden ze 24-uurs klantenservice, geld-terug-garanties en marketing die gericht is op specifieke eindgebruikers die gegevens zouden willen kopen’, vertelt Dyer. ‘Het zijn uiteindelijk een soort mini-SaaS-bedrijven.’
Deze criminele ondernemingen investeren flink in onderzoek naar hun doelwitten. ‘Ze doen continu reconnaissance: ze sturen verkennende e-mails om te testen wat erdoorheen komt. Ze hebben hun eigen logo’s, hun eigen branding en zorgen voor meerdere contactmogelijkheden.’
De geavanceerde aanpak heeft een simpele reden: geld verdienen blijft het hoofddoel. ‘Als ze geen geld verdienen, doen ze het niet’, ziet Dyer. ‘Ze werken van 9 tot 5 — we zien een duidelijke piek in phishing-e-mails tijdens kantooruren. Het is voor hen gewoon een baan.’
Het domino-effect van één gehackte account
Phishing blijft daarbij de favoriete methode, stelt Dyer. De reden? Mensen blijven het kwetsbaarste onderdeel van iedere cyberverdediging. ‘Het draait er bij hackers om: waarom zou je maanden besteden aan het ontwikkelen van geavanceerde zero-day malware als je gewoon mensen om hun inloggegevens kunt vragen?’, zegt Dyer. ‘Een succespercentage van 1 procent op een miljoen verstuurde e-mails levert relatief nog steeds veel geld op.’
Deze aanpak richt zich niet alleen op senior executives, stelt Dyer. ‘De grootste misconceptie is dat niemand jou zomaar aanvalt, als je geen belangrijke functie hebt binnen een bedrijf’. Maar een mailadres dat al meer dan duizend dagen correspondentie heeft, is áltijd bijzonder waardevol voor hackers. Iedere e-mailaccount is een opstapje.’
‘Eenmaal binnen kunnen ze als jou inloggen op Teams, SharePoint, al je e-mails bekijken en phishing-e-mails versturen vanuit jouw account. Die mails glippen relatief sneller langs detectiesoftware, omdat mensen die met je communiceren minder zullen aarzelen om op iets te klikken van een bekend mailadres. Het is de eerste stap naar toegang via Teams of SharePoint, IP-informatie en vervolgens het hele netwerk.’
Alle bedrijfsinformatie is relevant
Moderne cyberaanvallen beginnen vaak met uitgebreid onderzoek. ‘Wanneer bedrijven publiceren dat hun ceo met pensioen gaat, of dat ze een grote klant hebben binnengehaald, gebruiken aanvallers die informatie’, stelt Dyer.
Nieuwe medewerkers zijn bijzonder kwetsbaar. ‘Er is een enorm verschil tussen wie er wordt gephisht: mensen die net zijn begonnen versus degenen die er al jaren werken. Beginners krijgen veel meer phishing-aanvallen.’
Na de reconnaissance volgt de eigenlijke aanval, vaak in meerdere fasen. ‘We zien steeds meer multichannel-aanvallen. Het begint met een e-mail, maar verplaatst zich naar Teams, LinkedIn of WhatsApp. Het kwaadaardige gebeurt buiten de e-mail om, wat het moeilijker maakt om te detecteren.’
Nieuwe hacktactieken: polymorfisch én telefonisch
Cybercriminelen worden dan ook steeds slimmer in het omzeilen van traditionele beveiligingsmaatregelen, ziet Dyer. ‘In plaats van Gmail of Yahoo te gebruiken, uploaden ze kwaadaardige content naar Dropbox, Adobe of Google Presentations — en delen dan e-mails via de ingebouwde functionaliteit van die platforms. Alle links gaan naar Google, de e-mail ziet er precies hetzelfde uit als een Google-template. Het wordt veel moeilijker voor eindgebruikers om te identificeren wat een phishing-e-mail is.’
Deze verfijnde aanpak gaat gepaard met wat Dyer ‘polymorfische aanvallen’ noemt. ‘Poly betekent veel in het Grieks, morfisch betekent vormen. Aan het oppervlak is de phishing hetzelfde, maar veel onderdelen zijn anders. Ze sturen éxact dezelfde phishing naar twee mensen, maar de payloads zijn verschillend. Je kunt niet dezelfde link blokkeren, omdat de links telkens anders zijn. Dan zijn traditionele blokkeerlijsten dus machteloos.’
Ook fysieke elementen krijgen een digitale twist. ‘QR-codes worden nu ingebed in pdf-documenten van twintig pagina’s die eruitzien als echte onboarding-materialen of medewerkershandboeken’, vertelt Dyer. Tegelijkertijd ziet hij een opmerkelijke terugkeer naar ouderwetse communicatie. ‘Telefoonnummers worden steeds vaker een primaire vector. In plaats van een valse link, zeggen ze: er is iets misgegaan, bel deze persoon. Het is veel lastiger voor mensen om te bepalen of een telefoonnummer legitiem is dan een link.’
Energiesector in het vizier
Voor Nederlandse bedrijven ziet Dyer specifieke dreigingen. ‘De hackerstactieken verschillen per regio, sector en bedrijfsgrootte. Organisaties in Nederland krijgen compleet andere e-mails dan in Japan of Australië. Zo wordt er altijd gekeken naar specifieke trends die voor dat land relevant zijn, zoals bijvoorbeeld de energiesector in Nederland. Die wordt daarom extra getarget en gebruikt door hackers.’
Zo werd in augustus nog bekend dat criminelen een grootschalige phishing-campagne voerden namens Netbeheer Nederland, waarbij ze dreigden met afsluiting als mensen niet zouden betalen voor een fictieve jaarafrekening.
When, not if
‘Fundamenteel gaat het om het op één lijn brengen van drie pijlers’, zegt Dyer. ‘Ten eerste: robuuste maatregelen — zorg ervoor dat je plannen hebt voor hacks en dat ze ook daadwerkelijk werken. Deepfakes worden steeds beter. Als elke financiële autorisatie boven de 10.000 euro een telefoontje vereist, werkt dat nog steeds als mensen stemmen kunnen deepfaken? Welke andere manieren heb je om het te autoriseren?’
Pijler twee: ‘Wees je bewust van hoe criminele organisaties en aanvallers evolueren’, adviseert Dyer. ‘Verstuur niet één keer per maand een phishing-simulatietest en denk dat je klaar bent. Houd workshops en investeer er écht tijd in. Want terwijl bedrijven hun digitale processen perfectioneren, doen cybercriminelen precies hetzelfde — alleen dan aan de andere kant van het spectrum.’
De laatste pijler is effectieve training, maar dan wel anders dan de meeste bedrijven nu doen. ‘De meeste trainingen zijn véél te saai voor mensen. Maak je training actueel, relevant én minder een afvinklijstje. We zijn allemaal onderdeel van de menselijke firewall, die het lastigst te updaten is. Zolang wij als mensen gestrest en overwerkt zijn, zullen aanvallers daarvan profiteren. Het is onze gedeelde verantwoordelijkheid om alert te blijven.’
Dit artikel wordt u aangeboden door
KnowBe4
KnowBe4 helpt werknemers dagelijks slimmere beveiligingsbeslissingen te nemen en versterkt wereldwijd de beveiligingscultuur van meer dan 70.000 organisaties. Met een...
Meer info
