Spear phising en CEO-fraude

Twee geavanceerdere manieren van phishing zijn spear phishing en CEO-fraude. Dit zijn twee varianten, waarbij het verzendadres juist wel is aangepast naar een adres dat overeenkomt met de inhoud en de zogenaamde verzender. Bij spear phishing lijkt een ogenschijnlijke alledaagse e-mail afkomstig te zijn van een persoon of organisatie die de ontvanger vertrouwt. Cybercriminelen proberen gebruikers hiermee te misleiden een bepaalde actie uit te voeren. CEO-fraude gaat een stapje verder. Hierbij wordt een e-mail uit naam van de CEO verstuurd aan een financieel medewerker om snel een geldbedrag over te maken.

Voor beide varianten geldt: neem de e-mail ter kennisgeving aan. Verifieer vervolgens of de informatie klopt. Bel, sms of app altijd eerst met de verzender of controleer de website of app van de betreffende organisatie. Zeker bij CEO-fraude wordt er in het bericht aangegeven dat communicatie momenteel niet mogelijk is. Juist dan moeten alle alarmbellen afgaan en is extra verificatie vereist!

Weinig aandacht voor overige phishing signalen

Volgens onderzoek van de Universiteit Twente kijken gebruikers te veel naar de inhoud van een e-mail en te weinig naar de technische aspecten. Een belangrijk technisch aspect in phishing e-mails zijn de links. Eén klik kan al desastreuze gevolgen hebben voor een organisatie. Een minderheid (45%) zegt links in onbekende e-mails altijd te controleren, maar geeft ook aan dit niet te doen als het gaat om een e-mail van een afzender die ze vertrouwen. Deze groep wordt waarschijnlijk minder snel slachtoffer van phishing, maar valt zeer waarschijnlijk wel voor spear phishing of CEO-fraude. De overige medewerkers (55%) lopen dus kans om slachtoffer te worden van zowel phishing als van spear phishing en CEO-fraude.

Controleren van e-mails in de praktijk

BeveiligMij.nl voert jaarlijks bij honderden bedrijven een Security awareness Nulmeting uit om het veilig handelen van medewerkers in kaart te brengen. Deelnemers worden tijdens de Security awareness Nulmeting over verschillende onderwerpen bevraagd naar hun huidige kennis en (on)veilige gedrag. Een van de onderwerpen tijdens de nulmeting is het controleren van (valse) e-mails. Hieronder hebben we een aantal interessante resultaten op een rij gezet over hoe goed medewerkers binnen organisaties daadwerkelijk controleren of de inhoud van een e-mail wel klopt met de afzender:

33% van de medewerkers controleert de afzender altijd
45% van de medewerkers controleert altijd links in e-mails van een onbekende afzender.

Onbevoegde toegang tot accounts, netwerken en systemen

Bij een phishing e-mail proberen criminelen de ontvanger te verleiden op een link te klikken die verwijst naar een valse website. Tegenwoordig zijn deze websites haast niet meer van de echte te onderscheiden. Hier wordt ze dan gevraagd gegevens achter te laten of een document te downloaden met alle gevolgen van dien. Ook kan er gevraagd worden om in te loggen op hun e-mailaccount, waardoor er toegang verleend wordt tot het e-mailsysteem van de organisatie.

Belangrijk is dus dat iedere medewerker weet hoe ze een de afzender van een e-mail kunnen controleren en nooit zomaar klikken op een link. Bij twijfel is het advies om altijd voor verificatie gaan.