In 2017 kwamen er gemiddeld 16 nieuwe soorten malware per minuut uit, zo blijkt uit onderzoek van de malware-analisten van G DATA. Maar criminelen vertrouwen niet alleen op schadelijke code om toegang te krijgen tot vertrouwelijke bedrijfsinformatie. Zij passen ook verraderlijke trucs toe op medewerkers om hen te manipuleren om malware op het netwerk te installeren. Op die manier krijgen cybercriminelen toegang tot de gewenste data. Deze tactiek staat in technologisch jargon bekend als social engineering. G DATA geeft aan waar IT-managers op moeten letten.
Social engineering: medewerkers als marionetten van cybercriminelen
De tijd dat HR-afdelingen cryptische, slecht geschreven e-mails ontvingen van zogenaamd geïnteresseerde sollicitanten is voorbij. Slechte grammatica en spelfouten waren een goede indicatie van valse of gevaarlijke berichten. Cybercriminelen bereiden zich tegenwoordig beter voor op een aanval, en kunnen meestal foutloos communiceren.
Een goed voorbeeld van een potentieel slachtoffer is een recruiter in een bedrijf. Die heeft vaak toegang tot social media platformen om geschikte kandidaten te zoeken. Het sleutelwoord hier is’ scouting’. Indien een geschikte kandidaat gevonden lijkt te zijn, wordt contact met hem/haar gelegd. Criminelen zijn zich daarvan bewust en stellen nepprofielen op, waarmee ze op het juiste moment contact kunnen opnemen met de HR-medewerker. De dader probeert informatie te krijgen over de medewerker, alvorens vertrouwen op te bouwen met zijn slachtoffer en vervolgens per mail een sollicitatiebrief te sturen naar de HR-medewerker, verwijzend naar het vriendelijke gesprek via sociale media. Deze aanpak is doeltreffender dan het schrijven van een standaard open sollicitatie. De mail bevat een korte tekst, met een foto en een PDF-bijlage. De aanvaller heeft de medewerker gemanipuleerd om de bijlage te vertrouwen en te openen. Dit kan ransomware zijn, die kritieke bestanden versleutelt en losgeld vraagt om ze te decoderen. Het kan ook een Trojaans paard zijn, dat toetsaanslagen registreert en terugstuurt naar de aanvaller. Met andere woorden, logins en wachtwoorden worden geregistreerd en aan de cybercrimineel verstrekt.
Sociale engineering veroorzaakt financiële schade
Social engineering wordt overal ingezet waar mensen gemanipuleerd kunnen worden en waar geld te verdienen valt door de aanvallers. Dit kan waardevolle informatie van het personeel zijn, feitelijke toegangsgegevens of toegang tot vertrouwelijke documentatie die bedrijfsgeheimen onthult. Volgens schattingen van detacheerder Brunel veroorzaakt (digitale) bedrijfsspionage bij Nederlandse bedrijven tussen de 12 en 15 miljard euro per jaar. In België vermoedt Comité I ook een miljardenschade, maar er worden geen schattingen gedaan. De oplossing voor dit aanvalsscenario is bewustwordingstraining voor medewerkers.
Waar moeten IT-managers op letten?
De eerste stap voor IT-managers is om medewerkers bewust te maken van social engineering. Met bewustwordingstraining zijn dergelijke aanvallen gemakkelijker op te sporen en te voorkomen. Zo leren medewerkers bijvoorbeeld dat e-mails kritisch moeten worden bekeken, dat er geen gevoelige gegevens over de telefoon mogen worden verspreid en dat er bijvoorbeeld geen links naar een inlogpagina mogen worden geopend.
Een andere even belangrijke stap is goede beveiligingssoftware die phishing-bescherming biedt. Op deze manier kunnen veel aanvallen op voorhand worden afgewend. Dergelijke software helpt medewerkers om relevante e-mails die belangrijk zijn voor het dagelijkse werk, aanzienlijk sneller te verwerken. Bovendien neemt het risico dat medewerkers slachtoffer worden van social engineering hierdoor sterk af.
