Het aantal phishing pogingen bij bedrijven is in 2023 bijna vertienvoudigt ten opzichte van het jaar ervoor 1. Tegelijkertijd geven veel bedrijven aan niet goed voorbereid te zijn op deze vorm van cybercriminaliteit. Hoewel het belangrijk is om beleidsprocedures te hebben voor het geval uw onderneming slachtoffer wordt, is het meeste effect te behalen bij het tegengaan van phishing. In dit artikel lichten we veelgebruikte onderwerpregels voor phishingmails en de achterliggende tactieken toe, zodat u deze sneller kunt herkennen.
Phishing is een methode waarbij oplichters erop uit zijn om toegang te krijgen tot belangrijke data of systemen, zoals uw bankgegevens of bedrijfssystemen. Vaak leidt dit tot een datalek, het blokkeren van accounts en/of financiële chantage.
‘’Werk uw gegevens bij’’
Een populaire tactiek is het verzenden van een mail met het verzoek om uw gegevens bij te werken. Oplichters kunnen hier twee dingen mee bereiken.
- Tijdens het bijwerken van de gegevens worden uw gegevens gestolen
- Het bijwerken van de gegevens leidt indirect tot iets wat de oplichters willen
In het eerste geval gaat het vaak om inloggegevens. U kunt zich voorstellen dat het grote gevolgen heeft als een kwaadwillende toegang heeft tot uw werkmail of (klant)systemen. In het tweede geval kan het bijwerken van gegevens leiden tot een datalek of financieel verlies, doordat bijvoorbeeld een e-mailadres of rekeningnummer wordt aangepast naar die van de oplichter zelf.
Bol.com
In 2019 zijn medewerkers van bol.com in deze vorm van oplichting getrapt. Zij kregen een verzoek om het rekeningnummer van Brabantia, een van hun leveranciers, aan te passen. Toekomstige betalingen werden hierdoor overgemaakt naar de bankrekening van de oplichters.
Schade: €750.000
‘’We hebben ongebruikelijke activiteiten op uw account opgemerkt. Controleer deze alstublieft’’
Een andere veelgebruikte tactiek is urgentie wekken dat er iets aan de hand is met uw account. De oplichter vraagt u om uw gegevens te controleren, omdat u anders misschien uw account kwijtraakt. Wanneer u hierop in gaat wordt uw account overgenomen. Er zijn twee redenen waarom deze tactiek vaak wordt gebruikt:
- De oplichter kan uw account overnemen om daarmee te chanteren.
- Uw account wordt gebruikt om mensen uit uw netwerk, zoals uw collega’s, op te lichten.
In het eerste geval bent u het voornaamste slachtoffer. In het tweede geval lopen ook de mensen uit uw netwerk risico. Als het gaat om een belangrijk communicatiekanaal, zoals uw mail, heeft de oplichter toegang tot al uw contacten en eerdere communicatie.
Apple
Klanten van Apple waren in 2016 het doelwit van deze tactiek. Zij ontvingen een mail waarin ze hun accountgegevens moesten bevestigen, omdat er zogenaamd een virus was aangetroffen in de iTunes-database van Apple. Tijdens het bevestigen van de accountgegevens probeerden de oplichters de inloggegevens te stelen. Voor veel zakelijke gebruikers van Apple zou dit betekenen dat de oplichter toegang verkreeg tot alle gegevens in het bedrijfsaccount, zoals e-mailadressen, telefoonnummers en mogelijk betaalgegevens.
”Je moet dringend een betaling doen”
Een andere tactiek die gebruikt maakt van urgentie is wanneer oplichters een dringend beroep doen op een belangrijke handeling, vaak vanuit de naam van een belangrijk persoon. Deze tactiek staat bekend als ‘spearphishing’ of ‘CEO-fraude’. De doelgroep bestaat uit een specifiek individu of een groep medewerkers. Oplichters doen veel onderzoek om zoveel mogelijk te weten te komen over de bedrijfscultuur, visuele elementen, taalgebruik en andere details. Hierdoor wordt de phishingmail bijna identiek aan de normale communicatie van de “afzender” en daardoor moeilijk te onderscheiden. Met deze tactiek kan de oplichter uit zijn op twee dingen:
- De oplichter wil dat u op de link of bijlage klikt.
- De oplichter wil dat u de betaling doet.
In het eerste geval bevat de link gevaarlijke malware. Wanneer u op de link klikt wordt deze malware geïnstalleerd op uw computer. Dit kan computersystemen verstoren, gevoelige informatie verzamelen of toegang krijgen tot accounts. In het tweede geval is de oplichter direct uit op de betaling.
Pathé
In 2018 werd bioscoopketen Pathé slachtoffer van deze tactiek. Criminelen deden zich voor als directeuren van het Franse hoofdkantoor en stuurden e-mails naar de Nederlandse directie met het verzoek om dringend geld over te maken.
Schade: 19 miljoen euro.
Let op! Zo herken je phishing
De onderwerpregel van een mail is vaak al de eerste aanwijzing voor phishing. De boodschap is vaak urgent, essentieel en vraagt de ontvanger om een actie uit te voeren. Besteed daarom extra aandacht bij e-mails die hieraan voldoen. Kijk in die gevallen goed naar:
- De afzender: controleer het e-mailadres van de afzender. Als u twijfelt vergelijk deze dan met eerdere mails. Het best is om in geval van twijfel de boodschap bij de verzender te verifiëren via een ander communicatiekanaal.
- De aanhef: vaak zijn phishingmails onpersoonlijk en starten ze met ‘geachte klant’ of ‘beste meneer/mevrouw’.
- Spellingsfouten: phishingmails bevatten vaak spellingsfouten. Daarnaast kloppen vervoegingen en leestekens vaak niet, doordat mails geautomatiseerd zijn vertaald.
- Persoonlijke gegevens: deel nooit zomaar uw persoonlijke of bedrijfsgegevens. Een e-mail, sms of WhatsApp bericht is nooit de manier waarop bedrijven om gegevens vragen. Neem bij twijfel altijd telefonisch contact op met de desbetreffende organisatie of persoon.
- Bijlagen: via bijlagen kan schadelijke software verstuurd worden. Open dus nooit zomaar een bijlage die je niet verwacht of van een onbekende afzender.
Phishingcampagne
Met een phishingcampagne test u hoe kwetsbaar uw organisatie is voor phishing. Op een veilige manier wordt er een situatie gecreëerd zoals oplichters dat met phishing zouden doen. Na afloop ontvangt u een rapport met een overzicht van het resultaat. Hiermee heeft u inzicht in de impact die phishing kan hebben op uw organisatie.