Cyberaanvallen zijn aan de orde van de dag en het overgrote deel van geslaagde cyberaanvallen (rond de 70%) wordt nog steeds veroorzaakt door de ‘menselijke factor’. Spear phishing wordt in toenemende mate ingezet door cybercriminelen, mede omdat het een grotere slagingskans heeft. Wat is het en hoe wapen je jouw organisatie hier tegen?
Wat is spear phishing?
Spear phishing is in feite niks nieuws: het gaat erom dat hackers de persoonlijke gegevens van iemand gebruiken, die vaak online te vinden zijn, om heel doelgericht een aanval uit te voeren. Met iemands persoonlijke gegevens op zak weet een hacker sneller het vertrouwen te winnen van zijn doelwit in vergelijking met bijv. meer ouderwetse ‘bulk’ spam-mail.
Voorbeelden hoe een aanval kan verlopen zijn als volgt:
- Via social engineering: een hacker belt persoonlijk op en overtuigt het slachtoffer om iets doen. Dit betreft bijv. direct geld overmaken, bankgegevens of inloggegevens delen, of toegang te geven tot de computer. Vaak doet een hacker zich voor als een medewerker van de bank, een leverancier of een ICT-helpdesk, en geeft aan dat er een probleem is of dat er een andere hack gaande is, dat direct opgelost moet worden.
- Via phishing: een hacker kan verschillende kanalen gebruiken om een bericht te sturen naar het slachtoffer. Naast e-mail kan dit via Whatsapp, LinkedIn, Facebook Messenger of andere social media zijn. Hackers doen zich vaak voor als een familielid, een leidinggevende of andere collega die iets van het doelwit nodig heeft. Het online opzoeken van iemands familieleden, collega’s, woonplaats, hobby’s, recente uitstapjes en andere interesses wordt gebruikt om iemands vertrouwen te winnen. Ook zo forceren hackers bijv. dat er geld overgemaakt wordt, dat er bank- of inloggegevens worden gedeeld of dat er op een malafide link wordt geklikt.
Ondanks dat dergelijke praktijken al jarenlang bekend zijn, leidt dit nog steeds tot veel cyberaanvallen. Vanuit onderzoek van FireEye blijkt dat spear phishing e-mails in 70% van de gevallen worden geopend en dat 50% leidt tot het klikken op links.
Hoe wapen je jouw organisatie hier tegen?
Voor organisaties zal de mens de meest zwakke schakel blijven in de IT-beveiliging en spear phishing is vaak erg geraffineerd, dus 100% voorkomen is lastig. Bekende standaarden zoals ISO 27001 / 27002 geven richtlijnen voor adequate beveiligingsmaatregelen, ook t.a.v. personeel. Dit moet echter wel vertaald worden naar een praktische invulling voor jouw organisatie en dat is uiteraard geheel afhankelijk van de situatie.
Natuurlijk zijn tal van onderwerpen belangrijk, maar vergeet vooral de volgende niet:
- Bewustzijn en training: behalve medewerkers structureel te trainen om specifieke scenario’s te kunnen herkennen, is het daadwerkelijk testen van bewustzijn essentieel (bijv. interne phishing tests). Hiermee ontdek je het daadwerkelijke bewustzijnsniveau van je personeel en kun je heel gericht verbetering aanbrengen op de zwakke plekken, wat vaak beter werkt dan traditionele bewustzijnssessies.
- Technische maatregelen: bepaalde organisaties zijn gebaat bij meer dan alleen de standaard e-mail filtering om spear phishing tegen te gaan. Meer geavanceerde technieken zijn beschikbaar om een aantal spear phishing scenario’s technisch af te vangen, denk i.i.g. aan anti-phishing e-mail filtering en web filtering. Andere preventieve maatregelen zijn bijv. netwerkscheiding en interne firewalls om de schade van een aanval te beperken.
- Detectie en respons: wees voorbereid als het toch misgaat, zowel qua techniek als organisatie. Denk naast anti-virus / anti-malware tooling ook aan monitoring van berichtenverkeer en alerting bij verdachte activiteiten, wat erger kan voorkomen. Maar bereid je personeel ook voor op wat te doen bij welke scenario’s, en test dit. Een adequate respons kan de impact van een aanval beperken en door hierop te testen, kun je ook nog ‘blinde vlekken’ in je beveiliging ontdekken.
Nieuwhuis Consult helpt organisaties bij hun informatiebeveiliging en het treffen van maatregelen tegen cyberaanvallen, bijv. door het adopteren van relevante standaarden zoals ISO 27001, maar ook het uitvoeren van tests van de IT-beveiliging.