First click here and then choose your language with the Google translate bar at the top of this page ↑
Cybercriminaliteit is een kat-en-muisspel. Hoewel er nog steeds op grote groepen potentiële slachtoffers wordt geschoten met hagel (spray-aanval), worden gerichte phishing-aanvallen (spear-aanval) steeds geavanceerder. Aanvallers richten zich op de menselijke factor en maken gebruik van de nieuwste social engineering-technieken.
Onlangs heb ik veel voorbeelden gezien van geslaagde phishing-aanvallen die ongelooflijk geraffineerd waren. Cybercriminelen slaagden erin hun slachtoffers met duistere en creatieve methoden te misleiden. Inspelen op de emoties van werknemers of gebruik maken van zwakke plekken in de beveiligingscultuur van de organisatie was het recept tot succes.
Clone phishing
Een phishingmethode die dit jaar in popularuiteit toe neemt heet 'clone phishing'. Een heel geniepige methode waar nog veel internetgebruikers de mist in gaan. Hierbij krijgt een ontvanger een e-mail van een bedrijf of zakenrelatie waar hij vaker e-mails van ontvangt. Er is sprake van clone phishing als de gebruiker kort na het ontvangen van zo’n email nog een tweede e-mail krijgt, omdat de bijlage was vergeten of omdat er niet de juiste link in het bericht stond. Deze tweede e-mail is echter niet van de originele afzender, maar van internetcriminelen die toegang hebben tot een e-mailaccount van de organisatie waar de ontvanger toe behoort. Zij klonen als het ware het originele bericht, maar zetten er nu kwaadaardige links of bijlages in. Door het e-mailadres van de originele afzender te spoofen, heeft de ontvanger niet snel door dat het tweede bericht een phishingmail of malwaremail is.
De 6 meest voorkomende phishing methodes
1. Basic phishing
De standaard phishing-methode om persoonlijke data, financiële gegevens, gebruikersnamen en wachtwoorden te verwerven is door voor te doen komen alsof de boodschapper een betrouwbare partij is. Basic phishing-aanvallen zijn in het algemeen verkennend van aard en gericht op een breed publiek. Criminelen proberen een potentieel slachtoffer te overtuigen via vermomde hyperlinks of bijlagen in de emails.
2. Spear phishing
In tegenstelling tot gewone phishing is spear phishing gericht op een specifieke groep, organisatie of zelfs een persoon. Het doel is zo onopvallend mogelijk in te breken op een bedrijfsnetwerk. Cybercriminelen doen zich voor als bekende partijen of personen van organisaties die specifiek bekend zijn in de wereld van het doelwit. Daarbij wordt gebruik gemaakt van geavanceerde technieken zoals e-mailspoofing en social engineering.
Links in spear phishing-emails kunnen koppelingen bevatten naar drive-by downloads en bijlagen van Word, PowerPoint of Excel. Deze techniek is veruit de meest succesvolle op het internet vandaag, goed voor 91% van alle Advanced Persistent Threat-aanvallen volgens Microsoft.
3. Clone phishing
Hierbij wordt gebruikgemaakt van een echte (lees: legitieme) email die gekloond of aangepast is en opnieuw verstuurd wordt met bijvoorbeeld een malafide bijlage. Ontvanger heeft de indruk dat het om een update gaat van een vorige legitieme versie. De email lijkt te komen van hetzelfde verzendadres als het gekloonde origineel (dankzij ´spoofing´). Deze techniek kan onder meer toegepast worden als een aanvaller al in het netwerk van het slachtoffer is binnengedrongen, waardoor ze beiden de oorspronkelijke email hebben ontvangen.
4. Whaling
Whaling is een methode van phishing specifiek gericht op senior executives en andere high profile personen binnen bedrijven. Deze tactiek wordt ook gebruikt bij beroemdheden en politici. Tegenwoordig is het heel makkelijk om te zien welke functie iemand heeft; sites als Linkedin geven dit perfect weer. Niet zelden inclusief contactgegevens.
5. Vishing
In tegenstelling tot phishing, waarbij nietsvermoedende gebruikers verleid worden tot het klikken op een gevaarlijke link in een email, werkt vishing via VOIP-telefonie. Zo bellen criminelen met de mededeling dat er een beveiligingsprobleem is opgetreden. Ze sturen geen mailtjes maar bellen het slachtoffer meteen op. Omdat het VOIP is, kun je de 'caller ID' manipuleren zodat het lijkt alsof je door een legitieme organisatie wordt gebeld, synchroon aan clone phishing. Je wordt dan verzocht om de bank of creditcardmaatschappij te bellen om de creditcard opnieuw te activeren. Of een voertuiggarantiebedrijf belt je met de boodschap dat je autogarantie is verlopen en moet worden vernieuwd of wat momenteel zeel veel voorkomt is dat de bank belt over vreemde transacties op de rekening of te wel bankhelpdesk fraude.
6. Smishing
Deze tactiek wordt voornamelijk gehanteerd op mobiele telefoons en maakt gebruik van SMS-berichten die URL's of telefoonnummers bevatten. Het telefoonnummer verwijst vaak naar een geautomatiseerd voiceresponsesysteem en verzoekt je, net als phishing, om onmiddellijk vanwege een probleem actie te ondernemen. De berichten lijken van een bank of een webwinkel afkomstig en vertellen je dat er iets mis is met je account. Je wordt gevraagd om je accountgegevens te controleren.
Meer info over phishing of alle begrippen en vormen van A tot Z
Meer phishing nieuws
"Iedereen, ongeacht zijn ervaring of kennis van cybersecurity, is vatbaar voor een phishing-aanval"
Uit het phishing-onderzoek van Ivanti blijkt dat 80% van de respondenten een toename ziet van het aantal phishing-pogingen en 85% zegt dat de aanvallen steeds geavanceerder worden. Verder was bij 73% van de respondenten het IT-personeel het doelwit van phishing, waarvan 47% van de pogingen succesvol waren. Nieuwe vormen van oplichting als smishing (phishing via tekstberichten) en vishing (phishing via spraakberichten) zijn sterk in opkomst en specifiek op mobiele gebruikers gericht. Volgens recent onderzoek van Aberdeen hebben aanvallers een hoger succespercentage op mobiele devices dan op servers, en die trend lijkt te verergeren. Inmiddels bedraagt het jaarlijkse financiële risico van een datalek als gevolg van mobiele phishing-aanvallen ongeveer 1,7 miljoen dollar, wat kan oplopen tot een maximum van ongeveer 90 miljoen dollar.
Cybercriminelen proberen via PDF bestanden e-mailgegevens van bedrijven in handen te krijgen
Bij de nieuwste truc van phishers in hun pogingen om e-mailgegevens van bedrijven in handen te krijgen gaat het om meldingen die van online diensten van Adobe afkomstig zouden zijn. En omdat ze begonnen zijn met het gebruik van een online pdf-bestand (dat zogenaamd op de website van Adobe staat), hebben we een echt bestand gemaakt om de tekenen van een phishing-e-mail en een valse “online pdf” hier te bespreken.
Phishing meest voorkomende start cyberincident bij middelgrote en kleine bedrijven
Een cyberaanval op middelgrote en kleine bedrijven (MKB) heeft ernstige gevolgen voor de bedrijfsvoering. De helft van de ondernemers vreest dat zo’n aanval het einde van zijn bedrijf betekent. De grootste bedreiging voor het MKB is echter geen cyberaanval, maar phishing.
OM: "Door cybercrime en de panels van de verdachte is het vertrouwen in het betalingsverkeer teruggelopen"
Het Openbaar Ministerie eist vier jaar cel en een boete van 50.000 euro tegen een 20-jarige man uit Almelo. Hij leverde phishing panels aan cybercriminelen waarop professioneel ogende nepsites van banken draaiden. De officier van justitie beschouwt hem als een ‘belangrijke facilitator’ van cybercrime.
Phishers voegen maar liefst 12 banken toe om het echt te laten lijken
Wie zaken doet via Marktplaats, moet altijd op zijn hoede zijn als een (ver)koper vraagt om een rekeningnummer te verifiëren. In een nieuwe variant van deze oplichtingstruc hebben oplichters een levensechte website van betaaldienst Tikkie nagebouwd. Slechts aan de url kun je zien dat je met een nepsite te maken hebt. Let je even niet op? Dan is je rekening binnen de kortste keren geplunderd.
Criminelen zijn creatief: Verificatieverzoek via Marktplaats
Er is een nieuwe variant opgedoken van de oplichtingstruc waarbij je via WhatsApp een Marktplaats-verificatieverzoek moet voltooien. De layout van de nagemaakte 'Marktplaats'-website is anders dan gebruikelijk, maar wel levensecht wat betreft zaken als huisstijl. Dit keer hopen oplichters klanten van maar liefst elf banken ertoe te verleiden om inloggegevens voor internetbankieren af te staan, met alle schadelijke gevolgen van dien. Zo herken je deze site.