Cybercriminaliteit is een onderdeel van ons dagelijks leven geworden en cybercriminelen grijpen elke kans om misbruik te maken van onwetende slachtoffers, met als doel: toegang krijgen tot persoonlijke informatie voor financieel gewin. Opleiding en training in cybersecurity kunnen het verschil maken tussen een geslaagde of een mislukte poging van een cybercrimineel.
Aanvalsmogelijkheden
Cyberaanvallen komen voor in verschillende vormen, maar een van de bekendste is misschien wel “phishing”. Phishing is een verzamelnaam voor aanvallen die meestal in de vorm van een e-mail, chatbericht, advertentie of website komen. Door een gevoel van angst en urgentie te creëren, wordt geprobeerd gevoelige gegevens te verkrijgen, die hackers kunnen gebruiken om te dreigen met het afpersen van geld. Ook deze phishing-aanvallen komen voor in verschillen vormen. Hieronder zijn de tien vormen van phishing (en hoe je je hiertegen kunt wapenen) te vinden
10 soorten phishing aanvallen
-
Phishing E-mail
De meest voorkomende phishing tactiek is het versturen van e-mails. Die zo zijn ontworpen dat het lijkt alsof ze van een betrouwbare bron komen. Ze vragen het slachtoffer de e-mail te beantwoorden of een formulier in te vullen, waarbij persoonlijke gegevens worden verstrekt.
-
Spear-phishing
Bij spear-phishing doen cyberaanvallers zich voor als een persoon of bedrijf die het doelwit goed kent, om toegang te krijgen tot gevoelige informatie en het slachtoffer uit te buiten. Berichten worden meestal verstuurd nadat het doelwit is onderzocht, waardoor de phishingaanval persoonlijker wordt.
-
Whaling phishing
Bij whaling phishing richten cybercriminelen zich op werknemers met een hoge positie binnen een organisatie, met als doel toegang te krijgen tot bedrijfsplatforms of financiële informatie. Door zich voor te doen als een senior medewerker binnen de organisatie proberen ze de geloofwaardigheid te vergroten.
-
Spray-phishing
Cybercriminelen kunnen ook te werk gaan via spray-phishing campagnes. Deze berichten worden naar een groot aantal mensen gestuurd, in de hoop dat een aantal mensen in de phishingmails trapt. Meestal krijgen deze slachtoffers een mail van een bestaand bedrijf dat vraagt om het bijwerken van een wachtwoord of het vernieuwen van creditcardgegevens die zijn verouderd.
-
Ambulance Chasing
Bij ambulance chasing spelen aanvallers in op actuele gebeurtenissen en rampen om slachtoffers te stimuleren actie te ondernemen, zoals doneren aan hulpfondsen voor natuurrampen, oorlogen of de wereldwijde coronapandemie. Er kan dan gevoelige informatie worden achterhaald of geld afhandig worden gemaakt.
-
Pretexting
Het zogenaamde pretexting wordt gezien als een zeer effectieve methode van phishing, omdat mensen sneller het idee hebben dat iets veilig en legitiem is. Cybercriminelen benaderen het slachtoffer via een ander kanaal dan e-mail, waar ze laten weten dat er binnenkort iets wordt gedeeld via de mail. Zo kunnen ze zich bijvoorbeeld als leverancier voordoen aan de telefoon en laten weten dat diegene het contract of een offerte binnenkort per e-mail ontvangt. In de mail wordt verwezen naar het telefonisch contact, waardoor dit betrouwbaarder overkomt op het slachtoffer.
-
Account verlopen/wachtwoord wijzigen
Net als bij andere vormen van phishing, lijkt het alsof deze berichten van een betrouwbare bron komen. Ze vragen om je wachtwoord opnieuw in te stellen en zodra je dit hebt aangepast kan de oplichter met deze gegevens inloggen in het account van het slachtoffer. En laat dit nu net jouw inloggegevens van je bankaccount zijn…
-
Mobile phishing
Bij mobile phishing, ook wel smishing (smashing) genoemd, worden berichten verstuurd die links bevatten naar schadelijke software of toegang geven tot persoonlijke gegevens.
-
Man-in-the-Middle
Dit type cyberaanval is geavanceerder, omdat het e-mails tussen twee mensen onderschept. De aanvaller kan vervolgens e-mails terugsturen naar deze twee mensen, die denken dat ze van elkaar afkomstig zijn. Op deze manier kan de cybercrimineel om privégegevens of bepaalde informatie vragen, waarmee weer fraude gepleegd kan worden.
-
Wi-Fi-Tweeling
Bij de methode genaamd Wi-Fi-tweeling, creëren hackers een Wi-Fi-netwerk dat het adres van een ander netwerk kopieert. Iedereen die verbinding maakt met dit netwerk wordt blootgesteld aan de hackers, waardoor ze toegang krijgen tot wachtwoorden en andere informatie. Dit wordt meestal gedaan in openbare ruimtes zoals coffeeshops, winkelcentra en luchthavens. Niet overal mee verbinden dus!
Hoe kun je je tegen phishing beschermen?
Bovengenoemde voorbeelden zijn slechts tien van de vele manieren waarop cybercriminelen zullen proberen bedrijven en hun onwetende werknemers uit te buiten om toegang te krijgen tot gevoelige informatie. Het is daarom van groot belang om je personeel en organisatie voor te bereiden op cyberaanvallen. Hierbij kun je denken aan:
- Regelmatige training van personeel en klanten (leren van psychologische triggers) en daarnaast het testen op effectiviteit van bestaande trainingen
- Opbouwen van een positieve beveiligingscultuur
- Implementeren van technische maatregelen (e-mailbeveiliging of anti-phishing oplossingen)
Vertrouw je bepaalde mails of links niet? Laat ze dan altijd checken door de IT-afdeling van je bedrijf. Better safe than sorry!
Bron: datto.com
Bekijk alle vormen en begrippen
Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met Cybercrimeinfo.
Meer phishing nieuws
Phishing aanval met Apple AirTag
Securityspecialist Brian Krebs adviseert Apple-gebruikers om op te passen met 'AirTags' die ze op straat vinden. Met de ingebouwde NFC-chip in iPhones kunnen eerlijke vinders achterhalen wie de eigenaar van de verloren AirTag is. Hackers en cybercriminelen kunnen deze feature misbruiken om nietsvermoedende slachtoffers om te leiden naar een phishing-pagina.
15 jarige krijgt jeugddetentie en leerstraf voor phishing en webshop fraude
De rechtbank Amsterdam heeft een vijftienjarige jongen wegens phishing en pakketfraude veroordeeld tot jeugddetentie en een leerstraf. Volgens de rechter maakte de tiener onderdeel uit van een criminele organisatie die slachtoffers maakte op onder andere Marktplaats en 2ehands.be. Slachtoffers werden benaderd via gekaapte en malafide accounts door personen die zich voordeden als kopers en verkopers van op de websites aangeboden goederen.
Phishing-as-a-service: Betalen per phishing aanval of een abonnement?
Verschillende vormen van cybercrime worden als een service aangeboden en phishing is er daar één van. Microsoft ontdekte onlangs een phishing-as-a-service operatie die bij één enkele aanval 300.000 unieke subdomeinen gebruikte. Een tactiek die volgens het techbedrijf steeds populairder wordt bij phishingaanvallen.
Politie hengelt twee verdachten binnen in grote phishingzaak
De politie heeft twee mannen aangehouden die worden verdacht van phishing. Ze deden zich voor als medewerkers van Marktplaats en probeerden in deze hoedanigheid bankgegevens van slachtoffers te ontfutselen. Sommigen van hen raakten enkele duizenden euro’s aan spaargeld kwijt.
Hoe cybercriminelen de antiphishing-oplossingen kunnen omzeilen
Om zakelijke e-mailgegevens van werknemers van een bedrijf te stelen, moeten aanvallers eerst langs de antiphishing-oplossingen op de e-mailservers van het bedrijf zien te komen. Vaak gebruiken ze legitieme webdiensten om niet op te vallen, en steeds vaker gaat het dan om Google Apps Script, een op JavaScript gebaseerd scriptingplatform.
Cybercriminelen worden steeds slimmer in het selecteren van hun doelwitten
Barracuda heeft de zesde editie van zijn spearphishing rapport gepubliceerd, dat laat zien hoe spearphishing aanvallen zich ontwikkelen en welke mensen binnen organisaties het doelwit zijn van deze aanvallen. Het rapport ‘Spear Phishing: Top Threats and Trends Vol. 6 – Insights into attackers’ evolving tactics and who they’re targeting’ biedt inzichten in recente trends op het gebied van spearphishing aanvallen en geeft aan wat organisaties kunnen doen om zich te beschermen. Ook laat het rapport de relatie zien tussen de koers van cryptovaluta en phishing/imitatie aanvallen.
"Iedereen, ongeacht zijn ervaring of kennis van cybersecurity, is vatbaar voor een phishing-aanval"
Uit het phishing-onderzoek van Ivanti blijkt dat 80% van de respondenten een toename ziet van het aantal phishing-pogingen en 85% zegt dat de aanvallen steeds geavanceerder worden. Verder was bij 73% van de respondenten het IT-personeel het doelwit van phishing, waarvan 47% van de pogingen succesvol waren. Nieuwe vormen van oplichting als smishing (phishing via tekstberichten) en vishing (phishing via spraakberichten) zijn sterk in opkomst en specifiek op mobiele gebruikers gericht. Volgens recent onderzoek van Aberdeen hebben aanvallers een hoger succespercentage op mobiele devices dan op servers, en die trend lijkt te verergeren. Inmiddels bedraagt het jaarlijkse financiële risico van een datalek als gevolg van mobiele phishing-aanvallen ongeveer 1,7 miljoen dollar, wat kan oplopen tot een maximum van ongeveer 90 miljoen dollar.
Cybercriminelen proberen via PDF bestanden e-mailgegevens van bedrijven in handen te krijgen
Bij de nieuwste truc van phishers in hun pogingen om e-mailgegevens van bedrijven in handen te krijgen gaat het om meldingen die van online diensten van Adobe afkomstig zouden zijn. En omdat ze begonnen zijn met het gebruik van een online pdf-bestand (dat zogenaamd op de website van Adobe staat), hebben we een echt bestand gemaakt om de tekenen van een phishing-e-mail en een valse “online pdf” hier te bespreken.
Phishing meest voorkomende start cyberincident bij middelgrote en kleine bedrijven
Een cyberaanval op middelgrote en kleine bedrijven (MKB) heeft ernstige gevolgen voor de bedrijfsvoering. De helft van de ondernemers vreest dat zo’n aanval het einde van zijn bedrijf betekent. De grootste bedreiging voor het MKB is echter geen cyberaanval, maar phishing.
OM: "Door cybercrime en de panels van de verdachte is het vertrouwen in het betalingsverkeer teruggelopen"
Het Openbaar Ministerie eist vier jaar cel en een boete van 50.000 euro tegen een 20-jarige man uit Almelo. Hij leverde phishing panels aan cybercriminelen waarop professioneel ogende nepsites van banken draaiden. De officier van justitie beschouwt hem als een ‘belangrijke facilitator’ van cybercrime.
Phishers voegen maar liefst 12 banken toe om het echt te laten lijken
Wie zaken doet via Marktplaats, moet altijd op zijn hoede zijn als een (ver)koper vraagt om een rekeningnummer te verifiëren. In een nieuwe variant van deze oplichtingstruc hebben oplichters een levensechte website van betaaldienst Tikkie nagebouwd. Slechts aan de url kun je zien dat je met een nepsite te maken hebt. Let je even niet op? Dan is je rekening binnen de kortste keren geplunderd.
Criminelen zijn creatief: Verificatieverzoek via Marktplaats
Er is een nieuwe variant opgedoken van de oplichtingstruc waarbij je via WhatsApp een Marktplaats-verificatieverzoek moet voltooien. De layout van de nagemaakte 'Marktplaats'-website is anders dan gebruikelijk, maar wel levensecht wat betreft zaken als huisstijl. Dit keer hopen oplichters klanten van maar liefst elf banken ertoe te verleiden om inloggegevens voor internetbankieren af te staan, met alle schadelijke gevolgen van dien. Zo herken je deze site.