Cybercriminelen hebben een nieuwe truc: ze maken misbruik van je dagelijkse gewoontes

Cybercrime29 okt , 13:04doorJeroen de Hooge

We weten inmiddels allemaal dat je niet zomaar op verdachte links moet klikken en dat je moet oppassen met onbekende afzenders. Maar wat als een cyberaanval helemaal niet verdacht lijkt? Wat als de website die je bezoekt er precies zo uitziet als je gewend bent, de afzender bekend is en de handeling die je moet uitvoeren volkomen logisch voelt? Juist daar ligt volgens nieuw onderzoek van HP een steeds groter probleem. Cybercriminelen maken namelijk niet alleen misbruik van onze fouten, maar vooral van onze dagelijkse gewoontes.

Uit onderzoek dat HP heeft laten uitvoeren onder 1.051 Nederlandse kantoormedewerkers blijkt dat maar liefst 83 procent dagelijks minstens één digitale handeling op de automatische piloot uitvoert. Denk aan het beantwoorden van een bericht van een collega, het openen van een e-mail of het inloggen op een vertrouwde website. Het zijn handelingen waar we nauwelijks meer bij nadenken, omdat ze onderdeel zijn geworden van onze dagelijkse routine.

Precies die vanzelfsprekendheid proberen cybercriminelen steeds vaker uit te buiten. Ze ontwerpen aanvallen die niet opvallen doordat iets vreemd aanvoelt, maar juist doordat alles vertrouwd lijkt.

Zelfs een nagemaakte Word-installatie herkennen we niet

Een van de opvallendste resultaten uit het onderzoek is hoe moeilijk werknemers het vinden om echte en nagemaakte digitale omgevingen van elkaar te onderscheiden. De onderzoekers lieten verschillende voorbeelden van vervalste websites en softwarepagina's zien. Vervolgens moesten deelnemers aangeven of ze met een echte of nagemaakte pagina te maken hadden. Vooral bij een nagemaakte installatiepagina van Microsoft Word bleken veel deelnemers moeite te hebben om de vervalsing te herkennen.

Slechts 38,7 procent herkende de pagina als nep. De overige 61,2 procent dacht dat de pagina echt was of wist het niet zeker. Ook een vervalste Google-pagina, waarbij gebruikers werden gevraagd zelf een opdracht uit te voeren, werd door bijna een derde niet als nep herkend. Dat betekent overigens niet dat al deze mensen daadwerkelijk slachtoffer zouden worden van een cyberaanval, maar het laat wel zien hoe overtuigend dergelijke vervalsingen inmiddels kunnen zijn.

Dat is zorgwekkend, omdat cybercriminelen vergelijkbare technieken daadwerkelijk gebruiken om malware te verspreiden. Een installatieprogramma dat eruitziet als vertrouwde software kan in werkelijkheid schadelijke code bevatten. En een website die vraagt om een eenvoudige beveiligingscontrole kan gebruikers verleiden om zelf een gevaarlijke opdracht op hun computer uit te voeren. Volgens gedragswetenschapper Florien Cramwinckel, die samen met HP een whitepaper over het onderwerp ontwikkelde, zit het probleem vooral in de manier waarop ons brein werkt.

"We zijn gewend om gevaar te zoeken in wat afwijkt. Maar bij handelingen die we iedere dag uitvoeren, gaan we juist op de automatische piloot. Als criminelen die routine overtuigend weten na te bootsen, verdwijnt precies het signaal waarop mensen hebben geleerd alert te zijn."

Vertrouwen in collega's maakt ons kwetsbaar

Niet alleen websites en software worden overtuigend nagemaakt. Cybercriminelen spelen ook in op onze sociale gewoontes en het vertrouwen dat we hebben in mensen met wie we dagelijks samenwerken. Zo geeft 64 procent van de onderzochte werknemers aan dat een bekende afzender een belangrijke aanwijzing is dat een digitaal bericht betrouwbaar is. Dat klinkt logisch, want wanneer je een e-mail ontvangt van een collega met wie je dagelijks contact hebt, ben je waarschijnlijk minder kritisch dan wanneer een onbekende je iets toestuurt.

Toch is dat precies het vertrouwen waarvan aanvallers proberen te profiteren. Een bericht dat afkomstig lijkt van je leidinggevende, een gedeeld document van een collega of een verzoek van de financiële afdeling kan voldoende zijn om iemand in beweging te krijgen. Zeker wanneer het verzoek aansluit op werkzaamheden die iemand toch al uitvoert. Het onderzoek laat bovendien zien dat 66 procent van de werknemers berichten van bekende collega's regelmatig beantwoordt zonder daar uitgebreid bij stil te staan. Ook het openen van e-mails (61 procent) en inloggen op vertrouwde websites (59 procent) gebeurt vaak automatisch.

Opvallend is dat geen enkele leeftijds- of opleidingsgroep consequent beter blijkt in het herkennen van digitale oplichting. Hoogopgeleiden herkenden bijvoorbeeld een nagemaakte OneDrive-inlogpagina vaker als nep dan laagopgeleiden, terwijl middelbaar opgeleiden juist beter scoorden bij de vervalste Word-installatiepagina. Digitale ervaring of een hogere opleiding biedt dus geen garantie dat iemand een overtuigende aanval herkent. Vermoeidheid, tijdsdruk en de dagelijkse werkdruk kunnen ervoor zorgen dat iedereen op het verkeerde moment een verkeerde beslissing neemt.

QR-codes en beveiligingscontroles zijn niet altijd veilig

De nieuwste dreigingsanalyses van HP Wolf Security laten zien hoe cybercriminelen steeds slimmer inspelen op bestaande veiligheidsroutines. Zo ontdekte HP een aanval waarbij een PDF-document slachtoffers via een QR-code naar een ogenschijnlijk normale authenticatiestap op hun smartphone leidde. Het wisselen van apparaat voelt voor veel gebruikers als een extra beveiligingsmaatregel, maar kan in werkelijkheid juist een manier zijn om beveiligingssystemen op de zakelijke computer te omzeilen.

Ook andere vertrouwde handelingen worden misbruikt. Denk aan het installeren van een AI-tool die achteraf malware blijkt te bevatten, of een website die gebruikers vraagt een opdracht te kopiëren en uit te voeren. Deze laatste techniek staat bekend als ClickFix en maakt misbruik van het idee dat de gebruiker zelf een technisch probleem of beveiligingscontrole moet oplossen. Omdat de instructies vaak professioneel ogen en logisch lijken, kunnen slachtoffers ongemerkt zelf de schadelijke handeling uitvoeren.

Een ander opvallend onderzoeksresultaat is dat 42 procent van de werknemers een extra beveiligingsstap, zoals een verificatiecode of CAPTCHA, beschouwt als een teken van betrouwbaarheid. Maar ook cybercriminelen kunnen dergelijke controles nabootsen. Sterker nog, door een extra beveiligingsstap toe te voegen, kunnen ze hun aanval juist geloofwaardiger maken. Dat maakt traditionele waarschuwingen over verdachte links en onbekende afzenders steeds minder toereikend. Een aanval hoeft er tegenwoordig helemaal niet meer verdacht uit te zien om gevaarlijk te zijn.

Eerst checken > dan beslissen.

DIS ME NIET: vijf momenten waarop je extra moet opletten

Volgens Cramwinckel heeft het weinig zin om werknemers te vertellen dat ze voortdurend op hun hoede moeten zijn. Dat is simpelweg niet vol te houden. Onze dagelijkse routines bestaan immers omdat ze ons helpen sneller en efficiënter te werken. Wanneer we bij iedere e-mail, website of handeling uitgebreid moeten nadenken over mogelijke gevaren, zou een normale werkdag behoorlijk ingewikkeld worden. De oplossing ligt daarom niet in voortdurend wantrouwen, maar in het herkennen van specifieke momenten waarop een korte controle verstandig is.

Daarvoor ontwikkelde Cramwinckel de geheugensteun DIS ME NIET. Die richt zich op vijf digitale handelingen waarbij cybercriminelen regelmatig proberen toe te slaan: downloaden, inloggen, scannen, wisselen naar een mobiel apparaat en het inschakelen van extra functies of rechten. Het uitgangspunt is dat je juist bij deze handelingen even uit de automatische piloot stapt en controleert of het verzoek daadwerkelijk klopt.

D – Downloaden: controleer of bestanden en programma's afkomstig zijn van een officiële website.
I – Inloggen: gebruik bij voorkeur je eigen bladwijzer of de officiële app in plaats van een toegestuurde link.
S – Scannen: controleer bij QR-codes altijd het webadres waarnaar je wordt doorgestuurd.
M – Mobiel wisselen: wees alert wanneer je plotseling wordt gevraagd een handeling op een ander apparaat uit te voeren.
E – Enable: schakel niet zomaar macro's, extra functies of toegangsrechten in wanneer een document daarom vraagt.

Het idee achter deze aanpak is eenvoudig. Je hoeft niet iedere digitale handeling uitgebreid te onderzoeken, maar moet wel herkennen wanneer een ogenschijnlijk normale handeling extra risico met zich meebrengt. Verwachtte je bijvoorbeeld dat je opnieuw moest inloggen? Waarom vraagt een document om extra rechten? En klopt het dat je voor een beveiligingscontrole ineens je smartphone moet gebruiken? Door juist op die momenten kort stil te staan, kun je voorkomen dat een vertrouwde routine ongemerkt verandert in een beveiligingsrisico.

Een verkeerde klik mag niet meteen een ramp worden

Misschien wel de belangrijkste conclusie uit het onderzoek is dat bedrijven niet uitsluitend op hun werknemers kunnen vertrouwen om cyberaanvallen te voorkomen. Zelfs iemand die alle beveiligingstrainingen heeft gevolgd, kan een overtuigende phishingmail of nagemaakte website verkeerd beoordelen. Volgens HP moeten organisaties er daarom vanuit gaan dat een medewerker vroeg of laat een verkeerde handeling uitvoert. De beveiliging moet zo zijn ingericht dat zo'n fout niet automatisch leidt tot een geslaagde aanval.

Daarom pleit HP voor een combinatie van bewustwording, technische beveiliging en goede herstelprocedures. Verdachte websites en bestanden kunnen bijvoorbeeld in een afgeschermde omgeving worden geopend, zodat eventuele malware niet direct toegang krijgt tot het apparaat of bedrijfsgegevens. Daarnaast blijven software-updates, sterke authenticatie en goed ingestelde toegangsrechten belangrijk. Het gaat er uiteindelijk om dat verschillende beveiligingslagen elkaar aanvullen en dat niet alles afhankelijk is van één oplettende werknemer.

Ook de voorbereiding op incidenten verdient volgens de onderzoekers meer aandacht. Hoewel 86 procent van de werknemers uit zichzelf aangeeft een vermoedelijk phishingincident te melden, weten veel minder mensen welke aanvullende stappen nodig kunnen zijn. Slechts ongeveer 2 procent noemt het verbreken van de netwerkverbinding. Een vergelijkbaar percentage denkt eraan om zelf een account of actieve sessie te beveiligen. Bovendien noemt slechts 2 procent van de deelnemers meer dan één van de vier onderzochte herstelmaatregelen.

Dat betekent niet automatisch dat werknemers na een incident niets ondernemen. Wel laat het zien dat veel mensen voor het vervolg sterk afhankelijk zijn van hun IT-afdeling. Organisaties doen er daarom verstandig aan om niet alleen te oefenen met het herkennen van phishing, maar ook met de stappen die medewerkers moeten zetten wanneer ze vermoeden dat er iets is misgegaan. Hoe sneller een incident wordt gemeld en ingeperkt, hoe kleiner de kans dat een aanvaller verdere schade kan aanrichten.

Cybersecurity moet rekening houden met menselijk gedrag

Het onderzoek maakt duidelijk dat cybercriminaliteit niet langer uitsluitend draait om technische kwetsbaarheden of medewerkers die onvoldoende opletten. Aanvallers begrijpen steeds beter hoe mensen werken en passen hun methoden daarop aan. Ze maken gebruik van vertrouwen, gemak en gewoontes die we in de loop der jaren hebben opgebouwd. Zelfs beveiligingsmaatregelen die ooit bedoeld waren om ons te beschermen, kunnen onderdeel worden van een overtuigende aanval.

Dat is misschien wel de grootste uitdaging voor bedrijven. We kunnen werknemers blijven trainen om verdachte berichten te herkennen, maar wanneer aanvallen steeds overtuigender worden, is het onrealistisch om te verwachten dat niemand ooit nog een fout maakt. Goede cybersecurity moet daarom niet alleen voorkomen dat iemand verkeerd klikt, maar ook zorgen dat de gevolgen van zo'n klik beperkt blijven. Met technische bescherming, duidelijke meldprocedures en herstelmogelijkheden kunnen organisaties voorkomen dat één verkeerde handeling uitgroeit tot een groot beveiligingsincident.

Voor werknemers blijft de belangrijkste les ondertussen verrassend eenvoudig. Juist wanneer een digitale handeling volkomen vertrouwd voelt, kan het verstandig zijn om heel even te controleren of alles daadwerkelijk klopt. Want cybercriminelen rekenen er steeds vaker op dat we dat niet doen.