Cybercriminelen hebben een nieuw doelwit: marketeers
AI maakt phishingcampagnes steeds overtuigender en marketingteams blijken daarbij een aantrekkelijk doelwit. Aanvallers lokken marketeers met neppe AI-tools, vacatures en professioneel ogende websites om toegang te krijgen tot advertentieaccounts en bedrijfsgegevens.
Jarenlang waren IT- en finance-afdelingen populaire doelwitten van phishingaanvallen. Inmiddels zien Maresa Vermulst en Stijn Huijsmans van Northwave Cyber Security dat ook marketingteams steeds vaker in het vizier komen. Dat heeft alles te maken met de manier waarop marketeers werken én met de groeiende populariteit van generatieve AI.
Vermulst en Huijsmans zijn threat-analisten bij Northwave. Zij monitoren onder andere bedrijfssystemen van klanten en houden zich dagelijks bezig met securitymeldingen, onderzoeken verdachte activiteiten en zoeken proactief naar signalen die kunnen wijzen op aanvallers. Vermulst richt zich daarnaast op de kwaliteit en effectiviteit van detecties. Volgens de twee experts is er duidelijk een verschuiving zichtbaar in de manier waarop phishingcampagnes worden opgezet. De aanvallen zijn professioneler, beter gepersonaliseerd en sluiten steeds vaker aan bij actuele ontwikkelingen.
AI als lokaas
Opvallend is dat aanvallers de populariteit van AI gebruiken als lokmiddel. In plaats van de traditionele phishingmails, zetten ze fictieve AI-platformen in die beloven marketingwerk te automatiseren. Via advertenties, zoekmachines of e-mails worden marketeers naar professioneel ogende websites geleid. Wie daar probeert in te loggen, komt vervolgens op een nagemaakte inlogpagina terecht waar de gegevens worden buitgemaakt.
Northwave zag onlangs campagnes waarin marketeers werden verleid met websites die beloofden dat AI zelfstandig dynamische advertentiecampagnes kon uitvoeren. De timing daarvan is volgens Huijsmans bewust gekozen. “Hackers plannen dat heel slim, precies rond de week dat OpenAI zei dat ze iets met advertenties ging doen. In de mail stond ook heel specifiek dat je dynamische campagnes kunt laten runnen door AI. Dat is natuurlijk heel aantrekkelijk voor een marketeer.”
De aantrekkingskracht van AI maakt deze aanpak extra effectief. Er verschijnen voortdurend nieuwe AI-diensten en startups, waardoor het voor gebruikers lastig is om te bepalen welke platforms daadwerkelijk bestaan. Tegelijkertijd kunnen aanvallers AI gebruiken om overtuigende teksten en websites te maken en hun campagnes snel aan te passen. “AI verlaagt de drempel om overtuigende phishingcampagnes en frauduleuze websites op te zetten,” zegt Vermulst. “Aanvallers kunnen sneller experimenteren en hun aanpak aanpassen, net zolang totdat ze succes hebben.”
Waarom marketeers?
Dat marketingteams interessant zijn voor aanvallers is volgens de analisten geen toeval. Marketeers werken veel met externe platforms, onderhouden zakelijke contacten en staan vanuit hun functie vaak open voor nieuwe tools en diensten. Bovendien zijn advertentieaccounts waardevol. Google Ads-, Meta Ads- en andere marketingaccounts kunnen aanzienlijke budgetten bevatten en toegang bieden tot bedrijfsinformatie en betaalgegevens. Met een gekaapt account kunnen aanvallers bovendien advertenties verspreiden of advertentiebudgetten inzetten voor hun eigen campagnes.
“De aanvallers zijn op zoek naar marketingbudget om hun eigen campagnes te promoten. Ze gebruiken daarvoor het budget en de reputatie van het slachtoffer,” vertelt Huijsmans. “Maar met het gekaapte account is het soms ook mogelijk om toegang te krijgen tot andere bedrijfsaccounts, of de gestolen accounts worden op het dark web doorverkocht. Het is dus niet alleen het marketingbudget dat gevaar loopt.”
Bewustwording alleen is niet genoeg
Volgens Huijsmans moeten organisaties hun aanpak van security awareness daarom aanpassen. Traditionele phishingtests sluiten vaak onvoldoende aan op de huidige werkelijkheid. Naast bewustwording zijn technische maatregelen en monitoring belangrijk. Organisaties kunnen bijvoorbeeld kritisch kijken naar welke apparaten toegang hebben tot interne systemen en onder welke voorwaarden.
Ook kunnen medewerkers zelf controles uitvoeren voordat zij nieuwe diensten gebruiken. Denk aan het controleren van bedrijfsgegevens, de registratiedatum van een domein en de reputatie ervan. Een relatief nieuw domein dat nog nauwelijks online sporen heeft, kan bijvoorbeeld aanleiding zijn om extra voorzichtig te zijn. “Je kan altijd een extra controle doen via virustotal.com, dan weet je vrij zeker of het goed of fout zit”, legt Vermulst uit.
Daarnaast is het ook heel belangrijk dat er geen situatie ontstaat waarin medewerkers bang zijn om een fout toe te geven. “Creëer een veilige sfeer, een cultuur waarin het niet uitmaakt dat iemand op een phishinglinkje heeft geklikt. Zorg ervoor dat er geen ‘naming en shaming’-cultuur ontstaat, want dan melden mensen het niet meer.” Die meldingsbereidheid is volgens haar juist essentieel. Ook securityprofessionals kunnen worden verrast door een goed opgebouwde aanval. “Soms zitten phishinglinks op een venijnige plek. Ik ontdekte zo’n gevaarlijke link onder de ‘afmelden’-knop van een nieuwsbrief die vaak gestuurd werd. Dat was even schrikken, zelfs ik verwachte het daar niet.”
AI als geloofwaardig lokmiddel: waar moeten marketeers op letten?
Northwave adviseert marketingteams om extra kritisch te zijn bij nieuwe AI-platformen en online aanbiedingen. Een paar signalen verdienen extra aandacht: 1. Wordt er direct om een login gevraagd zonder dat duidelijk is wat de dienst precies doet? Dan is voorzichtigheid geboden. 2. Belooft een AI-tool volledige marketingautomatisering zonder uitleg over privacy, beveiliging of AVG-compliance? Dat is een rode vlag. 3. Controleer altijd zorgvuldig de URL voordat je inlogt bij diensten als ChatGPT, Claude of andere AI-platformen. Nepwebsites lijken vaak sterk op het origineel. 4. Ontvang je een aanbieding vanaf een domein dat pas kortgeleden is geregistreerd? Controleer de website dan eerst via een dienst als VirusTotal.com voordat je gegevens invoert.
Lees ook
Deel dit bericht
Loading