De coronacrisis brengt niet alleen maar ellende met zich mee. Zo heeft men meer waardering voor de vrijheid, is er een groter gevoel van saamhorigheid ontstaan en schieten de hulpinitiatieven uit de grond. Toch is het in troebel water goed vissen en zien cybercriminelen hun kans schoon om meer buit te maken. Het aantal corona-gerelateerde phishing mails is zodoende explosief gestegen. Wat kun je daartegen doen als organisatie?
Wat is phishing?
Phishing is een verzamelnaam voor een vorm van internetfraude met als doel om (persoons)gegevens en uiteindelijk financieel voordeel te verkrijgen. Met ‘spear phishing’ worden mails verstuurd naar een groep mensen van een bekende organisatie, bijvoorbeeld veronderstelde Facebookgebruikers over hun nieuwsoverzicht. Bij ‘whaling’ wordt achter de grote vissen aangegaan door specifiek de personen in een organisatie te targetten die wat te zeggen hebben over het geld. Vaak wordt bij phishing een mail of omgeving in elkaar gezet die eruitziet alsof deze afkomstig is van een vertrouwde dienstverlener of van (een hooggeplaatst) iemand van jouw organisatie, maar dat is het natuurlijk niet. Trap er niet in!
Hoe kun je schade voorkomen?
Stap 1 van het voorkomen van schade door phishing is om altijd de (mail- en browser)software up-to-date te houden. Bekende aanvallen worden vaak standaard geblokkeerd. Ook dienen ontvangers bij elke mail te controleren of deze daadwerkelijk van een vertrouwde organisatie, verzender en mailadres afkomstig is. Mailadressen kunnen makkelijk gefaked worden, dus let ook bij het beantwoorden van mails goed op of deze naar het juiste adres gaan.
Is phishing een datalek?
Zoals we eerder ook schreven, is een datalek – kort gezegd – een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot een verkeerde verwerking van persoonsgegevens. Komen persoonsgegevens in onbevoegde handen, dan is sprake van een datalek. En dus ook wanneer dat gebeurt met phishing. In 2019 werden er zo’n 27.000 datalekken gemeld bij de Autoriteit Persoonsgegevens (AP), een toename van 29% ten opzichte van 2018. Opvallend in de jaarrapportage van de AP was dat het aantal meldingen naar aanleiding van hacking, phishing en malware-incidenten met een kwart is toegenomen ten opzichte van 2018. Vooral grotere, zakelijke organisaties die veel persoonsgegevens verwerken, lijken slachtoffer te worden. De AP geeft ook aan dat een datalek door phishing over het algemeen leidt tot een hoog risico voor de betrokkenen. De gegevens kunnen namelijk gebruikt worden voor een nieuwe aanval. Betrokkenen dienen dus snel te worden geïnformeerd.
Awareness
Naast het up-to-date houden van de software, dienen medewerkers dus oplettend te zijn in het controleren van hun mails en andere online berichten. Daarvoor is het belangrijk dat medewerkers weten wat phishing is, hoe ze een phishing bericht herkennen en wat ze moeten doen als ze zo’n bericht ontvangen, of erger: als ze op een link klikken en gegevens achterlaten. Zorg daarom voor awareness binnen de organisatie, en dat medewerkers weten bij wie ze terecht kunnen als het toch fout gaat. Stuur bijvoorbeeld eens een test phishing mail rond (tip: niet zoals ABN Amro), om te kijken hoe medewerkers reageren op een phishing mail. Dit kan de IT-afdeling opzetten, of een externe partij kan dit verzorgen. Meer informatie over hoe je een nep phishing mail kan opzetten? Neem dan contact op met één van onze specialisten.
