‘Politievrijwilliger zette de deur open voor hackers’, kopte dagblad De Telegraaf vorige week. Het bericht ging over de recente hack bij de Nederlandse politie, waarbij contactgegevens van alle 63.000 medewerkers gestolen werden. De daders worden gezocht in Rusland en de krant tekende uit anonieme politiebronnen op dat kwaadwillenden binnenkwamen nadat iemand in een phishingmail was getuind.
Als je niet beter zou weten, lijkt het alsof het datalek te wijten is aan één individu, dat vervolgens alle kritiek over zich uitgestort krijgt.
„De kop had moeten zijn: ‘Fout van het management zette deur open voor criminelen’, zegt cyberexpert Fleur van Leusden. Zij is een ervaren ciso (chief information security officer) die ook voor overheidsdiensten werkt. Ze deelde haar ergernis op LinkedIn en kreeg veel bijval: de schuldvraag moet je niet meteen op de werkvloer zoeken. Begin eerst maar eens in de directiekamer.
Van Leusden vindt het „niet zo boeiend” wie er op dat foute linkje klikte. „Een hack is zelden de schuld van een individuele medewerker – tenzij iemand bewust de boel saboteert. Belangrijker is: wie heeft bedacht dat het een goed idee is dat een politievrijwilliger bij het hele adresboek van alle medewerkers kan?”
Niet alleen politievrijwilligers of beroepsagenten trappen in nepmails. Ook experts en managers laten zich beetnemen. Het overkomt één op de tien Nederlanders van 15 jaar en ouder, volgens de nieuwe overheidscampagne ‘Laat je niet interneppen’. Oktober is uitgeroepen tot cybersecuritymaand; om de bewustwording er in te rammen staat het persbericht vol verontrustende cijfers. Zo hadden in 2023 twee op de drie Nederlanders te maken met mails of berichten van oplichters.
Fleur van Leusden heeft een voorbeeld uit eigen keuken. Ze liet tijdens een conferentie een zaal vol beveiligingsexperts twee mails zien, één echt en één nep. „De helft van de zaal dacht dat de echte mail nep was, en de nep-mail legitiem. Ik zei: ‘jongens, wij zijn experts en zelfs wij weten het niet. Hoe kunnen we van Truus van de receptie verwachten dat zij elke email aan een forensisch onderzoek onderwerpt?”
Het slechte nieuws: techverslaggevers tuinen ook in een zinnetje als ‘Hi Marc, klopt deze foto op je LinkedIn-profiel?’
De ‘stagiair’ heeft het gedaan
In een interne brief drukte korpschef Janny Knol de politievrijwilligers deze week op het hart dat „vingerwijzen op geen enkele manier het standpunt van de organisatie is.” De aandacht vestigen op één persoon die op een foute link klikt, verhult wat er echt mis is. Dat is een naar trekje van gehackte bedrijven. Neem SolarWinds: via de netwerksoftware van dit bedrijf braken hackers in 2019 in bij Amerikaanse overheidsinstanties. SolarWinds weet dit aan een stagiair die het wachtwoord ‘solarwinds123’ voor de updateserver bedacht. Dat dit slappe wachtwoord jarenlang ongewijzigd bleef, lag natuurlijk niet aan de stagiair.
Of deze: de hack bij kredietbeoordelaar Equifax, waarbij in 2017 financiële data van 147 miljoen Amerikanen gestolen werd, was volgens de topman te wijten aan één medewerker die verzuimde een veiligheidsupdate te installeren. In werkelijkheid had het bedrijf een jarenlange achterstand in softwareonderhoud.
Het ict-systeem van de politie lijkt niet foolproof. De ‘Global Address List’ van Microsoft Outlook die de hackers buitmaakten, had volgens kenners beter afgeschermd kunnen worden.
Je kunt de contactgegevens inzien en verzamelen, door stuk voor stuk alle 63.000 visitekaartjes open te klappen. „Hackers gebruiken scripts die dat geautomatiseerd doen”, legt beveiligingsexpert Inge Bryan uit. Ze leidde in het verleden onder meer Fox-IT en was plaatsvervangend hoofd van de nationale recherche.
Bryan is het eens met Van Leusden: de adressenlijst hoeft niet voor iedereen zichtbaar te zijn. De politiemedewerkers zouden ook geen schrijfrechten hoeven te hebben waarmee ze hun Outlook-visitekaartje kunnen aanvullen met persoonlijke details en foto’s. Die functie moet je uitschakelen in een organisatie waarin gevoelige informatie omgaat. Bryan: „De politie heeft de afgelopen jaren veel geïnvesteerd in cybersecurity. Des te frustrerender is het dat het op deze manier mis kan gaan.”
:format(webp)/s3/static.nrc.nl/wp-content/uploads/2024/10/11154827/web-1210ZAT-ECO_ADS-26_wk41_klein_Roel-Venderbosch.jpg)
Een hack of datalek ligt dus niet aan die ene klik op die verkeerde link, maar aan verkeerde beslissingen elders in het bedrijf. Zelfs als interne veiligheidsexperts waarschuwen voor risico’s wordt daar niet altijd naar gehandeld. In Nederland hebben de meeste ciso’s de status van adviseur, zegt Fleur van Leusden. „Je moet de risico’s in kaart brengen en ‘hosselen’, onderhandelen, maar anderen nemen de besluiten.” In de VS gaat het er volgens haar anders aan toe. Daar heeft een ciso dikwijls een eigen budget en ‘stekkermandaat’. „Dan kun je zeggen: dit project is te risicovol voor onze organisatie, of: hier dreigt een incident te gebeuren, dus ik trek de stekker eruit.”
Je kunt volgens Van Leusden zeker iets doen om de phishingschade beperkt te houden. Bijvoorbeeld door de toegang tot WeTransfer of Google Drive te blokkeren en medewerkers alleen bestanden te laten delen via een eigen server. Of door internetdomeinen te blokkeren die jonger zijn dan drie maanden (de meeste phishingaanvallen werken met kersverse domeinnamen)
Tikkie technischer: via het sender policy framework (SPF) kun je aangeven wie er mag mailen vanaf een bepaalde domeinnaam, om nepmails van nepcollega’s te blokkeren. En webverkeer van en naar het bedrijfsnetwerk kun je via een tussenliggende server leiden, om beter zicht te hebben op het grote boze internet.
Nep-wedstrijd
Ondertussen proberen bedrijven de weerbaarheid van medewerkers te vergroten met phishingcompetities; wie gesimuleerde nepmails herkent, verdient punten en een hogere ‘status’: graniet, ijzer, staal of zilver. Klik je per ongeluk op zo’n link, dan daal je in de rangorde tussen de collega’s. Weer eens wat anders dan de Tourpool.
Mediahuis, de uitgeverij waar NRC deel van uitmaakt, traint het personeel bijvoorbeeld met het programma Hoxhunt (slogan: ‘reduce human cyber risk’). Het slechte nieuws: zelfs technologieverslaggevers tuinen in een zinnetje als ‘Hi Marc, klopt deze foto op je LinkedIn-profiel?’. En ere wie ere toekomt: De Telegraaf, onderdeel van dezelfde uitgeverij, scoort hoger in het klassement dan NRC.
Maar Fleur van Leusden is helemaal klaar met de nepwedstrijdjes. „Alsof bewustwording het enige is dat je kunt doen om de cyberveiligheid te vergroten.” Want ook getrainde medewerkers klikken nog op verkeerde links.
Het risico op datalekken en inbraken verklein je met technische ingrepen: dubbele authenticatie, segmentatie van het netwerk, betere firewall-instellingen en een karrevracht aan IT-afkortingen. Misschien minder spannend dan een phishingcompetitie, maar wel zo effectief.
