Spear Phishing – Een Gerichte Vorm van Cybercriminaliteit

Wat is spear phishing?

Phishing is een vorm van cybercriminaliteit die doorgaans via de mail of andere vorm van elektronische communicatie plaatsvindt. Een dergelijke mail is specifiek gericht aan één individu of bedrijf. Spear phishing betreft dus een gerichte vorm van phishing. De cybercriminelen proberen een specifiek doelwit te raken.

Spear phishing heeft vaak als doel om onrechtmatig persoonsgegevens te verkrijgen. Ook kan de hacker proberen om schadelijke software te installeren op de computer van het doelwit. Vooral voor bedrijven kunnen dergelijke acties desastreuze gevolgen hebben. Zo kunnen gestolen gegevens bijvoorbeeld worden doorverkocht. Vertrouwelijke bedrijfsgegevens kunnen op straat komen te liggen, wat natuurlijk ook weer grote gevolgen heeft voor de business. Daarnaast kan er schadelijke software worden gedownload op een computer binnen de organisatie, wat ervoor kan zorgen dat men in het netwerk van het bedrijf kan infiltreren.

We staan liever natuurlijk niet te lang stil bij dergelijke scenario’s. Echter is het wel de harde realiteit. Door goed op de hoogte te zijn van de mogelijke gevaren, zal je beter op je hoede zijn en het dus eerder doorhebben wanneer je slachtoffer dreigt te worden van een dergelijke cyberaanval.

Cybercriminelen gebruiken bij spear phishing een individueel afgestemde aanpak bij ieder doelwit. Met diverse valse technieken proberen ze de aandacht van de ontvanger te trekken. Er is bij spear phishing sprake van een persoonlijke toenadering, wat helaas nog te vaak resulteert in een geslaagde aanval.

Diverse social engineering technieken worden gebruikt bij deze vorm van phishing. Manipuleren door in te spelen op menselijke gevoelens, daar deinzen de hackers niet voor terug. Zo doen ze er bijvoorbeeld alles aan om het slachtoffer nieuwsgierig of bang te maken. Ook kunnen ze proberen medelijden op te wekken bij de ontvanger. Het is dus wel duidelijk dat de cybercriminelen onverbiddelijk zijn wanneer het aankomt op het inspelen op onze gevoelens. Dit maakt het extra belangrijk om altijd op je hoede te zijn.

Hoe herken je spear phishing?

Helaas laten de statistieken ons zien dat spear phishing veel vaker succesvol is dan gewone phishingaanvallen. Juist omdat er bij spear phishing heel gericht op één persoon of organisatie wordt gefocust, hebben deze phishingmails niet altijd dezelfde kenmerken als een reguliere phishingmail. Dit maakt dan ook dat ze een stuk lastiger te herkennen zijn. Echter zijn er wel degelijk tips die jij kunt volgen om spear phishing te herkennen. Onderstaand bespreken we er enkele.

Tip 1: Analyseer de mail

Aangezien spear phishing moeilijk te herkennen is, dien je altijd alert te zijn. Om te beginnen is het goed om de mail die je binnen krijgt te analyseren. Verwachte jij deze mail al of komt deze plots uit het niets? Dit is een eerste belangrijke vraag, aangezien een phishingmail vaak een onverwachts of enigszins vreemd verzoek of opdracht bevat. Vervolgens kan men zich afvragen of de afzender geen ongewone vragen stelt die toch enigszins ongebruikelijk zijn. Ook is het altijd goed om naar het taalgebruik van de verzender te kijken. Schrijft deze plots op een andere manier? Dan moet er toch echt wel een belletje gaan rinkelen.

Het kan nuttig zijn om een eerdere mail van dezelfde afzender erbij te pakken. Vaak geeft dit meer inzicht. Het zal je dan al snel opvallen wanneer de schrijfstijl of het taalgebruik niet overeenkomt met de vermeende afzender. Ook wanneer de mails wel verdacht veel op elkaar lijken is het goed om er eerst honderd procent zeker van te zijn dat het een echte mail betreft. Hoe doe je dat? Dat bespreken we hieronder.

Tip 2: Verifieer telefonisch

Wellicht ben je geneigd om een mailtje terug te sturen om te controleren of de verzender ook daadwerkelijk is wie hij of zij beweert te zijn. Echter raden wij dit af. Spear phishers weten namelijk precies hoe ze hierop moeten reageren. Ze wachten een tijdje en antwoorden pas na enkele uren of zelfs een dag. Op deze manier proberen ze het vertrouwen van het slachtoffer te winnen. Verifiëren via mail is dus niet het beste plan.

Wij raden je daarentegen aan om altijd telefonisch te controleren of je inderdaad met de betreffende contactpersoon spreekt. Eén simpel telefoontje kan immers direct duidelijkheid bieden. Geeft de persoon in kwestie aan de mail niet verstuurd te hebben? Dan is er duidelijk sprake van spear phishing.

Wanneer je telefonisch controleert of de verzender inderdaad is wie hij zegt te zijn, is het belangrijk om nooit het telefoonnummer te gebruiken dat in de betreffende mail staat. Gebruik het nummer dat je zelf hebt of zoek het nummer indien nodig op via het internet.

Tip 3: Een bekende stuurt jou een link of bijlage

Spear phishingmails zijn te herkennen aan het feit dat ze vaak zogenaamd afkomstig zijn van een bekende. Daarnaast bevatten deze mails doorgaans een link of bijlage bestand. Het kan er dus op lijken dat die vriendelijke collega jou gewoon even wat informatie doorstuurt om te lezen. Dit geeft maar weer aan hoe makkelijk het is om in een dergelijke valstrik te lopen.

Ontvang jij dus een mail van een bekende die ook een bijlage of link bevat? Bel dan eerst even met de persoon in kwestie om te verifiëren of deze inderdaad een mail heeft verzonden. Open onder geen beding de link of bijlage uit te mail voordat je dit telefoontje hebt gepleegd. Zodra je hier namelijk op klikt, kan het gebeuren dat schadelijke software per direct wordt gedownload op jouw pc. Dit kan vervolgens weer ernstige gevolgen hebben voor jouzelf of de organisatie waar je werkzaam bent.

Tip 4: Herken social engineering

Eerder in dit artikel hebben we reeds kort stilgestaan bij het begrip social engineering. Het is een populaire methode die hackers gebruiken om het vertrouwen van een slachtoffer te winnen. Dit wordt gedaan door in te spelen op de gevoelens van de ontvanger. Dit wordt op een zeer doortrapte manier gedaan door de cybercriminelen.

Je dient dan ook op je hoede te zijn wanneer je merkt dat een mail op jouw gevoel inspeelt. Dit betekent vaak niet veel goeds. Cybercriminelen gaan doorgaans op zoek naar de zwakke plek binnen een organisatie. Dit resulteert erin dat personeel dat minder weerbaar is juist wordt geraakt door dergelijke aanvallen. Bedrijven doen er dan ook goed aan om social engineering onder de aandacht te brengen en ervoor te kiezen om te investeren in phishing awareness trainingen. Dit kan grotere problemen in de toekomst voorkomen.

Wat is het verschil tussen normale phishing en gerichte phishing?

Door de jaren heen bedenken cybercriminelen steeds nieuwe tactieken en gaan ze steeds geraffineerder te werk. Spear phishing, oftewel gerichte phishing, is dan ook een geavanceerde vorm van internetoplichting. Wellicht vraag je je af wat dan precies het verschil is tussen normale phishing en gerichte spear phishing. Wij vertellen je er graag meer over. Onderstaand bespreken we enkele verschillen tussen deze twee vormen van cybercriminaliteit.

1. De omvang van de aanval

Het eerste verschil waar we kort bij stil willen staan is de omvang van de aanval. Phishingberichten worden doorgaans massaal uitgestuurd naar honderden of wel duizenden slachtoffers tegelijkertijd. Hierbij gaat het vaak om mails van bijvoorbeeld een leverancier waarbij je al dan wel of niet bent aangesloten. Dergelijke normale phishingmails zijn makkelijker te herkennen dan gerichte phishing.

Spear phishingmails zijn gericht op één specifiek persoon of bedrijf. Er wordt door de cybercriminelen veel meer aandacht besteedt aan deze vorm van phishing. Zo wordt er op voorhand online research gedaan naar het doelwit. Aangezien er zo veel tijd wordt gestopt in één mailtje, is het ook logisch dat er veel meer slachtoffers zijn die helaas aan deze vorm van oplichting ten prooi vallen. Dit is zeer vervelend voor de persoon in kwestie en de organisatie waarbij deze werkzaam is.

2. Het niveau van de aanval

We hebben eerder reeds besproken dat er bij spear phishing gebruikt wordt gemaakt van zeer geavanceerde technieken. Social engineering is een groot onderdeel van deze gerichte vorm van phishing. Bij spear phishing wordt er dus veel meer op de gevoelens van het slachtoffer ingespeeld dan bij normale phishingmails.

Wanneer een phishingmail je erg nieuwsgierig of juist bang maakt, heb je waarschijnlijk te maken met een gerichte vorm van phishing. Is dit het geval? Volg dan de tip op die we hierboven reeds hebben besproken; bel de verzender persoonlijk op om de mail te verifiëren. Dan weet je in ieder geval hoe het zit!

3. De benadering

Reguliere phishingmails zijn te herkennen aan een onpersoonlijke en algemene benadering. Vaak zie je een dergelijke aanhef: ‘Geachte klant’ of ‘Beste heer/mevrouw’. Bij spear phishing is er daarentegen sprake van een persoonlijke benadering. Vaak wordt het slachtoffer bij naam aangesproken en wordt de nadruk gelegd op de onderlinge banden. Op deze manier proberen ze het vertrouwen te vergroten en loopt het slachtoffer sneller in de val. Je bent immers eerder geneigd om iemand te vertrouwen die je kent, is het niet?

Ontvang jij een mail met een persoonlijke benadering? Dan betekent dit dus niet dat het mailtje direct te vertrouwen is. Het is absoluut noodzakelijk om eerst op onderzoek uit te gaan voordat je verder ook maar iets met de mail doet. Op deze manier kan een geslaagde aanval worden voorkomen, iets wat we natuurlijk allemaal wensen!

Jouw bedrijf beschermen tegen spear phishing

Helaas zijn er genoeg mensen die niet weerbaar zijn tegen phishing. Dit percentage ligt bij spear phishing helaas alleen maar hoger. Het is dan ook niet onwaarschijnlijk dat deze vorm van phishing in de toekomst veel vaker zal worden ingezet door cybercriminelen. Ze zien immers dat het werkt en kunnen niet wachten om hun volgende slachtoffer te maken. Niet alleen persoonlijk heeft spear phishing nare gevolgen, ook bedrijfsmatig kunnen er grote problemen ontstaan door deze vorm van phishing. Daarom is het uitermate belangrijk om het personeel van jouw bedrijf weerbaar te maken tegen dergelijke aanvallen.

Eén menselijke fout van een goedbedoelende medewerker kan ernstige gevolgen hebben. Werknemers dienen dan ook bewust te worden gemaakt van de dreiging die op de loer ligt. Als werkgever kan je dit op verschillende manieren aanpakken. De meest populaire keuze is het inzetten van een phishing awareness training. Wat moet je je hier precies bij voorstellen?

Tijdens een dergelijke awareness training worden er phishing simulaties uitgevoerd. Er wordt een neppe phishingmail gestuurd naar de gehele organisatie. Deze mail voldoet aan dezelfde eigenschappen en kenmerken als een echte spear phishingmail. Vervolgens wordt er gekeken hoeveel procent van de werknemers de phishingmail herkent. Hoeveel mensen openen deze mail? Hoeveel medewerkers klikken op een eventuele link of bijlage? En hoeveel werknemers geven op deze manier informatie af aan cybercriminelen?

Al dit soort vragen kunnen beantwoord worden tijdens een phishing simulatie. De gegevens worden in een overzichtelijk rapport genoteerd, zodat jij als werkgever hier vervolgens mee aan de slag kan. Dit is zonder twijfel de meest effectieve manier om erachter te komen waar er nog winst te behalen valt binnen jouw team. Zorg jij er ook voor dat jouw werknemers optimaal zijn voorbereid op een eventuele cyberaanval?