Dus wat is phishing eigenlijk?
Phishing is een vorm van cybercriminaliteit waarbij wordt geprobeerd om slachtoffers gevoelige informatie te laten lekken via oplichting via e-mail, telefoontjes en/of sms-berichten.
Cybercriminelen proberen vaak social engineering te gebruiken om het slachtoffer ervan te overtuigen persoonlijke informatie te lekken door zichzelf voor te doen als een betrouwbaar persoon om een redelijk verzoek om gevoelige informatie in te dienen.
Zijn er verschillende soorten phishing?
Speervissen
Spear phishing lijkt op algemene phishing omdat het gericht is op vertrouwelijke informatie, maar spear phishing is veel meer toegesneden op een specifiek slachtoffer. Ze proberen de meeste informatie uit een persoon te halen. Spear phishing-aanvallen proberen het doelwit specifiek aan te spreken en zich te vermommen als een persoon of entiteit die het slachtoffer mogelijk kent. Als gevolg hiervan kost het veel meer moeite om deze te maken, omdat het informatie over het doelwit moet vinden. Deze phishing-aanvallen zijn meestal gericht op mensen die persoonlijke informatie op internet zetten. Vanwege de moeite die het kostte om de e-mail te personaliseren, zijn spear phishing-aanvallen veel moeilijker te identificeren in vergelijking met reguliere aanvallen.
Walvisvangst
In vergelijking met spear phishing-aanvallen zijn walvisvangstaanvallen veel gerichter. Walvisvangstaanvallen richten zich op personen in een organisatie of bedrijf en doen zich voor als iemand met een hogere rang in het bedrijf. Veelvoorkomende doelen van de walvisvangst zijn om een doelwit te misleiden om mogelijk vertrouwelijke gegevens te onthullen of geld over te maken. Net als bij reguliere phishing, waarbij de aanval plaatsvindt in de vorm van e-mail, kan walvisvangst bedrijfslogo's en soortgelijke adressen gebruiken om zichzelf te vermommen. Aangezien werknemers minder geneigd zijn om een verzoek van iemand hogerop te weigeren, zijn deze aanvallen veel gevaarlijker.
Visser Phishing
Angler-phishing is een relatief nieuw type phishing-aanval en bestaat op sociale media media. Ze volgen niet het traditionele e-mailformaat van phishing-aanvallen. In plaats daarvan vermommen ze zichzelf als klantenservice van bedrijven en misleiden ze mensen om hen informatie te sturen via directe berichten. Een andere manier is om mensen naar een valse website voor klantenondersteuning te leiden die malware op het apparaat van het slachtoffer downloadt.
Hoe werkt een phishing-aanval?
Phishing-aanvallen berusten volledig op het misleiden van slachtoffers om persoonlijke informatie te geven via verschillende methoden van social engineering.
De cybercrimineel zal proberen het vertrouwen van het slachtoffer te winnen door zich voor te doen als vertegenwoordiger van een gerenommeerd bedrijf.
Als gevolg hiervan zou het slachtoffer zich veilig voelen om de cybercrimineel gevoelige informatie te geven, en zo wordt informatie gestolen.
Hoe herken je een phishingaanval?
De meeste phishing-aanvallen vinden plaats via e-mail, maar er zijn manieren om hun legitimiteit te identificeren.
- Vink E-maildomein aan
Wanneer u een e-mail opent, controleer dan of deze al dan niet afkomstig is van een openbaar e-maildomein (bijv. @gmail.com). Als het afkomstig is van een openbaar e-maildomein, is het hoogstwaarschijnlijk een phishing-aanval, aangezien organisaties geen gebruik maken van openbare domeinen. Hun domeinen zouden eerder uniek zijn voor hun bedrijf (d.w.z. het e-maildomein van Google is @google.com). Er zijn echter lastigere phishing-aanvallen die een uniek domein gebruiken. Het kan handig zijn om het bedrijf snel te doorzoeken en de legitimiteit ervan te controleren.
- E-mail heeft algemene begroeting
Phishing-aanvallen proberen altijd vriendschap met u te sluiten met een vriendelijke groet of empathie. Zo vond ik niet zo lang geleden in mijn spam een phishingmail met de begroeting “Beste vriend”. Ik wist al dat dit een phishing-e-mail was, want in de onderwerpregel stond "GOED NIEUWS OVER UW FONDSEN 21/06/2020". Het zien van dat soort begroetingen zou onmiddellijk een rode vlag moeten zijn als je nog nooit met dat contact hebt gecommuniceerd.
- Controleer de inhoud
De inhoud van een phishing-e-mail is erg belangrijk en u zult een aantal onderscheidende kenmerken zien die de meeste vormen. Als de inhoud absurd of overdreven klinkt, is het hoogstwaarschijnlijk oplichterij. Als de onderwerpregel bijvoorbeeld luidde: "U hebt de loterij $ 1000000 gewonnen" en u kunt zich niet herinneren dat u eraan hebt deelgenomen, dan is dat meteen een rode vlag. Wanneer de inhoud een gevoel van urgentie creëert zoals "het hangt van jou af" en probeert je op een link te laten klikken, klik dan niet op de link en verwijder gewoon de e-mail.
- Hyperlinks en bijlagen
Phishing-e-mails bevatten altijd een verdachte link of een verdacht bestand. Soms zijn deze bijlagen geïnfecteerd met malware, dus download ze niet tenzij u er absoluut zeker van bent dat ze veilig zijn. Een goede manier om te controleren of een link een virus heeft, is door te gebruiken VirusTotal, een website die bestanden of links controleert op malware.
Hoe kunt u phishing voorkomen?
De beste manier om phishing te voorkomen, is door uzelf en uw medewerkers te trainen in het herkennen van een phishingaanval.
Door veel voorbeelden van phishingmails, -oproepen en -berichten te laten zien, kunt u uw medewerkers goed trainen.
Er zijn ook phishing-simulaties, waarbij u uw werknemers uit de eerste hand kunt laten zien hoe een phishing-aanval echt is, daarover hieronder meer.
Kunt u mij vertellen wat een phishing-simulatie is?
Phishing-simulaties zijn oefeningen waarmee medewerkers een phishing-e-mail kunnen onderscheiden van andere gewone e-mail.
Hierdoor kunnen werknemers potentiële bedreigingen herkennen om de informatie van hun bedrijf veilig te houden.
Wat zijn de voordelen van simulatie-phishing-aanvallen?
Het simuleren van phishing-aanvallen kan zeer nuttig zijn om te observeren hoe uw werknemers en bedrijf zouden reageren als er daadwerkelijk schadelijke inhoud zou worden verzonden.
Het zal hen ook uit de eerste hand laten ervaren hoe een phishing-e-mail, -bericht of -oproep eruitziet, zodat ze daadwerkelijke aanvallen kunnen identificeren wanneer ze komen.
