Waarom phishing nog altijd zo'n groot probleem is
Phishing is geen trend die nu opeens opspeelt, maar al jarenlang is het dé manier voor criminelen om online fraude uit te voeren. Phishing lijkt de tand des tijds te doorstaan en zich aan te passen. We spreken er over met techjournalist Daniël Verlaan.
Waarschijnlijk ben je wel bekend met phishing, er zijn maar weinig inboxen die geen phishing-mailtjes hebben ontvangen. Deze mailtjes zijn een soort imitatiemails van bijvoorbeeld banken, Microsoft, Paypal enzovoort. Doorgaans met een waarschuwing over je account of rekening. Handig met een linkje erbij naar je account in de mail, zodat je meteen kunt inloggen om het probleem te verhelpen. De mail is natuurlijk niet de enige imitatie, zelfs de site wordt nagemaakt – en is soms haast niet van echt te onderscheiden.
Na het invoeren van je inloggegevens zal de site waarschijnlijk niet meer werken, het doel van de imitatiesite is toch alleen het buitmaken van deze inloggegevens, zodat de crimineel die kan gebruiken om toegang te krijgen tot je account. Vooral accounts waar betaalgegevens aan gekoppeld zitten, zijn uiterst interessant voor criminelen. Ook kunnen ze je inloggegevens gebruiken om te kijken of je je wachtwoorden hergebruikt en zo toegang krijgen tot andere accounts.
Dit fenomeen is verre van nieuw, maar hoe kan het toch dat het nog altijd zo’n succesvolle manier van online criminaliteit is? Daniël Verlaan, techjournalist bij RTL Nieuws, auteur van laatjeniethackmaken.nl en het boek ‘Ik weet je wachtwoord’ ziet phishing dan ook meer als een vorm van oplichting, waarbij gebruikgemaakt wordt van (nieuwe) online communicatietools.
Verlaan: “Phishing is niet één aanval die je kunt stoppen, het is een tactiek van cybercriminelen die constant evolueert en wordt verbeterd. Net als oplichting is phishing ontzettend lastig te stoppen: zodra burgers weten hoe een slimme phishing-truc werkt, zijn criminelen al bezig om een nieuwe te ontwikkelen. Dat geldt al jaren voor oplichting, nu ook voor phishing.”
Van mail naar WhatsApp
Dat phishing evolueert is te zien aan het medium dat gebruikt wordt door de criminelen. In de begindagen was dat eigenlijk alleen maar mail. Nu worden ook communicatietools als bijvoorbeeld WhatsApp gebruikt voor phishing.
De inhoud van het phishing-bericht evolueert mee. Zo worden er bijvoorbeeld via WhatsApp misleidende phishing-berichtjes gedeeld met betaalverzoeken.
Dat deze methode effectief werkt, is te zien aan de schade die het oplevert. De bekendste vorm van deze WhatsApp-fraude is de identiteitsfraude, waarbij de crimineel een account overneemt en vraagt om direct geld over te maken vanwege een urgente probleemsituatie; zogenaamde ‘vriend-in-noodfraude’.
De Fraudehelpdesk heeft berekend dat zo’n twaalf procent van de ontvangers erin wordt geluisd, met name 55-plussers. Volgens de organisatie zijn er in 2020 tot oktober al 9.605 meldingen van WhatsApp-fraude geweest. Dat is vier keer zoveel als in 2019.
Tanya Wijngaarde, woordvoerster van Fraudehelpdesk vult aan: “WhatsApp is op dit moment een populair kanaal voor fraude. Het komt ook weleens voor dat criminelen links naar phishing-sites sturen, maar dat is relatief zeldzaam.” Zo werd er een paar jaar terug een site via WhatsApp rondgestuurd waarbij je Lidl-kortingscoupons kreeg na het invullen van je persoonsgegevens. Die coupons kon je naar fluiten. De supermarkt wist van niets, en de persoonsgegevens? Die werden waarschijnlijk verkocht aan bijvoorbeeld spammers.
Het sturen van betaallinks via de vriend-in-noodfraude lijkt op dit moment de meest effectieve fraudevorm voor WhatsApp. Wijngaarde: “In theorie is deze vorm van fraude niet direct phishing, maar door het gebruikte kanaal ligt WhatsApp-fraude hiermee wel in het verlengde ervan.” Vanuit het perspectief van de crimineel is deze methode wel zo makkelijk, het levert direct geld op. Je hoeft geen betaal- of persoonsgegevens meer te verwerken voor je illegale inkomsten.
Telkens persoonlijker
Er is ook wel een verschil te bespeuren aan de inhoud van een bericht. Sommige berichten, voornamelijk die via mail verstuurd worden, lijken aan de massa te zijn gericht. Bijvoorbeeld de phishing-mails die lijken alsof ze van banken afkomen. Een relatief laag percentage ontvangers trapt erin. Niet alleen is de methode bekender, je moet ook maar net klant zijn bij die bank. De effectievere phishing-berichten worden vaak een stuk gerichter afgevuurd.
Verlaan legt uit: “Een goede phishing-aanval is inderdaad heel persoonlijk. De crimineel weet bijvoorbeeld je naam, je adres, je burgerservicenummer of bij welke bank je zit. Deze gegevens zijn afkomstig uit datalekken of worden verhandeld door malafide medewerkers van callcenters. Een klein jaar geleden ontdekte ik dat er in een callcenter op grote schaal werd gehandeld in de privégegevens van vijftigplussers, die werden verkocht om WhatsApp-fraude mee te plegen. Ook vulden ze de gegevens nog aan met foto’s van de kinderen, zodat de criminelen een kant-en-klaarpakket voor WhatsApp-fraude kochten.”
Wellicht is een persoonlijke aanpak dé truc voor succesvolle fraude via WhatsApp. De ervaringen van Verlaan hinten hier wel naar: “Voor mijn werk zit ik in chatgroepen van phishing-criminelen die samen nieuwe aanvallen ontwikkelen en elkaar tips geven. WhatsApp-fraude is momenteel een populaire tactiek om geld buit te maken en ze hebben sinds kort een nieuwe methode om te slagen, ondanks dat veel mensen al van WhatsApp-fraude hebben gehoord.
Ze bellen de zoon of dochter op en nemen dan hun stem op als ze zeggen: ‘Hallo, hallo, ik hoor niets?’. Met dat audiofragment bellen ze de vader of moeder op om hen te overtuigen dat ze toch echt contact hebben met hun zoon of dochter, maar dat de telefoonverbinding niet goed genoeg is om te bellen. Vervolgens wordt het geld via WhatsApp afhandig gemaakt. Het zijn dit soort bijzonder sluwe tactieken die daar in de chatgroepen worden gedeeld.”
Phishing blijft een succesvolle aanvalsmethode, zowel via een persoonlijke of gerichte aanvalsmethode. “Phishing-aanvallen wakkeren vaak een emotie aan, zoals angst, nieuwsgierigheid of hebberigheid. Er is een verdachte inlogpoging op je internetbankier-account waargenomen en je moet direct actie ondernemen. Of er komt een PostNL-pakketje jouw kant op, maar je weet niet wat het precies is. De criminelen verleiden je om ergens op te klikken en vervolgens je bank- of inloggegevens in te voeren. En als een phishing-aanval niet werkt, dan passen ze hem aan.
Zo stuurden criminelen uit naam van de Belastingdienst een phishing-sms dat er binnenkort veel geld wordt afgeschreven. Die was niet zo succesvol. Toen veranderden ze dat bericht in dat je flink wat geld van de Belastingdienst terugkreeg, je hoefde alleen maar even in te loggen. Daar trapten veel meer mensen in.” Ook de NVB en Nederlandse betaalvereniging waarschuwen voor sluwe werkwijzen: “Fraudeurs spelen graag in op de actualiteit. Nu spelen ze bijvoorbeeld in op de coronacrisis door valse berichten te sturen of mensen te bellen dat ze hun huidige bankpas zouden moeten opsturen voor een nieuwe zogenaamde ‘antibacteriële’ bankpas.”
Ook bedrijven kwetsbaar
Niet alleen consumenten worden getroffen. Ook belangrijke (bedrijfs)netwerken kunnen worden binnengedrongen met een phishing-aanval, door bijvoorbeeld met een gerichte aanval netwerktoegangsgegevens te bemachtigen. Hiermee kunnen bijvoorbeeld bedrijfsgeheimen gestolen worden.
Zo’n gerichte aanval, die ook weleens aangeduid wordt met social engineering, is natuurlijk wel extra gebaat bij een persoonlijke benadering en het aanwakkeren van een emotie. Voor systeem- en netwerkbeheerders natuurlijk een doorn in het oog, want de kwetsbaarheid van de systemen zit ’m vooral in de gebruiker. Daar is geen virusscanner of firewall tegen opgewassen.
De Rijksoverheid waarschuwde hier in het jaarlijkse onderzoek Veilig Online: 2020 medewerkers bedrijfsleven voor. Jaarlijks krijgt 1 op de 5 bedrijven te maken met een cyberaanval, waarbij pogingen tot phishing het meest voorkomen. Het Ministerie van Economische Zaken en Klimaat heeft daarom ook de site digitaltrustcenter.nl opgezet, waar je een MKB Phising-test kunt doen om zo de bewustwording van phishing aan te jagen.
Bewustwording het belangrijkst
Het lijkt er dus niet op dat phishing op zijn retour is, maar net als onze communicatie mee-evolueert, en steeds meer lijkt op geraffineerde oplichting dan het ouderwets imiteren van banksites om inloggegevens buit te maken. Een virusscanner helpt daar niet tegen. Spambescherming en browserfilters kunnen iets doen tegen phishing-mailtjes en -websites. Maar de persoonlijkere phishing- en oplichtingsaanvallen via sms of WhatsApp los je niet even snel met software op.
Bewustwording is daarom de meest effectieve manier om phishing te bestrijden. Bijvoorbeeld via de campagne van het ministerie en de aandacht die onder meer de Fraudehelpdesk en Consumentenbond aan het onderwerp besteden. “Door kennis te hebben over hoe phishing-criminelen te werk gaan, kun je jezelf het beste wapenen, maar dat is lastiger gezegd dan gedaan. Het komt vaak neer op checken en dubbelchecken – is iets echt afkomstig van de betreffende partij – en even tot tien tellen en niet direct handelen. Maar ik snap dat beide soms heel lastig zijn, in momenten van paniek, angst, nieuwsgierigheid of enthousiasme”, aldus Verlaan, die natuurlijk ook zelf zijn steentje bijdraagt aan bewustwording.
“Als journalist probeer ik mensen inzicht te geven in de werkwijzen van cybercriminelen en hen op die manier te wapenen, maar ik weet ook dat ik niet heel Nederland kan beschermen. Het is een nationaal probleem waar veel voorlichting, campagnes en mogelijk ook lesmateriaal op scholen voor nodig is, zodat we steeds bewuster worden van dit probleem.”
Methodes veranderen
Zoals Verlaan al aangaf, op het moment dat we doorkrijgen hoe criminelen een phishing-truc inzetten, zijn ze al bezig met de volgende methode. Dus tegen de tijd dat weinig mensen meer in WhatsApp-fraude trappen, duiken er alweer andere fraude- en phishing-methodes op.
“Phishing wordt niet veel anders dan nu, behalve dat de aanvallen steeds veranderen. Dus het blijft zo dat iemand zich voordoet als een bepaald persoon of bedrijf en probeert jouw geld, inloggegevens of identiteitsbewijs af te troggelen, maar de manier waarop verandert steeds. Ik verwacht dat over een aantal jaar criminelen de technieken achter deepfake, waarbij mensen worden nagebootst via beeld of audio, ook gaan inzetten voor phishing en fraude. Het worden in ieder geval spannende tijden waarin we alert moeten blijven.”
Kanalen veranderen, van mail tot sms en WhatsApp. Methodes veranderen, van phishing-websites tot identiteitsfraude. Maar de enige constante factor bij phishing blijven de doelen. Daar zit het belangrijkste onderdeel in van de bestrijding van phishing voor jou en je omgeving: wees je altijd bewust dat je niet zomaar inloggegevens, identiteitsgegevens of geld deelt, zonder driedubbel na te gaan of de ontvanger dit echt wel nodig heeft en zich niet voordoet als een ander.