Inhoud
- 01. Social engineering
- 02. De low-tech interne dreiging
- 03. Aas
- 04. Afmelden knoppen
- Koop nu uw ticket voor Generate New York
Hoewel het waar is dat aanvallers steeds complexere virussen en malware ontwikkelen, steeds vaker en vaak vergeten, komt de grootste beveiligingsdreiging voor bedrijven niet van software, maar van de mens zelf.
Bedrijven kunnen de meest veilige infrastructuur ter wereld bouwen om hun gegevens te beschermen tegen externe dreigingen, met oplossingen zoals firewalls, VPN's en beveiligde gateways, maar dat neemt niet weg dat het risico van al dan niet schadelijke dreigingen vanuit de organisatie zelf wordt beperkt. Deze low-tech manier van hacken is de laatste jaren steeds populairder geworden, waarbij bekende merken het slachtoffer zijn geworden van fraudeurs die contact opnemen met junior financiële beheerders die om geld vragen na een beetje LinkedIn-onderzoek.
- De beste VPN's van 2019
Bovendien vormt internet zo een belangrijk onderdeel van de dagelijkse routine van de meeste mensen en veel werknemers die inloggen op persoonlijke accounts op de werkplek, is het belangrijk om te onthouden dat er ook een cross-over is tussen persoonlijke gegevens en uw bedrijfsinformatie als het gaat om online veiligheid. Als een hacker uw persoonlijke gegevens achterhaalt, heeft hij ook toegang tot uw professionele gegevens.
Hier zijn dus vier manieren waarop hackers uw beveiliging kunnen omzeilen en uw gegevens kunnen stelen.
01. Social engineering
Het ontstaan van elke door mensen geleide cyberveiligheidsdreiging is social engineering; het manipuleren van vertrouwelijke gegevens van een persoon. Zeker, hackers kunnen een netwerk met malware infecteren en via de achterdeur naar binnen gaan, of beter nog, ze kunnen een medewerker misleiden om een wachtwoord op te geven en zo naar binnen wandelen zonder alarmbellen te laten afgaan. Als een hacker eenmaal het wachtwoord van een persoon heeft, is er weinig dat u kunt doen om ze te stoppen, aangezien het lijkt alsof hun activiteit geautoriseerd is.
Social engineering-technieken moesten in de loop der jaren geavanceerder worden, omdat de gemiddelde gebruiker vaardiger is geworden in de traditionele methoden die hackers gebruiken. Hackers moeten nu dus slimmer omgaan met het verkrijgen van gegevens. Zakelijk gezien kan zoiets eenvoudigs als een gebruiker verleiden om op een kwaadaardige link te klikken, de aanvaller toegang geven tot het hele netwerk. Mensen weten dat ze e-mails moeten negeren van smekende vreemden die wanhopig bankgegevens nodig hebben, maar als die e-mail afkomstig is van iemand die je kent, is de kans veel kleiner dat je op 'Markeren als spam' klikt.
Hackers kunnen gemakkelijk door het Facebook-account van een potentieel doelwit scrollen om de naam van een vriend van het slachtoffer te vinden. Vervolgens kunnen ze het slachtoffer een e-mail sturen waarin ze doen alsof ze die vriend zijn, en het slachtoffer zal er eerder in trappen als ze denken dat het afkomstig is van iemand die ze kennen.
TIP: Over het onderwerp sociale media: wees voorzichtig met de persoonlijke gegevens die u verstrekt. Wat misschien een onschuldige game lijkt waarin ’Je rapnaam is de naam van je eerste huisdier plus de meisjesnaam van je moeder’, kan in feite een phishing-scam zijn die wordt gebruikt om de antwoorden op veelvoorkomende vragen over accountherstel te achterhalen.
02. De low-tech interne dreiging
In plaats van een gezichtsloze vijand, komen de meeste interne cyberveiligheidsbedreigingen eigenlijk van huidige of ex-werknemers. Deze werknemers kunnen ongeautoriseerde toegang krijgen tot vertrouwelijke gegevens of het netwerk infecteren met iets kwaadaardigs. Deze interne bedreigingen kunnen vele vormen aannemen:
- Schouder surfen
'Schoudersurfen' is de simpele handeling waarbij één persoon iemand observeert die zijn wachtwoord typt. Er is een precedent van dit gebeuren. Een ontevreden of binnenkort vertrekkende werknemer kan terloops achter een bureau gaan staan en kijken hoe andere werknemers hun wachtwoord typen. Deze simpele handeling kan leiden tot ongeautoriseerde toegang, wat rampzalig kan zijn voor een bedrijf. - Wachtwoorden op Post-it-notities
Zelfs gemakkelijker dan het onthouden van een wachtwoord dat over de schouder wordt waargenomen, kunnen interne bedreigingen afkomstig zijn van werknemers die wachtwoorden opschrijven en ze op hun computerscherm plakken - ja, dat gebeurt echt. Dit maakt het natuurlijk ongelooflijk gemakkelijk voor iemand om inloggegevens te verkrijgen die vervolgens kunnen worden gebruikt om een bedrijf te bedriegen of te infecteren. Het goede nieuws is dat deze onzorgvuldigheid gemakkelijk te corrigeren is. - Duimschijven in computers gestoken
Machines van werknemers kunnen worden geïnfecteerd met keylogging-software die op een eenvoudige USB-stick is geladen. Een aanvaller hoeft de USB-stick gewoon achter in een computer te sluipen en heeft toegang tot de persoonlijke gegevens en wachtwoorden van de gebruiker.
TIP: Om deze interne bedreigingen te vermijden, moeten bedrijven hun werknemers opleiden met veiligheidscursussen en communicatie over het belang van waakzaamheid met hun wachtwoorden. Wachtwoordbeheersoftware zoals KeePass of Dashlane kan wachtwoorden veilig opslaan, zodat u ze niet allemaal hoeft te onthouden. Als alternatief kunt u ook de USB-poorten van uw werkstations vergrendelen om te voorkomen dat onbevoegde apparaten helemaal via USB worden benaderd. Deze aanpak moet echter zorgvuldig worden overwogen, omdat het elke werkplek veel minder flexibel maakt en de werkdruk voor de IT-afdeling verhoogt, aangezien elk nieuw USB-apparaat goedkeuring nodig heeft voordat het kan worden gebruikt.
03. Aas
Net als bij social engineering, misleiden lokaasmethoden gebruikers met behulp van informatie die over de persoon is verkregen. Een hacker zou bijvoorbeeld sociale mediasites kunnen controleren en erachter komen dat het doelwit interesse heeft in Game of Thrones. Die kennis geeft de aanvaller een lokaas. In plaats van een algemene e-mail kan de aanvaller het doelwit een e-mail sturen met de tekst ’Klik hier om de nieuwste aflevering van Game of Thrones te bekijken’. De gebruiker zal eerder op de knop klikken, die natuurlijk in feite een malwarekoppeling is, en niet de meest recente aflevering van Game of Thrones.
Evenzo, met zoveel informatie openbaar op LinkedIn, kan het voor aanvallers ook gemakkelijk zijn om een rapportagestructuur te onderzoeken, zich te richten op een junior die zich voordoet als de CEO en om een overboeking van geld naar een bepaald account aan te vragen. Hoe vergezocht dat ook mag lijken, er zijn bekende incidenten hiervan. Afluisteren is een vergelijkbare methode, waarbij aanvallers luisteren naar zakelijke gesprekken in coffeeshops, in het openbaar vervoer en zelfs als leverancier in een kantooromgeving.
04. Afmelden knoppen
Een andere manier waarop aanvallers gebruikers misleiden om malware van e-mails te downloaden, is door middel van afmeldknoppen. Volgens de wet moet elke marketing-e-mail een afmeldlink bevatten, zodat consumenten zich kunnen afmelden voor het ontvangen van berichten. Een aanvaller kan herhaalde e-mails naar een gebruiker sturen die eruitzien als speciale marketingaanbiedingen van een kledingbedrijf (of iets dergelijks). De e-mails zien er onschuldig genoeg uit, maar als de gebruiker niet geïnteresseerd is in het bedrijf, of denkt dat de e-mails te vaak komen, kunnen ze op de uitschrijfknop drukken om geen e-mails meer te ontvangen. Behalve in de phishing-e-mail van deze hacker, wordt de malware gedownload door op de knop Abonnement opzeggen te klikken.
TIP: Een correct geconfigureerd antispamfilter zou deze e-mails moeten stoppen, maar nogmaals, het is het beste om alert te blijven.
Het belangrijkste is om waakzaam en up-to-date te blijven over de reeks methoden die hackers kunnen gebruiken om uw gegevens te stelen. Leid uw werknemers op, zodat ze op de hoogte zijn van de technieken die in dit artikel worden genoemd en die kunnen worden gebruikt om inhoud te verkrijgen, zoals hun inloggegevens of persoonlijke gegevens. Moedig werknemers aan om vragen te stellen aan iemand die ze niet herkennen, en op de hoogte te zijn van iemand die naar gesprekken luistert of aan het surfen is.
Afgezien van dit alles, is het de moeite waard eraan te denken dat internet een overweldigend positieve en creatieve plek blijft om te zijn, en dat de wereld er aanzienlijk rijker voor is. Mits u waakzaam bent, kunnen we allemaal blijven profiteren van de voordelen ervan.
Dit artikel is oorspronkelijk gepubliceerd in nummer 303 van netto-, 's werelds best verkochte tijdschrift voor webontwerpers en -ontwikkelaars. Koop nummer 303 of schrijf je hier in.
Koop nu uw ticket voor Generate New York
Het beste evenement voor webdesign in de brancheGenereer New Yorkis terug. De headline-sprekers vinden plaats tussen 25 en 27 april 2018 en omvatten SuperFriendly's Dan Mall, webanimatieadviseur Val Head, full-stack JavaScript-ontwikkelaar Wes Bos en meer.
Er is ook een volledige dag met workshops en waardevolle netwerkmogelijkheden - mis het niet.Koop nu uw Generate-ticket.
