Nederlanders gevaarlijk zelfverzekerd over cyberveiligheid

Online oplichting is een breed begrip. Malware wordt regelmatig verspreid via foute links in vermomde e-mails, ook wel bekend als phishing. Iets waar we bij WoningNet helaas veel ervaring mee hebben. In andere gevallen komt er geen phishing aan te pas. Helpdeskfraudeurs doen zich voor als betrouwbare organisaties en overtuigen slachtoffers om geld of gegevens over te dragen.

Uit een recente survey van ABN AMRO blijkt dat 57 procent van de Nederlanders denkt dat ze pogingen tot online oplichting direct doorhebben. Bijna driekwart is wantrouwend voor berichten van grote organisaties, waaronder de overheid, providers en banken.

Bewustzijn heeft voor- en nadelen. Het voordeel is dat Nederlanders goed op de hoogte zijn van veelvoorkomende aanvalssoorten, waaronder phishing. Zo daalde het aantal succesvolle phishing-aanvallen vorig jaar met 38 procent. Onderzoek van het CBS wijst uit dat bijna driekwart van Nederland vaardig is met privacybescherming, ver boven het Europees gemiddelde van 44 procent.

Het nadeel is dat zeldzame en opkomende aanvalssoorten aan de radar voorbij gaan. Phishing is niet het probleem. Daar zijn Nederlanders inmiddels goed mee bekend. Het probleem is dat phishing slechts een deel van het dreigingslandschap vormt. Helpdeskfraude is een voorbeeld, waar 37 procent van de Nederlanders volgens ABN AMRO nooit van hebben gehoord. Dat moet anders, want helpdeskfraude leverde vorig jaar meer dan 40 miljoen euro aan schade op.

Een voorbeeld van zo’n opkomende aanvalssoort is pre-hijacking. Cybercriminelen hebben geen voorletters, rekeningnummers of wachtwoorden nodig om accounts te stelen. Een e-mailadres is doorgaans genoeg. Dat blijkt uit nieuw onderzoek van Microsoft.

Ongeveer de helft van ’s werelds populairste websites blijkt kwetsbaar voor de methode. Zorgwekkend, want pre-hijacking is verrassend makkelijk uit te voeren. De aanvaller gebruikt het emailadres van een slachtoffer om accounts aan te maken voor websites waarop het slachtoffer nog niet is geregistreerd. Probeert een slachtoffer op een later moment een account aan te maken, dan blijkt het mailadres reeds in gebruik. Vaak vraagt het systeem of het slachtoffer zijn of haar wachtwoord wil resetten. Het slachtoffer ontvangt de herstellink, wijzigt het wachtwoord en is zich niet van kwaad bewust.

Een aanvaller kan ingelogd blijven terwijl het slachtoffer het wachtwoord herstelt. De aanvaller wacht terwijl het slachtoffer de account in gebruik neemt, ververst de pagina en steelt alle gegevens die inmiddels zijn ingevoerd.

Of wat dacht je van de nieuwe aanval via Microsoft Office-documenten die zonder macro’s werkt? Daarbij kan alleen een preview van het document, zonder het bestand daadwerkelijk te openen, voldoende zijn om besmet te raken.

Redenen genoeg om scherp en alert te blijven. Vertrouw je iets niet? Trek aan de bel!

Wil je meer lezen over dit onderwerp?

Nederlanders gevaarlijk zelfverzekerd over cyberveiligheid

Helft van populairste websites kwetsbaar voor pre-hijacking

New Research Paper: Pre-hijacking Attacks on Web User Accounts

Nieuwe aanval via Microsoft Office-documenten werkt zonder macro’s