Hopen dat phishing verdwijnt is geen oplossing, een betere bescherming wel

Bedrijven worden nog vaak geviseerd door cybercriminelen om phishingmails naar te sturen. Voor de criminelen is de phishingpraktijk dan ook een manier om veel geld op een snelle manier te verdienen.  

Phishing blijft een enorm groot probleem in de maatschappij vandaag de dag. Door de hybride werkwereld zien experts de omvang van het probleem bovendien alleen maar toenemen. Thuis hebben werknemers vaak niet de mogelijkheid om een verdachte mail onmiddellijk te melden, waardoor al eens sneller geklikt wordt op een gevaarlijke link.

Tijdens het CyberFit-evenement van Acronis vatte Candid Wüest, VP voor cyberprotectie-onderzoek bij Acronis, de koe bij de hoorns. Volgens hem spelen ook de steeds geavanceerdere technieken om phishingmails te verspreiden en de eenvoudigheid om het bericht op te zetten mee in het voordeel van de cybercriminelen.

Inspelen op de creatieve oplossingen waar cybercriminelen altijd mee uitpakken, heeft immers tijd nodig. In die tijdspannen kunnen cybercriminelen hun technieken toepassen en nieuwe bedenken. Tijdens het evenement geeft Wüest wat tips mee om het probleem aan te pakken en het tij te keren.

Hoogste prijs betaalt door bedrijven

Bij personen zijn kruimels te verdienen, maar de grote koek is toch te halen bij bedrijven. Dat bewijzen de cijfers die worden uitgelicht in het Cyber Readiness Report 2021 van Acronis.

Het gegeven dat thuiswerk zo populair is vandaag, heeft aan die problematiek zeker bijgedragen. Daarom focust het onderzoek op werknemers die van thuis uit werken. Bij onze buurlanden Frankrijk, Nederland en Duitsland, bereikten doorgaans gemiddeld één tot vijf phishing e-mails per maand de mailbox van de werknemers. Opvallend en zorgwekkend is echter dat vijftien tot twintig procent van de ondervraagden ook aangeeft 20 phishing e-mails op maandbasis te ontvangen.

Om de phishingproblematiek in kaart te brengen, bevraagde Acronis 3.600 IT-managers en werknemers die van thuis uit werken. In totaal namen werknemers vanuit achttien landen deel aan de studie.

Tijdens het CyberFit-evenement van Acronis dook Wüest dieper in de kwestie. Volgens hem kreeg Acronis ook te maken met nieuwe manieren waarop phishing verspreidde. Zo werden er bijvoorbeeld voor communicatieplatform Zoom e-mails met vergaderingsuitnodigingen rondgestuurd. Om de uitnodiging te accepteren, werd gevraagd in te loggen op een namaakwebsite van Zoom. Eens de gegevens daar werden achtergelaten, was het kwaad al geschied. 

Volgens Wüest heeft Acronis zijn handen vol gehad aan het blokkeren van gevaarlijke websites: “Er konden 62 procent meer phishingpogingen onderschept worden in de tweede helft van 2021. Uiteindelijk blokkeerden we zo 2,5 miljoen geïnfecteerde URL’s.” Dat is een enorm hoog cijfer aangezien de diensten van Acronis enkel kijken naar URL’s die door werknemers worden doorgestuurd. Op dat moment hebben andere beschermingsmiddelen met andere woorden al gefaald in het gevaar te detecteren.

Wie het kleine niet eert

Veel cybercriminelen blijken toch ook van de kruimels te genieten. De omvang van phishing binnen België werd door het Centrum voor Cybersecurity België (CCB) nog maar eens duidelijk in cijfers weergegeven.

In 2020 nam het aantal geregistreerde slachtoffers van phishing toe met 204 procent tegenover het jaar voordien. In totaal werden zo 67.000 frauduleuze transacties uitgevoerd, de slachtoffers achter dat cijfer zijn zowel bedrijven als personen. Binnen België wisten cybercriminelen door phishing een bedrag van 34 miljoen euro te verdienen.

Steeds meer mensen lopen dus in de val van phishing. Binnen België wordt dat cijfer ook verklaard door onwetendheid. Zo blijkt 12 procent van de Belgen nog nooit van de term te hebben gehoord. Opvallend is dat het aantal personen die nooit van phishing hoorde, nog is flink de hoogte ingaat bij jongere leeftijdsgroepen (30%).

Om phishers minder kansen te bieden lanceert het CCB de Safeonweb-app. Dat is een mooi initiatief om de waakzaamheid van iedere Belg te verhogen, maar een oplossing voor het probleem zal het niet bieden. De app verzamelt namelijk informatie uit phishingberichten die werden doorgestuurd naar het meldadres verdacht@safeonweb.be. Op dat moment is het phishingbericht dus al in omloop.

Phishingproblematiek niet bij iedereen bekend

Terwijl de coronapandemie het probleem van phishing alleen maar vergrootte, bevinden veel bedrijven zich nog in de ontkenningsfase. “36 procent van de deelnemers geeft aan dat nog nooit een phishingmail te hebben ontvangen. Dat is heel erg onwaarschijnlijk, maar deze werknemers zullen zich waarschijnlijk niet bewust zijn dat ze een phishingmail hebben ontvangen.”

“Op dat vlak is er nog veel mogelijkheid voor cybersecuritytrainingen.” In het rapport wordt er nog verder verklaard waarom het belangrijk is om zo snel mogelijk te investeren in training. Mensen zullen namelijk op afstand blijven werken. Op die realiteit waren de meeste IT-teams niet voorbereid toen de pandemie startte, maar over de tijd heen vonden ze daar wel nieuwe oplossingen voor.

Een ander belangrijk weringsmiddel is volgens Wüest tweestapsverificatie. Hij betreurt het dat bedrijven daar nog maar weinig in investeren: “Van de respondenten gaf 47 tot 48 procent aan dat er geen tweestapsverificatie wordt gebruikt in het bedrijf.”

Creativiteit is troef

Het grootste probleem bij phishing is dat de cybercriminelen achter de praktijken steeds nieuwe wegen vinden om phishing tot bij personen en bedrijven te krijgen. Hoewel verspreiding via e-mail een nog steeds goed benutte weg is, duiken phishingberichten ook steeds vaker op voor de smartphone.

Wüest krijgt bijvoorbeeld veel meldingen binnen van phishing in sms-berichten. In die berichten doet de afzender zich voor als leidinggevende van de ontvanger. Vaak krijgt het slachtoffer de vraag om geld over te maken door op een link in het bericht te klikken. Op die manier zou het bedrijf een belangrijke deal kunnen sluiten. “Het slachtoffer dat dan ook werkelijk gemachtigd is om betalingen aan partners te maken, staat dan voor een enorm dilemma. Als het bericht werkelijk van de leidinggevende afkomstig is, dan zal de werknemer worden verweten niet te luisteren.”

Het slachtoffer dat dan ook werkelijk gemachtigd is om betalingen aan partners te maken, staat dan voor een enorm dilemma. Als het bericht werkelijk van de leidinggevende afkomstig is, dan zal de werknemer worden verweten niet te luisteren.

Candid Wüest, VP voor cyberprotectie-onderzoek bij Acronis

Deze phishing sms-berichten vergelijkt Wüest met postkaarten. Toen het versturen van geschreven brieven en kaarten nog erg in trek was, kon je als ontvanger namelijk ook de identiteit van de afzender niet controleren.

Om dat probleem voor een deel de wereld uit te helpen, biedt Acronis een e-mailbeveiliging aan. Spam, phishing en malware zouden door de dienst automatisch geblokkeerd worden. Op die manier wordt wel een verdediging gebouwd, waardoor het phishingbericht niet langer bij de gebruiker terechtkomt.

“Bedrijven raad ik echt aan om te investeren in e-mailbeveiliging. Phishing-aanvallen blijfven namelijk toenemen omdat het werkt.”

Toekomst

Naast het probleem dat cybercriminelen hun methodes om phishing te verspreiden steeds aanpassen, is ook de eenvoudigheid problematisch. Wüest stelt dat phishing een populaire praktijk is door de eenvoudigheid waarmee een val kan worden opgezet.

Nieuwe technologieën zoals AI maken het alleen maar eenvoudiger voor cybercriminelen. “Ontvangers van phishingberichten zullen in de toekomst nog sneller geneigd zijn om op de link te klikken. Dat komt doordat AI informatie verzamelt van de slachtoffers, waardoor berichten heel persoonlijk worden.”