Phishing: hap niet toe

Cybercriminelen gebruiken valse e-mails of telefoontjes om bedrijfsinformatie, persoonlijke gegevens of inloggegevens te verzamelen waarmee ze zich zonder toestemming toegang kunnen verschaffen tot computers of applicaties. Als ze eenmaal binnen zijn, proberen ze vertrouwelijke informatie te bemachtigen, de inloggegevens en/of gevoelige informatie te verkopen of winst te maken - bijvoorbeeld via ransomware.

Om informatie los te krijgen of om het slachtoffer ervan te overtuigen iets in hun voordeel te doen, zullen cybercriminelen op iets inspelen waarin het slachtoffer gelooft of zich voordoen als een vertrouwenspersoon. Ze maken daarbij gebruik van hun zogenaamde autoriteit, een gevoel van urgentie of van het menselijk instinct om anderen te helpen.

E-mail phishing

De klassieke vorm van phishing gebeurt via e-mail. Cybercriminelen sturen een e-mail die er echt uitziet en vragen het slachtoffer een bijlage te openen of op een link te klikken. Via de bijlage wordt meestal malware gedownload en geïnstalleerd op de computer of mobiele telefoon van het slachtoffer. De link leidt om naar een website die op het eerste gezicht onschadelijk lijkt, maar in werkelijkheid probeert gevoelige informatie te stelen, zoals gegevens en wachtwoorden om toegang te krijgen tot de accounts van een organisatie of van haar medewerkers, of tot sociale en persoonlijke accounts en/of bankrekeningen. Het klikken op een link kan ook leiden tot een automatische download van kwaadaardige software (malware) naar het apparaat.

Phone phishing (en smishing)

Een andere vorm van phishing die tegenwoordig ook wordt gebruikt, is phishing via de telefoon. Het uiteindelijke doel blijft hetzelfde: cybercriminelen proberen toegang te krijgen tot informatie van een organisatie en/of tot persoonlijke accounts van medewerkers en deze te misbruiken. Via een tekstbericht kunnen ze een link sturen en het slachtoffer ertoe verleiden erop te klikken en zijn gegevens en wachtwoord in te voeren. Via een oproep kunnen ze proberen het slachtoffer te manipuleren om persoonlijke informatie te verkrijgen en deze later te gebruiken om toegang te krijgen tot zijn professionele en sociale media-accounts en bankrekeningen of andere persoonlijke informatie.

Cybercriminelen gebruiken verschillende technieken om ervoor te zorgen dat hun slachtoffer een valse bijlage opent of op een valse link klikt. In dit artikel staan enkele tips om te voorkomen dat je wordt opgelicht via phishing. De belangrijkste vragen die medewerkers zich moeten stellen zijn de volgende:

• Is het onverwacht?

Krijg je zonder reden een bericht van deze afzender: je kocht niets, had lang geen contact, enz. Controleer zeker verder.

• Is het dringend?

Hou je hoofd koel: kreeg je echt een eerste aanmaning tot betaling? Ken je die 'vriend in nood' wel?

• Ken je de afzender?

Controleer het e-mailadres, ook op spellingsfouten. Maar let op: een legitiem e-mailadres is geen garantie.

• Vind je de vraag vreemd?

Een officiële instantie zal je nooit via e-mail, sms of telefoon vragen om je wachtwoord, bankgegevens of persoonlijke gegevens.

• Naar waar leidt de link waar je moet op klikken?

Zweef met je muis over de link. Is de domeinnaam, het woord voor .be, .com, .eu, .org, … en voor de allereerste slash “/”, ook echt de naam van de organisatie?

Een voorbeeld:

• Bij de link www.safeonweb.be/tips is het domein safeonweb.
• Bij de link www.safeonweb.tips.be/safeonweb is ‘tips’ het domein en word je naar een andere website geleid.
• Staat er een QR-code in het bericht?

Als er een QR-code wordt getoond, moet je goed nakijken naar welke website die doorverwijst. Als je de code scant, krijg je de URL te zien. Controleer het domein zoals hierboven beschreven.

• Word je persoonlijk aangesproken?

Berichten met algemene en vage aanspreektitels, of je e-mailadres als aanspreking, die wantrouw je beter.

• Bevat het bericht veel taalfouten?

Ook al zorgen doorgewinterde cybercriminelen voor correcte taal, taalfouten of een vreemde taal kunnen wijzen op een verdacht bericht.

• Zit het bericht in je Spam/Junk folder?

Indien ja, wees extra voorzichtig. Je kan ook zelf verdachte berichten markeren als Spam of Junk en zo anderen waarschuwen.

• Probeert iemand je nieuwsgierig te maken?

Iedereen zou nieuwsgierig worden bij berichten met een link als "Kijk wat ik over jou las ..." of "Ben jij dit op deze foto?", maar laat je niet vangen.

• Wordt er gevraagd om een betaling uit te voeren?

Als er gevraagd wordt om een betaling uit te voeren die je niet verwacht, moet je altijd voorzichtig zijn. Is het rekeningnummer hetzelfde nummer als je gewoonlijk gebruikt om die organisatie of persoon te betalen? Als dat niet het geval is, voer de betaling dan niet uit. Vaak worden in phishingmails buitenlandse rekeningnummers gebruikt of wordt gevraagd om betalingen te doen via een cryptowallet. Dit is verdacht.

Als je twijfelt over een betaling, neem dan eerst contact op met je bank of met de organisatie die de betaling claimt. Doe dit niet via de contactgegevens in de e-mail, maar ga rechtstreeks naar de website van de organisatie zelf.

1.    Antwoord er niet op, open geen enkele bijlage en klik niet op de links.

Het belangrijkste wat je moet doen als je een phishing e-mail of sms krijgt, is er niet op ingaan.

2.    Neem rechtstreeks contact op met de afzender

Als je na alle gegeven tips nog steeds niet kunt zien of het een phishing-e-mail is of niet, check het dan rechtstreeks bij de betrokken persoon via een andere weg. Als de afzender van de e-mail een collega, een klant of een provider lijkt te zijn, bel die persoon dan om te zien of hij/zij echt je hulp nodig heeft. Als de e-mail afkomstig is van een andere organisatie, controleer dan hun officiële website door zelf het officiële adres in te voeren in de adresbalk.

3.    Deel nooit bankgegevens waar via sms of e-mail om wordt gevraagd

Vergeet niet dat geen enkele bank ooit een directe link zal geven om in te loggen op een bankrekening via sms of e-mail. Ze zullen ook nooit vragen om pincodes of geheime codes te geven, noch schriftelijk, noch telefonisch.

4.    Meld de poging tot phishing en verwijder de e-mail/tekst.

De phishing-e-mail of -tekst moet worden gemeld aan de IT-verantwoordelijke en aan de bevoegde nationale autoriteit (verdacht@safeonweb.be (NL/DE); suspect@safeonweb.be (FR); suspicious@safeonweb.be (EN)) en onmiddellijk worden verwijderd. Wanneer een bericht al in de Spam staat, mag je het zeker niet vertrouwen.

Wat als je bent opgelicht?

1. Meld het incident onmiddellijk aan je IT-verantwoordelijke
2. Waarschuw je medewerkers, klanten en leveranciers dat ze misschien een bericht gaan krijgen van iemand die zich voordoet als jou, en dat ze het niet moeten vertrouwen.
3. Wijzig alle gegeven wachtwoorden (indien van toepassing) op alle gebruikte accounts.
4. Als de oplichting bankgegevens betreft en je merkt dat er geld is gestolen van je eigen bankrekening, dien dan een klacht in bij de politie.
5. Bel onmiddellijk naar Card Stop op +32 78 170 170 en controleer zeker je rekeningafschriften. Als je verdachte activiteiten vaststelt, bel dan onmiddellijk je bank zodat zij je kunnen helpen.
6. Scan je apparaat: We raden je aan om een scan van je computer uit te voeren om er zeker van te zijn dat er geen virussen geïnstalleerd zijn.