Social engineering en phishing in het mkb: zo maak je medewerkers de sterkste schakel

Wat is social engineering?

Social engineering is een manipulatie-techniek waarbij cybercriminelen zich voordoen als betrouwbare entiteiten om vertrouwelijke informatie of toegang tot systemen te verkrijgen. Dit kan via e-mail, telefoon, sms, WhatsApp, maar ook fysiek via bijvoorbeeld een nep-bezoeker die zich voordoet als medewerker van een leverancier.

De aanvaller speelt in op de menselijke neiging om anderen te vertrouwen en gebruik te maken van autoriteit, urgentie of schijnbare hulpverlening om de gewenste informatie of toegang te krijgen.

Voorbeeld van social engineering via e-mail (phishing):
Een medewerker ontvangt een e-mail die lijkt te komen van de bank, waarin gevraagd wordt om in te loggen via een link om de bedrijfsaccount te verifiëren. De link leidt naar een nagemaakte website waar de inloggegevens worden gestolen.

Typische social engineering scenario’s voor mkb

In het mkb worden vaak de volgende social engineering-aanvallen gebruikt:

• Nep-beslisser: Een aanvaller doet zich voor als een belangrijke leidinggevende en vraagt om gevoelige informatie of betalingen over te maken.
• Nep-leverancier: Een aanvaller doet zich voor als een vertrouwde leverancier en vraagt om betalingen of gevoelige gegevens die normaal via die leverancier worden gedeeld.
• Nep-IT’er: De aanvaller neemt contact op met medewerkers, zegt dat hij van de IT-afdeling is en vraagt om toegang tot systemen of apparatuur om een ‘noodzakelijke update’ uit te voeren.
• Phishing via e-mail, sms of WhatsApp: Hierbij krijgt de werknemer een bericht waarin gevraagd wordt om op een link te klikken, in te loggen of persoonlijke gegevens in te vullen.

Al deze aanvallen spelen in op het gebrek aan kennis over cyberdreigingen en het ontbreken van een gecontroleerd proces om verdachte berichten te identificeren.

Hoe maak je medewerkers de sterkste schakel?

Medewerkers zijn vaak de eerste verdedigingslinie tegen social engineering-aanvallen. Door ze goed voor te bereiden en bewust te maken van de risico’s, kunnen ze leren hoe ze verdachte situaties herkennen en wat ze moeten doen.

Er zijn een aantal stappen die u kunt nemen om de medewerkers van uw organisatie sterker te maken:

• 1. Het 4-ogen-principe: Laat medewerkers altijd controleren bij collega’s of het verzoek wel klopt, vooral als er grote bedragen of gevoelige gegevens worden gevraagd.
• 2. Nooit op druk reageren: Cybercriminelen proberen vaak een gevoel van urgentie te creëren. Medewerkers moeten leren altijd even te pauzeren voordat ze reageren op verzoeken die urgent lijken.
• 3. Check-calls: Als een medewerker twijfel heeft over een e-mail of telefoontje, moet hij altijd de bron bellen (bijvoorbeeld de bank of leverancier) om het verzoek te verifiëren.
• 4. Afspraken over beveiliging en verwerking van gegevens: Duidelijke richtlijnen voor het veilig omgaan met gevoelige informatie, zowel op kantoor als thuis (thuiswerkbeleid).

De rol van awareness-training

Het trainen van medewerkers is een van de krachtigste manieren om social engineering en phishing-aanvallen te voorkomen. Awareness-training helpt medewerkers om phishingpogingen en andere social engineering-technieken te herkennen en effectief te handelen.

Een eenvoudige basistraining kan het volgende omvatten:

• Wat is phishing en social engineering? Hoe herken je dit?
• Wat moet je doen als je een verdachte e-mail ontvangt?
• Hoe werkt MFA (Multi-Factor Authenticatie) en waarom is het belangrijk?
• Case studies en realistische scenario’s om het bewustzijn te vergroten.

Deze training kan eenvoudig online worden gegeven, met periodieke updates om medewerkers alert te houden.

Checklist: 7 signalen van een verdachte e-mail of telefoontje

Gebruik deze checklist om medewerkers te helpen verdachte berichten te identificeren:

• Is de afzender onbekend of lijkt de e-mailadres verdacht?
• Wordt er dringende actie gevraagd, zoals een betaling of het invullen van gevoelige informatie?
• Is er een fout in de spelling of grammatica van het bericht?
• Wordt u gevraagd om op een onbekende link te klikken of bijlage te openen?
• Is het verzoek ongebruikelijk voor de afzender (bijvoorbeeld een leverancier die ineens om betalingsgegevens vraagt)?
• Wordt er onterecht persoonlijke informatie gedeeld of gevraagd?
• Is de communicatie ongevraagd en onverwacht (bijvoorbeeld een ongevraagd telefoontje van de “helpdesk”)?

Als een van deze signalen aanwezig is, moeten medewerkers altijd controleren of de informatie klopt voordat ze verder gaan.

Meer weten over cybersecurity en trainingen?

Bij Process 2 IT helpen we bedrijven zoals het uwe om cyberdreigingen te herkennen en effectief te reageren. Onze diensten omvatten niet alleen technische beveiliging, maar ook medewerkersbewustzijnstraining en het opzetten van duidelijke procedures voor incidenten.

Neem vandaag nog contact met ons op voor een vrijblijvend adviesgesprek of vraag meer informatie over onze Cybersecurity-diensten en trainingen voor uw medewerkers.

Veelgestelde vragen over social engineering en phishing in het mkb

Heb ik een eigen IT-afdeling nodig om social engineering en phishing te voorkomen?

Nee, dat is niet nodig. De meeste mkb-bedrijven hebben geen eigen IT-afdeling, maar kunnen toch een goed niveau van beveiliging bereiken. Met een helder beleid, duidelijke afspraken en basismaatregelen zoals MFA, endpointbeveiliging en goede back-ups verkleint u al veel risico’s. Een IT-partner kan helpen om deze maatregelen technisch goed in te richten en u ondersteunen bij incidenten en verbeterplannen.

Wat zijn de eerste stappen om mijn medewerkers te wapenen tegen phishing?

Begin met bewustwording en overzicht. Leg kort uit wat phishing en social engineering zijn, laat voorbeelden zien en spreek af hoe medewerkers verdachte berichten moeten melden. Schakel multifactor-authenticatie (MFA) in voor belangrijke accounts, controleer of medewerkers veilig met wachtwoorden omgaan en zorg dat er één duidelijk aanspreekpunt is voor vragen over verdachte e-mails of telefoontjes.

Hoe kan Process 2 IT helpen met phishing-bescherming en training?

Process 2 IT combineert technische maatregelen met aandacht voor de menselijke kant. We helpen bij het inrichten van beveiliging rond e-mail, accounts en werkplekken, en we bieden trainingen en sessies om medewerkers phishing en social engineering te leren herkennen. Daarnaast kunnen we samen met u een praktisch incidentproces opzetten, zodat iedereen weet wat te doen als er toch iets verdachts gebeurt.