Grote actie tegen malware doet meer kwaad dan goed

Het is voor ons geen nieuws dat ‘online’ een hoop misdaad plaatsvindt. Het voert misschien wat ver om te zeggen dat dit feit wel nieuws is voor onze overheid. Toch denk ik wel te kunnen stellen dat het besef van dit fenomeen slechts op trage wijze is binnengedruppeld bij onze bestuurders. Door de late start, gecombineerd met het feit dat er vervolgens eerst nog een nieuw orgaan (het Centrum voor Cybersecurity België, of kort: CCB) moest worden opgetuigd en ingewerkt, is er een grote achterstand ontstaan. Een achterstand op de cyberboeven, maar ook op onze buurlanden.

Een goed voorbeeld hiervan is de krantenkop die ik op 9 september las: Honderdduizenden Belgen krijgen melding: ‘U bent gehackt’. Bijna 6 (!) jaar geleden heb ik zo’n zelfde krantenartikel al eens gelezen in Nederland, nadat de politie daar het Bredolab botnet had gepoogd te ontmantelen. De Nederlandse politie maakte vervolgens gebruik van één van de servers van het botnet, om daarmee de rechtmatige eigenaars van alle bots (geïnfecteerde pc’s) een bericht te sturen waarmee zij geïnformeerd werden over de geïnfecteerde status van hun pc. Hierna barstte een enorme discussie los over het al dan niet illegale karakter van deze ‘terughack-actie’ binnen de Nederlandse wet. Privacy-voorvechters stonden op hun achterste benen: dit was hacken en daarmee computervredebreuk!

De CCB lijkt hierover al te hebben nagedacht en is vooraf het gesprek aangegaan met de Privacycommissie en met het gerechtelijk systeem om er zeker van te zijn dat er binnen de wet en binnen de toelaatbare privacynormen kon worden gehandeld. Door een constructie op te zetten met de internetproviders, worden alle potentiële bezwaren mooi ontweken. Echter, het bezwaar dat ik destijds aanvoerde, wordt ook bij deze campagne weer volkomen genegeerd: hoe kunnen consumenten het verschil tussen dit bericht zien en een vals bericht? Want je kunt er absoluut van uit gaan dat de waarschuwing van de internetproviders met daarin de link naar een webpagina met tips over een beter beveiligde computer zullen worden nagemaakt. Alleen zal de link dan niet leiden naar tips, maar naar een infectie met malware of naar een phishingsite, waar persoonlijke gegevens worden afgetroggeld.

Iemand die de waarschuwingsmail een beetje deftig weet te kopiëren en de hyperlink weet aan te passen (hiervoor hoef je niet te hebben gestudeerd), kan de klus klaren. Het mooie is ook dat deze nepmail naar iedereen kan worden verstuurd: mensen kunnen over het algemeen toch niet met zekerheid beweren dat hun pc niet geïnfecteerd is. Nu er zoveel media-aandacht is voor deze waarschuwingscampagne, zullen mensen veel ontvankelijker zijn voor de nepmail. Ze wisten immers al dat ze een dergelijke mail van hun internetprovider konden verwachten…

Wellicht vind je mij pessimistisch en sceptisch. Je denkt misschien dat deze mogelijke gevaren opwegen tegen de enorme voordelen van de actie, die, volgens de krantenkop, wel honderdduizenden Belgen gaat helpen om van de malware op hun pc af te geraken. Maar ook dat trek ik in twijfel. Ik vermoed dat er vier uitkomsten mogelijk zijn. Deze kunnen worden gezien als een grote afvalrace van ontvangers van de waarschuwingse-mail.

1. Een flink deel van de ontvangers zal vermoeden dat het om spam gaat (op zich een heel verstandige instelling!) en gooit de mail ongelezen weg, zoals wij al jaren adviseren bij ongevraagde e-mail.
2. Het overgebleven deel van de ontvangers leest de mail. Van hen zullen er velen denken ‘Ik merk helemaal niets aan mijn pc, dus het kan helemaal niet dat mijn pc is geïnfecteerd.’ Of deze mensen – die verder geen actie zullen ondernemen – echt geloven dat de mail per ongeluk naar hen is verstuurd, of dat zij opzettelijk kiezen voor struisvogelpolitiek (‘Zolang ik niks merk aan mjin pc, maakt het mij verder niet uit of die nu wel of niet besmet is’), laat ik in het midden. Feit blijft, dat de mail op deze mensen geen effect heeft.
3. De ontvangers die de mail hebben gelezen en de situatie van hun pc ook echt willen verbeteren, klikken op de link. Vergeet niet: deze mensen hebben in het verleden al een malware-infectie opgelopen en kennelijk nooit een goede virusscanner ingezet waarbij de infectie werd opgemerkt. Het kan dus goed zijn dat deze mensen niet direct de meest technisch geavanceerde internetgebruikers zijn. Als zij dan vervolgens op de webpagina met tips lezen dat zij hun pc het beste kunnen formatteren en opnieuw installeren, zal het hen vermoedelijk beginnen te duizelen. Mogelijk hebben zij al moeite om de tip goed te begrijpen. Degenen die de tip wel goed begrijpen, zullen inzien dat het vrij veel werk is om dit te doen of dat het serieus geld gaat kosten om een expert in te huren om dit voor hen te doen. Mijn inschatting is dat de overgrote meerderheid zal afhaken, te meer omdat zij zelf eigenlijk geen nadeel ondervinden van de malware (waarvan zij tot enkele minuten geleden niet eens wisten dat die op hun pc stond). Een echt (eigen) belang ontbreekt, wat de motivatie om moeilijke handelingen te verrichten uiteraard erg doet slinken.
4. Slechts een zeer klein deel heeft voldoende goede wil en technisch zelfvertrouwen om de tijdrovende stappen te nemen om hun pc volledig malware-vrij te krijgen en zal daadwerkelijk profiteren van deze hele campagne.

Ik zal mij niet wagen aan percentages of absolute getallen van mensen die geholpen zullen zijn door deze goedbedoelde campagne, maar deze voorspelling durf ik wel aan: aan het einde van de campagne zijn er – door de onafwendbare succesvolle namaakmails – meer besmette pc’s dan vóór de campagne.