Arnout Van de Meulebroucke (Phished) over de phishingtrends van 2021

Het woord ‘phishing’ klinkt de gemiddelde Belg vandaag de dag al een stuk bekender in de oren dan pakweg vijf jaar geleden. Iedereen zal wel van zichzelf beweren voorzichtig te zijn op het internet, maar de praktijk leert ons dat elke dag nog honderden Belgen in het phishingnet van cybercriminelen gestrikt worden. In 2020 maakte criminelen nog 34 miljoen euro buit in België en er zijn maar weinig reden om aan te nemen dat ze het dit jaar rustiger aan zullen doen. Tot die conclusie kwam ook de Leuvense startup Phished, gespecialiseerd in het aanbieden van cybersecurity awareness training voor bedrijven, na een onderzoek van de phishingtrends van 2020. Waar moeten we dit jaar alert voor zijn? Arnout Van de Meulebroucke, die zich op zijn 25e al drie jaar CEO van het bedrijf mag noemen, waarschuwt ons voor de opvallendste phishingtrends in 2021.

We toetsen eerst bij Van de Meulebroucke of er inderdaad kan gesproken worden van een stijging in het aantal phishingincidenten tijdens de eerste helft van 2021. Meer dan een ‘gevoelsmatige bevestiging’ kan Van de Meulebroucke daar nog niet op geven. “Het is nog te vroeg om over concrete data te beschikken voor 2021, maar je voelt wel aan dat phishing nog meer in de lift zit. Kijk maar naar de grootschalige smishingcampagne rond bpost die nu aan de gang is, je hebt misschien ook wel zo’n sms gekregen. Anders dan voorbije jaren kunnen we phishingcampagnes nu ook beter linken aan een actuele gebeurtenis. Het recent ontdekte datalek bij Facebook legde de contactgegevens van miljoenen Belgen bloot aan criminelen.” Daarnaast speelt het thuiswerken ook een rol in de toename van phishing. “Thuis stijgt vooral onze gevoeligheid voor spear-phishing. Dat komt onder meer omdat de barrière om hulp te vragen aan collega’s hoger is en je ook sowieso meer digitale communicatie verwacht.”

Phishing in 2021: hetzelfde recept met een persoonlijker sausje

“Kijken we naar de technieken die phishers vandaag de dag toepassen, dan stellen we vast dat de basis grotendeels dezelfde is gebleven”, gaat Van de Meulebroucke verder. “Natuurlijk hebben criminelen hun methoden wel verfijnd om hun bereik te vergroten. Phishingmails zijn veel persoonlijker geworden. De truc van de buitenlandse prins is geëvolueerd naar spear-phishing, waarbij de mails komen van organisaties die we vertrouwen en waar we ook berichten van verwachten, zoals onze bank of zelfs collega’s. Hoe meer we de afzender vertrouwen, hoe sneller we op een link zullen klikken. Bovendien worden de landingspagina’s ook steeds beter nagemaakt. Visuele elementen maken een groot verschil om de phishinglink geloofwaardiger te maken. Verder zien we dat voice-phishing via spraakberichten en smishing ook meer voorkomen.”

Van tijd tot tijd vinden criminelen ook nieuwe trucs uit om ons in de val te lokken. Phished waarschuwde onlangs voor een creatieve phishingtrend die via de agenda-app van je smartphone verloopt. De criminelen spammen je agenda met vreemde uitnodigingen die ze achter pop-ups en QR-codes verstopt hebben. Die vreemde agenda-uitnodigingen doen je geloven dat je een virus hebt binnengehaald, waarna je heel toevallig een mail voor een antivirussoftware krijgt. “Phishing is een miljardenbusiness. Criminelen zitten niet stil en sleutelen constant aan hun methoden om ze te verbeteren.”

Phished: van simulatie naar realiteit

Laat de vorige paragrafen als een duidelijke waarschuwing gelden. Gelukkig bestaat er ook een manier om phishing te bestrijden. Phished biedt anti-phishingtrainingen aan voor werknemers van bedrijven. Van de Meulebroucke legt ons uit hoe dat in zijn werk gaat. “Phished is in feite een AI-gedreven software waarmee we phishingcampagnes kunnen nabootsen. Die maken we persoonlijk voor elke deelnemer op basis van hun functies en interesses om de phishingmails voor hen relevant te maken. Een persoonlijk leertraject met relevante inhoud helpt werknemers om sneller te leren. Ook is het noodzakelijk om die basis regelmatig te herhalen en niet slechts een paar keer per jaar.”

Uit de cijfers van 2020 bleek dat het softwareplatform van Phished toch één op vijf deelnemers in de val kon lokken. “Dat toont des te meer aan dat phishing een menselijk probleem is. Daar is vroeger te weinig aandacht aan geschonken, mede door het uitblijven van grote incidenten in ons land. Er heerste een mentaliteit dat een goede firewall je wel voldoende zou beschermen. Maar je mag de menselijke kant niet vergeten, want je mensen zijn de zwakste schakel in je beveiliging. Je moet eigenlijk een ‘human firewall’ creëren”, aldus Van de Meulebroucke.

4 tips tegen phishing

Ter afsluiting geeft Arnout Van de Meulebroucke nog graag zijn persoonlijke anti-phishing tips mee:

1. Vergelijk digitale situaties met echte situaties: komt het niet juist over, dan is het dat meestal ook niet.
2. Kijk je afzender goed na: in het mailadres zit vaak al een goede hint.
3. Klik nooit op links die je via email krijgt zonder ze eerst te controleren.
4. Let op de toon van de mail: phishingmails willen je tot een actie aansporen. Er zit altijd een urgentie en dreiging achter om op je gevoel te spelen.