In een eerdere blog heb ik wat geschreven over phishing: via besmette e-mails toegang krijgen hackers tot een computer. Vervolgens neemt de hacker contact op en stelt voor om tegen een vergoeding de schade weer ongedaan te maken. Er zijn hackers die voor het grote geld gaan en die vorm van oplichting wordt whaling genoemd. De schade als gevolg van whaling is relatief groot. Bij whaling wordt het slachtoffer overtuigd om zelf geld over te maken!
De werkwijze van whaling
Hoe overtuigt een hacker het slachtoffer zelf geld over te maken naar een rekeningnummer van een hacker? Heel simpel: de hacker doet zich voor als iemand anders. Dit heet spoofing. Er zijn verschillende soorten van spoofing. Een hacker kan bijvoorbeeld een e-mail van een directeur nabootsen. Uit naam van die directeur wordt vervolgens een e-mail verstuurd naar de administratie. In de e-mail geeft de directeur (de hacker dus) opdracht om een bepaalde betaling per ommegaande te verrichten. Kenmerkend voor deze werkwijze is:
- dat de directeur niet fysiek aanwezig is;
- er per e-mail druk wordt uitgeoefend om een betaling per ommegaande te verrichten;
- er geen telefonisch of persoonlijk overleg mogelijk is met de directeur;
- de valse e-mail moeilijk te onderscheiden is van een echte e-mail.
Daarnaast kan bijvoorbeeld het telefoonnummer waarmee je belt worden vervalst. In dit Youtube filmpje is te zien hoe een hacker binnen 2 minuten de toegang tot een persoonlijk account verkrijgt. Gewoon door het vervalsen van het telefoonnummer en de noodzaak om iets per ommegaande geregeld te hebben.
Schade door whaling
De schade door whaling valt meestal hoger uit dan bij phishing. Een hacker heeft immers meer tijd en aandacht besteed om zijn slachtoffer te overtuigen. Zo heeft een hacker een bedrijf weten te overtuigen $ 100 miljoen over te maken. Hoe? Door e-mails en facturen te vervalsen. Een schooldistrict in de VS heeft door het vervalsen van de e-mail van de directeur $ 46.000 overgemaakt aan de hacker. In Nederland is vorig jaar via whaling een bedrag van ongeveer € 250.000 van een bedrijf ontvreemd. De directeur was met de vakantie. Vanaf zijn “vakantieadres” had de directeur een e-mail gestuurd, dat een bepaald persoon contact zou opnemen over een achterstallige betaling. En wat gebeurt, die persoon neemt contact op, verwijst naar het e-mail verkeer…en het vervolg is wel te raden.
Word geen slachtoffer van whaling
Phishing, whaling, spoofing: allemaal termen voor verschillende vormen van digitale oplichting. Ze hebben de volgende overeenkomsten. De hackers spelen altijd in op je gevoel en voeren de tijdsdruk enorm op. Zo wordt het slachtoffer overtuigd om mee te werken. Word geen slachtoffer:
- Op vakantie, prima! Maar denk na over wat je wanneer post op social media. Wat je op social media plaatst is zichtbaar voor iedereen.
- Houd je aan de gemaakte interne afspraken en processen. Ze zijn er niet voor niets. Het is ook een prima back up om je juist niet door je gevoel te laten (mis-)leiden.
- Maak afspraken dat “spoedjes” niet zonder telefonische of persoonlijke afstemming worden verwerkt.
- Stel vreemde verzoeken altijd persoonlijk af, vaar niet blind op de e-mail.
- Informeer je collega’s over deze vorm van oplichting.
Security Awareness
De mens is zowel de zwakste als de sterkste schakel bij deze digitale vorm van fraude. Ik kan u helpen uw medewerkers bewuster te maken van de digitale risico’s. Heeft u vragen, neemt u dan gerust contact met mij op.
