Welke mensen hebben de meeste kans om te worden gehackt?

Wekelijks gaat presentator Remy Gieling met diverse deskundigen in gesprek over belangrijke thema’s binnen de wereld van digitale veiligheid. In deze uitzending ligt de focus op VIPS, oftewel personen met een verhoogde kans om te worden gehackt. Wat kunnen zij doen om zich tegen cyberboeven te beschermen?

De gasten van deze week zijn: Sanne Maasakkers (cyberspecialist bij NCSC), Sjoerd Bakker (CEO Ticketcounter) en Dave Maasland (CEO ESET Nederland).

Kijk de uitzending hier terug

VIP, oftewel een very important person doet snel denken aan bekende Nederlanders of internationale sterren. Maasland stelt dat we dit begrip in de wereld van digitale veiligheid veel breder moeten zien: "Je bent sneller een VIP dan je denkt; van CEO tot HR-medewerker en van journalist tot advocaat." Daarbij stelt de cyberexpert dat je, als je voor criminele hackers een interessant doelwit bent, geen gekke bokkensprongen moet maken. "Jaren geleden waren er Franse toeristen in safaripark Beekse Bergen die dachten dat het een goed idee was om bij de jachtluipaarden uit te stappen. Dat moet je dus niet doen. Ditzelfde geldt voor VIPS; heb je een bepaalde zichtbaarheid, dan moet je bepaalde zaken niet (willen) doen. Positieve noot van deze uitzending is dat er veel wél te doen is. Maar doe geen gekke dingen."

Maasakkers doet veel onderzoek naar het hacken van personen. Als individu kunnen we met behulp van infostealers worden gehackt. Hoe werkt dat? “Infostealers zijn stukjes software op je computer die bijvoorbeeld door het drukken op een spam e-mail automatisch worden geïnstalleerd. Zonder dat je het doorhebt, kan het allerlei informatie naar cybercriminelen doorsturen. Dit kan een wachtwoord zijn, maar het kan ook meer informatie over je computer zijn. Criminele hackers maken als het ware een volledig pakket aan informatie over jou om aan andere criminelen door te verkopen."

Bakker kan persoonlijk meepraten over wat het doet als je wordt gehackt. Enkele jaren geleden hebben criminele hackers klantgegevens gestolen én is hij persoonlijk bedreigd. "Een aantal weken geleden belde de politie dat de cybercriminelen zijn opgepakt en dan komt het gevoel weer in alle hevigheid terug. Ik wil er alles aan doen om een zaak tegen deze mensen te maken. Tijd voor rechtwaardigheid!"

Cyberaanval op KNVB

Eerder deze maand meldde de KNVB dat cybercriminelen op het ICT-netwerk hadden ingebroken. De beruchte ransomwareclub Lockbit zou achter de aanval zitten. Niet veel later werd bekend dat de criminele hackers persoonsgegevens van medewerkers hadden gestolen en inmiddels blijken ze ook gevoeligere informatie in hun bezit te hebben. Betaalt de voetbalclub niet, dan worden gestolen gegevens openbaar gemaakt. Wat hebben deze criminele hackers aan gegevens van de KNVB? Potentieel zou dit het grootste datalek in de voetballerij kunnen zijn, maar het kan ook bluf zijn, stellen de experts. Maasland vult aan: "Het zal voor Lockbit enkel een chantagemiddel zijn. De data zelf zou hen weinig interesseren. Komt de data - denk aan interne beleids- en tuchtzaken - op straat te liggen, dan is de KNVB daar niet blij mee. Er ligt hier zeker iemand van wakker."

Explainer: VIPS, houd je veilig

Wekelijks maakt techredacteur Harm Teunis je in begrijpelijke taal wegwijs in de wereld van cybersecurity. Deze week gaat hij in op de vraag wat BN'ers, CEO's, journalisten, advocaten en andere mensen met een verhoogd risicoprofiel kunnen doen om zichzelf online beter tegen kwaadwillende hackers te beschermen. "Voor iedereen geldt om tweestapsverificatie in te stellen, sterke wachtwoorden te gebruiken, backups te maken en apparaten up-to-date te houden. Echter, voor publieke figuren is dat niet genoeg. Zij zijn namelijk een nóg interessanter potentieel doelwit voor criminele hackers."

Inhakend op de explainer vertelt Bakker wat hij zelf heeft gedaan toen hij als CEO werd gehackt. "We hadden al veel goed geregeld, maar een aantal zaken konden we verbeteren. Dit hebben we dan ook gelijk gedaan. Zo zijn we voor een ISO 27001-certificering - de wereldwijd erkende norm op het gebied van informatiebeveiliging - gegaan, die ons als hele organisatie bewust heeft gemaakt van wat we aan het doen zijn. En daarnaast zijn we intern met password managers en tweestapsverificatie met authenticator app gaan werken. Zaken waarin we de medewerkers hebben moeten nemen."

Cyberveiligheid in de praktijk

Terugkerend item in Cybersessies is hoe bedrijven met cyberveiligheid en nieuwe technologieën omgaan. Deze week komt verslaggever Suzanne Blonk niet over de vloer bij een bedrijf, maar bij een VIP; Adil Auassar, aanvoerder bij Sparta. Hij werd gehackt. Hoewel hij met de schrik is vrijgekomen, heeft hij zich heel machteloos gevoeld. Wat heeft hij gedaan toen hij werd gehackt? "Twee jaar geleden kwam ik erachter dat ik was gehackt. Tot mijn verbazing zag ik op mijn telefoon hele vervelende berichten. We beseffen ons vaak niet hoe kwetsbaar we zijn met alles wat we op onze smartphone doen."

Net als Auassar vertelt Bakker hoe hij is gehackt en wat hij heeft gedaan. "Ik wilde sowieso niet betalen. Er was namelijk geen ransomware geïnstalleerd, waardoor we gewoon met Ticketcounter konden doordraaien. Echter, er waren veel persoonsgegevens gestolen die mogelijk op straat zouden kunnen komen te liggen. Ik voelde de noodzaak om onze klanten te informeren, voordat criminele hackers dat zouden doen."

Maasakkers raadt bedrijven aan om van tevoren dergelijke situaties te oefenen. "Als je weet wie je moet bellen voor hulp bij een hack - zo simpel kan het zijn -, dan kan dat al heel waardevol zijn. Zo kun je gelijk stappen zetten. Weet je niet wat je kan doen, dan kun je uit paniek handelen en kan er meer schade ontstaan."