Op een nieuwe manier inloggen bij je bank? Wees alert!

Eén van de belangrijkste strategieën van cybercriminelen is op slimme wijze gebruikmaken van introducties van nieuwe tools en diensten van vertrouwde organisaties. Denk bijvoorbeeld aan de Rabo Scanner, de komst van handige betaalapps, de invoering van Track & Trace voor pakketjes of de introductie van DigiD en de OV-chipkaart. Criminelen hebben een neus voor dergelijke introducties. Mensen moeten vaak wennen aan een nieuwe tool of dienst. Ze weten niet direct hoe het precies werkt en wat ze kunnen verwachten. Cybercriminelen maken daar op slinkse wijze misbruik van. Een greep uit de voorbeelden van afgelopen jaren.

Thumb-Rabobank

Introductie Rabo Scanner

Neem bijvoorbeeld de introductie van de Rabo Scanner als opvolger van de Rabo Random Reader. Internetcriminelen speelden hier destijds direct op in en stuurden klanten valse e-mails over de Rabo Scanner. Met een professional uitziende mail inclusief digitale handtekening, waarbij gebruik gemaakt werd van een domeinnaam die sterk leek op de echte, vroegen de criminelen Rabobank-klanten als voorbereiding op de komst van de Rabo Scanner alvast iets te activeren. Hierbij werden belangrijke persoonsgegevens uitgevraagd. Opvallend was de naam onder de valse mail, Frank Smeerlinker. Die naam stond ook onder eerdere valse mails naar Rabo-klanten over het treffen van voorbereidingen in het kader van de overstap naar IBAN. Pim Pastoors, productmanager DBS, vertelt: "De Rabobank heeft recent aangekondigd te werken aan een opvolger van de Rabo Scanner. Alleen al die aankondiging zorgt alweer voor een piek in online misbruik."

Opkomst online betaalapps

Een recenter voorbeeld, enige tijd terug waren de online betaalapps zoals Tikkie opkomst. Deze maakten een einde aan gedoe met rekeningnummers en wachten op je geld. Deze apps zijn helaas ook direct door cybercriminelen ontdekt. Consumenten bieden via online marktplaatsen allerlei producten aan. Wanneer een consument wil verkopen, vraagt de cybercrimineel bijvoorbeeld via WhatsApp om 1 cent over te maken. Dat klinkt niet onwaarschijnlijk, er zijn namelijk meerdere grote bedrijven (o.a. streaming services, verzekeraars, energiebedrijven) die je tegenwoordig vragen om eenmalig 1 cent over te maken om je te identificeren. De link die de cybercrimineel vervolgens stuurt, leid je naar een phishingsite die lijkt op de website van je bank. Het bedrag en rekeningnummer van de koper zijn al ingevuld. Het overmaken van 1 cent verloopt normaal. Niks aan de hand zo lijkt het. Maar wat je niet in de gaten hebt, is dat de link je doorverwees naar een phishingsite. Hierdoor kan de cybercrimineel de betaling van 1 cent eenvoudig veranderen in een groter bedrag met als ontvanger de cybercrimineel zelf.

Invoering AVG

Ook een goed voorbeeld is de invoering van de nieuwe privacywetgeving, de Algemene verordening gegevensbescherming in mei dit jaar. Wekenlang stuurden allerlei bedrijven e-mail over hun aangepaste privacybeleid. De meeste mails zijn daadwerkelijk afkomstig van bedrijven, maar ook hier speelden cybercriminelen slim op in. De Consumentenbond berichtte over Nederlandstalige phishingmails zogenaamd van ABN Amro en een Engelstalige uit naam van Airbnb. In beide mails werd de ontvanger gevraagd het privacybeleid te bevestigen om er gebruik van te kunnen blijven maken. Met als belangrijkste doel: het stelen van de inloggegevens. Pastoors: "Het is logisch dat mensen hier in trappen. Zeker na nieuwe introducties, als men nog niet gewaarschuwd is, is het heel lastig om echte mails van neppe te onderscheiden. Criminelen pakken dit uiterst geraffineerd aan."

Wat kun je zelf doen?

  • Zorg dat je alert bent bij introducties van nieuwe tools of diensten

  • Bezoek via de browser de officiële website van een bedrijf en kijk of je meer informatie kunt vinden over het product of dienst.

  • Bel desnoods het bedrijf om te vragen dat het klopt of je een mail van ze hebt ontvangen.

  • Last but not least, controleer altijd de afzender. Klopt de domeinnaam? Is dit het officiële mailadres van het bedrijf?

  • Kijk op de website van de Fraudehelpdesk of er meldingen van phishing of fraude bekend zijn.

Wat kun je als bedrijf doen?

Pastoors: 'Zorg allereerst voor goede communicatie op je website. Een bericht op de homepage waarin je de nieuwe introductie uitgebreid toelicht. Daarnaast is het slim om foutieve berichtgeving en phishingmails te monitoren. De domeinnaambewakingsservice geeft je bijvoorbeeld inzicht in alle domeinregistraties die lijken op jouw merk of die de naam van jouw nieuwe product of dienst bevatten. Op die manier kun je tijdig actie ondernemen."

Reacties

Pim-Pastoors

Pim Pastoors

Productmanager

+31 6 570 454 07

pim.pastoors@sidn.nl

  • woensdag 12 december 2018

    SIDN Labs

    Impuls voor wetenschappelijk onderzoek naar collectieve internetbeveiliging

    Thumb-internet-security

    SIDN en de Universiteit Twente gaan de komende twee jaar in samenwerking het wetenschappelijk onderzoek naar collectieve internetbeveiliging bevorderen.

    Lees meer
  • maandag 19 november 2018

    Veilig internet

    DDoS-bescherming behoedt Nederlandse bedrijven voor substantiële schade

    Thumb_SIDN_NBIP_report

    DDoS-aanvallen zouden ondernemingen zonder bescherming ruim een miljard euro kunnen kosten

    Lees meer
  • maandag 18 december 2017

    Over SIDN

    Eerste editie SIDN Connect groot succes

    Thumb-SIDN-Connect-KNVB

    Download het magazine om terug te blikken

    Lees meer

Sorry

De versie van de browser die je gebruikt is verouderd en wordt niet ondersteund.
Upgrade je browser om de website optimaal te gebruiken.