Netwerk en beveiliging
Phishing: wat doe je als een collega op de link heeft geklikt?
Kort antwoord
Wijzig direct het wachtwoord van het account, meld alle apparaten af en controleer of er doorstuurregels of nieuwe aanmeldmethoden zijn toegevoegd. Alleen klikken is zelden een ramp; gegevens invullen of een bijlage openen wel. Vraag de collega precies wat er is gebeurd, zonder verwijt, want snelheid hangt af van eerlijk melden. Zijn er persoonsgegevens ingezien, dan moet je beoordelen of een melding bij de Autoriteit Persoonsgegevens nodig is.
Wat is er precies gebeurd?
Dat is de eerste vraag, en het antwoord bepaalt alles wat volgt. Er zijn vier gradaties.
| Wat de collega deed | Risico | Wat je doet |
|---|---|---|
| Mail geopend, niet geklikt | Geen | Mail verwijderen, collega’s waarschuwen |
| Op de link geklikt, niets ingevuld | Klein | Melden, apparaat laten nakijken bij twijfel |
| Wachtwoord of code ingevuld | Groot | Alle stappen hieronder, meteen |
| Bijlage geopend of iets geïnstalleerd | Groot | Apparaat van het netwerk, laten onderzoeken |
Vraag het zonder verwijt. Iemand die bang is voor de reactie, meldt het een dag later of helemaal niet. Die dag is het verschil tussen een gewijzigd wachtwoord en een leeggehaalde mailbox.
Wat doe je meteen?
Als er gegevens zijn ingevuld, in deze volgorde:
- Wijzig het wachtwoord. Vanaf een ander apparaat, en van elk ander account waar hetzelfde wachtwoord werd gebruikt.
- Meld alle sessies af. Een aanvaller die al is ingelogd, blijft dat anders ook na de wachtwoordwijziging.
- Controleer de aanmeldmethoden. Is er een telefoonnummer of app toegevoegd die niet van de collega is? Aanvallers doen dat als eerste, om toegang te houden.
- Kijk naar doorstuurregels. Een regel die alle inkomende mail stil doorstuurt naar een extern adres, of mail met het woord “factuur” naar een verborgen map verplaatst. Dit is het klassieke spoor.
- Kijk wat er verstuurd is. Vaak wordt het account gebruikt om dezelfde phishingmail naar alle contacten te sturen. Zo ja: waarschuw die contacten.
Is er een bijlage geopend, haal het apparaat dan van het netwerk (wifi uit, kabel eruit) en laat het aan staan. Uitzetten wist sporen die nodig zijn om te zien wat er is gebeurd.
Wat controleer je daarna?
Of de aanvaller iets heeft gezien of gedaan. In Microsoft 365 is na te gaan vanaf welke locaties en apparaten er is ingelogd, en welke bestanden en mailboxen zijn geopend. Die logboeken worden beperkt bewaard, dus doe dit in de eerste dagen.
De vragen die je wilt beantwoorden:
- Is er ingelogd vanaf een plek of apparaat dat niet van de collega is?
- Zijn er mails gelezen, doorgestuurd of verwijderd?
- Zijn er bestanden gedownload uit OneDrive of SharePoint?
- Zijn er apps of koppelingen toestemming gegeven op het account?
Blijkt daaruit dat iemand anders toegang had tot persoonsgegevens, dan heb je een datalek. Dat moet je vastleggen en beoordelen, en in sommige gevallen melden.
Wanneer wordt het factuurfraude?
Als de aanvaller niets steelt maar meeleest. Hij wacht op een lopende factuur, stuurt vanuit het echte account of een bijna gelijk adres een bericht dat het rekeningnummer is gewijzigd, en de klant betaalt aan de verkeerde partij.
Dit is de duurste afloop van een geslaagde phishingmail, en hij komt vaak pas weken later aan het licht. Daarom is het nalopen van doorstuurregels en inlogpogingen geen formaliteit.
Hoe voorkom je de volgende?
Niet door mensen te vertellen dat ze beter moeten opletten. Phishingmails zijn goed genoeg geworden dat iedereen er vroeg of laat in trapt, ook wij. Je richt het zo in dat één klik niet genoeg is.
- Tweestapsverificatie voor iedereen, zonder uitzonderingen. De uitzondering is altijd de directeur, en de directeur is het doelwit.
- Aanmelden alleen vanaf bekende apparaten. Een gestolen wachtwoord werkt dan niet op de laptop van de aanvaller.
- Automatisch doorsturen naar buiten uitzetten. Het sluit het meest gebruikte spoor af.
- Filtering op het netwerk. DNS-filtering blokkeert bekende phishingadressen voordat de pagina laadt.
- Je eigen domein beschermen. Met SPF, DKIM en DMARC kan niemand mailen uit jouw naam.
- Een afspraak over betalingen. Een gewijzigd rekeningnummer wordt altijd via een tweede kanaal bevestigd.
Dit zijn instellingen, geen cursussen. Wij zetten ze bij beveiliging van Microsoft 365 en nemen ze mee in cybersecurity voor het mkb.