Hoe houd je cybercriminelen buiten de deur?

Vier voorbeelden uit de praktijk

Als MKB'er denk je misschien dat cyber security geen gevaar vormt. Onderstaande praktijkvoorbeelden tonen aan dat een investering in je cyber veiligheid geen overbodige luxe is. Want een klein foutje kan je duur komen te staan.

Slachtoffer van phishing

Voorbeeld 1

Wat doe je als je (denkt dat je) baas je mailt met een verzoek iets voor te schieten? Een magazijnmedewerker van bedrijf X deed het. Op vrijdagmiddag kreeg hij de vraag van zijn baas om diverse iTunes cadeaubonnen ter waarde van €200,00 voor te schieten. Hij betaalde de bonnen uit eigen zak en mailde zijn baas de codes. Na het weekend kwam de aap uit de mouw. Hij was door een e-mail naar een valse website gelokt en slachtoffer geworden van phishing.

Hoe had dit voorkomen kunnen worden?

Let op of je een phishing e-mail van een echte e-mail kan onderscheiden. Zoals een verdachte link in de e-mail naar een site waar je gegevens in moet vullen. Of is de mail vanuit een opvallend emailadres gestuurd?
Door afspraken te maken met medewerkers en vast te leggen op wat voor manier er wordt omgegaan met afwijkende verzoeken.
Regelmatig met medewerkers te bespreken dat er op ieder niveau in de organisatie bepaalde risico’s zijn.

Tip! Kijk intern welke medewerkers en afdelingen risico lopen en ga het gesprek met hen aan.

Datalek

Voorbeeld 2

Een stagiaire stuurde haar vragenlijst ten behoeve van haar stage-onderzoek naar 600 klanten van het bedrijf. Deze contacten stonden allemaal zichtbaar in de CC. Dit betreft dus een datalek. Het datalek is gemeld aan de AP en opgenomen in het incidentenregister.

Dit had voorkomen kunnen worden door:

Ook stagiaires mee te nemen in de besprekingen en afspraken over AVG en cybersecurity
Dit soort 'klassieke' voorbeelden van datalekken te benoemen, liefst al bij de onboarding.
Medewerkers structureel een training te laten volgen over dit onderwerp.

Tip! Ga er nooit vanuit dat medewerkers op de hoogte zijn van de AVG regels en maak hier intern een belangrijk aandachtspunt van.

Nog een slachtoffer van phishing

Voorbeeld 3

De credentials van een financieel medewerker zijn ontfutseld. De gebruikte phising-methode: deze medewerker ontving een e-mail dat er een document gedeeld is. Om dit document te kunnen lezen moest ze inloggen in een Office-account. Het bedrijf kwam er pas achter nadat klanten onverwachte facturen met een directe betaallink kregen.

Dit had voorkomen kunnen worden door:

Two-factor authentication (2FA)
Medewerker te trainen op phishing
Vaste procedures in te richten voor het delen van informatie

Tip! Stel voor de medewerkers van de financiële admistratie een two-factor authentication in en train hen regelmatig op phishing.

Slachtoffer van ransomware

Voorbeeld 4

De KNVB kreeg te maken met een ransomwareaanval. Bij deze aanval zijn onder meer id-bewijzen, woonadressen en salarisdetails van Oranjespelers en ander professionele voetballers gestolen. Uiteindelijk heeft de KNVB losgeld betaald om te voorkomen dat deze gegevens op straat komen te liggen.

KNVB stond voor een lastig dilemma. Onderzoek kon niet uitwijzen welke gegevens daadwerkelijk waren buitgemaakt of ingezien. Ook al wilde de KNVB zich niet laten afpersen, het voorkomen van een verspreiding van deze vertrouwelijke gegevens woog uiteindelijk zwaarder.

Hoe kun je dit soort situaties voorkomen?

Beveilig je netwerk op alle mogelijke manieren.
Ben je gehackt? Zorg dat je een noodplan hebt, zodat je bij een hack of datalek altijd de schade kunt beperken.

Tip! Houd het bewustzijn van de medewerkers hoog met trainingen en voer monitoring uit op je netwerk.