Dit zijn de nieuwste securityrisico’s rond phishing

Phishing bestaat al een tijdje, maar dat betekent niet dat bedrijven deze securitydreiging onder controle hebben.

Uit recent onderzoek blijkt dat 56% van de wereldwijde phishing-e-mails alle lagen van de ict-beveiliging omzeilt. Nog zorgwekkender is dat 62% van deze e-mails de verificatiecontroles van Dmarc weet te passeren. Terwijl de Dmarc-standaard het doel heeft om e-mailverkeer veiliger te maken door spam en phishing tegen te gaan.

Wat zijn de nieuwste ontwikkelingen op het gebied van phishing en met welke dreigingen moet je rekening houden? Ik bespreek deze vragen met consultant Security & Compliance Wybren de Jong.

Wat is phishing ook alweer?

E-mail-phishing is een vorm van cybercriminaliteit waarbij een aanvaller de beveiliging van ict-systemen omzeilt om zo geld of data te bemachtigen. Dit doet de aanvaller door gebruikers van deze systemen online te misleiden, zodat zij bepaalde acties ondernemen. Aanvallers doen zich daarbij voor als iemand anders - een te vertrouwen persoon of instantie - die de gebruiker ergens opdracht toe geeft. Bijvoorbeeld het overmaken van geld, het delen van gevoelige informatie of het toegang verlenen tot systemen.

Het probleem van e-mail-phishing

Phishing-aanvallen worden elk jaar geavanceerder. Dit maakt ze lastiger te omzeilen, met vaak een grote impact tot gevolg.

Schade door phishing

Wybren: “Phishing leidt tot het lekken van gevoelige informatie en/of het verstoren van processen. De schade voor getroffen bedrijven kan enorm zijn, zowel financieel als op het gebied van reputatie. En in een sector als de zorg kan de schade nog groter zijn.”

Een paar voorbeelden van schade door phishing:

• FACC, een Oostenrijkse fabrikant van lucht- en ruimtevaartonderdelen, verloor onlangs 42 miljoen euro bij een succesvolle phishing-aanval, toen een medewerker via een phishing e-mail geld overmaakte naar een nepproject.
• Een phishing-aanval kan in een ziekenhuis zorgen voor ernstige operationele verstoringen, bijvoorbeeld door het ict-systeem lam te leggen. Bepaalde behandelingen en procedures moeten dan worden uitgesteld.
• Bij phishing kan er ook sprake zijn van datadiefstal, zoals het stelen van gevoelige klantinformatie. Zoiets leidt niet alleen tot verlies van klanten, maar ook tot een verlies in het vertrouwen dat alle (potentiële) klanten in je organisatie hebben.

Ontwikkelingen 2025: phishing steeds geraffineerder

Cybercriminelen ontwikkelen voortdurend nieuwe strategieën en technieken om hun aanvallen succesvoller te maken. Hieronder vind je de belangrijkste ontwikkelingen:

AI & phishing

Generatieve AI helpt cybercriminelen om geloofwaardige communicatie te creëren waar ontvangers sneller ‘in trappen’. Wybren: “Eerder herkenden medewerkers phishing vaak aan de kromme zinnen, spelfouten of gebrekkige informatie. Maar generatieve AI maakt het veel makkelijker om goed geschreven phishing-berichten samen te stellen. En denk aan dingen als stem-imitaties en deepfakes, waarbij criminelen met beeld en/of geluid het idee kunnen wekken dat een vertrouwd iemand ergens opdracht toe geeft, bijvoorbeeld de directeur van het bedrijf. Dat soort phishing kan heel effectief zijn.”

Cybercriminelen gebruiken AI daarnaast steeds vaker om hun doelwit te onderzoeken, waarna ze de phishing-berichten piekfijn op maat maken om dit doelwit te overtuigen. AI zoekt bijvoorbeeld voor hen uit op welke toon en met welke woorden mensen binnen een bepaald bedrijf met elkaar communiceren. Of wat een passende inhoud zou zijn voor een bericht. Dit scheelt criminelen veel tijd en maakt een aanval effectiever.

Wybren: “Door deze tijdswinst wordt het versturen van phishing makkelijker schaalbaar: je verstuurt binnen een handomdraai een grote hoeveelheid berichten. Dan is er altijd wel iemand die hapt. Het maakt dat criminelen met hagel gaan schieten en vaker beet hebben.”

Lees verder: Hoe generatieve AI de cybersecurity verandert

Qilin-ransomware-as-a-service

Een andere trend die we zien is het gebruik van Qilin-ransomware-as-a-service (eerder bekend als Agenda). “Dit is een service waarmee niet-technisch onderlegde mensen gemakkelijk zelf een phishing-aanval kunnen uitvoeren. Hierdoor kunnen mensen die direct belang hebben bij het stelen van data of geld relatief makkelijk aan phishing doen. Ze hoeven hier niet meer een ander voor in te schakelen, wat de drempel verlaagt”, legt Wybren uit.

Een bijkomend probleem is dat Qilin gebruikmaakt van geavanceerde encryptie- en ontwijkingstechnieken, die het moeilijker maken voor menselijke beveiligingsteams om snel te reageren, en de schade te beperken. De ransomware start geïnfecteerde machines bijvoorbeeld opnieuw op in de veilige modus om beveiligingstools te omzeilen.

Edge: misbruik van kwetsbaarheden

Edge devices zoals firewalls, VPN-servers en e-mailservers zijn vanwege hun strategische positie geliefde doelwitten van cybercriminelen. Wybren: “Aanvallers gebruiken vaak phishing-tactieken om inloggegevens van beheerders te bemachtigen en zo toegang te krijgen tot deze belangrijke systemen. Via gerichte phishing-e-mails doen ze zich voor als leveranciers of interne ict-medewerkers. Daarbij proberen ze de beheerdersaccounts te compromitteren van systemen zoals Ivanti Connect Secure, JetBrains TeamCity, FortiClient Enterprise Management Server en Palo Alto Networks PAN-OS. De laatste jaren is hierin een flinke toename te zien, waarbij niet de technische kwetsbaarheden het grootste risico vormen, maar de menselijke factor.”

Gebruik van legitieme services

Ook is er een stijging in aanvallers die populaire services en sites van derden gebruiken, zoals Wordpress, Dropbox en Slack. Wybren: “Via zulke sites passen ze de aanval aan naar het normale netwerkverkeer. Dit maakt het moeilijker voor beveiligingssystemen om de kwaadaardige activiteiten te detecteren en blokkeren.”

Hoe je slim inspeelt op deze dreigingen

Vanwege het groeiende aantal geslaagde phishing-aanvallen zijn stevige maatregelen noodzakelijk om je organisatie te beschermen. Maar ondanks dat de tools en tactieken van aanvallers veranderen, blijft het advies in grote lijnen hetzelfde:

“Er zijn verschillende dingen die je kunt doen om schade door phishing te voorkomen, en het is belangrijke om nieuwe risico's, trends en technische mogelijkheden daarin mee te nemen. Maar het allerbelangrijkste is dat je medewerkers niet ingaan op phishing-berichten. De mens is en blijft de belangrijkste sleutel. Zeker nu veel phishing de eerste beveiligingslagen zoals spamfilters en detectie-tools omzeilt. Zolang je werknemers niet ingaan op de verzoeken in phishing-mails, gaat het goed. Richt daar dus vooral je aandacht op.”

Hoe je dat doet? Wybren deelt binnenkort op onze blog een 3-stappenplan om schade door phishing actief te voorkomen. Houd de blog dus goed in de gaten!

Meer weten over cyberveiligheid?