Geklikt: wat nu?

Module 3: Phishing herkennen · Leestijd: 12 minuten

Leerdoel: Na deze les weet je wat je in de eerste uren doet na een klik, een ingevuld wachtwoord, ingevulde bankgegevens of een geopende bijlage, in de goede volgorde, en hoe je phishing meldt en doorstuurt.
Kernbegrippen: inperken, wachtwoord wijzigen vanaf een schoon apparaat, sessies intrekken, bank bellen, melden, phishing doorsturen (bijvoorbeeld naar de Fraudehelpdesk en het misbruikte merk)

Het gebeurt iedereen

Iedereen klikt een keer op de verkeerde link. Ook mensen die deze cursus hebben gevolgd, ook IT'ers. Een goede phishingmail komt op het verkeerde moment, met het juiste verhaal. Schamen helpt niet, snel handelen wel. Hoe eerder je ingrijpt, hoe minder de aanvaller kan doen met wat hij heeft.

Daarom is de eerste stap in elk bedrijf: meld het meteen, aan de collega die de IT regelt of aan je IT-bedrijf. Spreek af dat iemand die een klik meldt een bedankje krijgt en geen standje (meer daarover in les 9.2). Wie bang is voor straf, zegt niets, en dan heeft de aanvaller dagen de tijd.

Eerst bepalen: wat is er precies gebeurd?

Wat je moet doen, hangt af van hoe ver je bent gegaan. Bepaal dat eerst, kort en eerlijk.

Alleen klikken is meestal niet ernstig: moderne browsers zijn goed beschermd. Maar een klik kan ook een download starten. Twijfel je, behandel het dan als de zwaardere situatie.

Stap voor stap in de eerste uren

1. Melden binnen je bedrijf. Meteen, ook bij twijfel. Vertel wat je zag, wanneer, en wat je hebt ingevuld of geopend. Bewaar het bericht: niet verwijderen, je hebt het nodig om te melden.

2. Inperken. Heb je een bijlage geopend of iemand toegang gegeven? Haal het apparaat van het netwerk: wifi uit, netwerkkabel eruit. Zet het niet meteen uit, want wat er in het geheugen staat, kan helpen bij het onderzoek (les 8.3). Werk niet verder op dat apparaat.

3. Bank bellen bij geld. Heb je bankgegevens ingevuld of een betaling goedgekeurd, bel dan direct je bank, op het nummer op je pas of de officiële site. Hoe sneller, hoe groter de kans dat een betaling kan worden tegengehouden of teruggehaald. Ook een betaling aan een vals IBAN na factuurfraude meld je meteen bij je bank.

4. Wachtwoord wijzigen vanaf een schoon apparaat. Wijzig het wachtwoord van het account dat je hebt ingevuld. Doe dat op een ander apparaat dan het apparaat waarop je de bijlage opende, want daar kan een programma meekijken. Typ het adres zelf of gebruik je bladwijzer, niet de link uit het bericht. Gebruikte je hetzelfde wachtwoord ook ergens anders, wijzig het daar ook (les 2.1).

5. Sessies intrekken en het account nakijken. Een nieuw wachtwoord gooit een aanvaller die al binnen is niet altijd automatisch eruit. Log daarom alle andere sessies uit (les 2.5) en kijk na wat hij kan hebben veranderd:

• tweestapsverificatie: staat er een onbekende app of een onbekend telefoonnummer bij?
• herstelgegevens: is het herstel-e-mailadres of telefoonnummer veranderd?
• doorstuurregels en filters in je mailbox: een aanvaller zet graag een regel die alle mail, of alleen mail met "factuur" erin, doorstuurt naar zijn adres of meteen verwijdert. Zo leest hij mee, ook als jij je wachtwoord al hebt gewijzigd;
• verstuurde items: zijn er mails verstuurd die jij niet hebt geschreven? Dan moet je je contacten waarschuwen.

6. Melden en doorsturen. Zie hieronder.

7. Nagaan of het een datalek is. Kon de aanvaller in een mailbox, een klantenbestand of een andere omgeving met persoonsgegevens? Dan is er mogelijk een datalek. Volgens de AVG moet je een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de mensen om wie het gaat. Leg het in elk geval vast in je datalekregister. Hoe je dat beoordeelt, leer je in les 8.2.

Phishing melden en doorsturen

Melden heeft zin, ook als er niets is gebeurd. Zo kan een nepsite sneller offline, en worden anderen gewaarschuwd.

Naar de Fraudehelpdesk. De Fraudehelpdesk ontvangt valse mail met verdachte links of bijlagen op het adres valse-email@fraudehelpdesk.nl. Volgens de Fraudehelpdesk:

• stuur de mail het liefst als bijlage door. Bij gewoon doorsturen gaan de technische gegevens (de headers uit les 3.3) verloren. Lukt dat niet, bijvoorbeeld op een telefoon, stuur hem dan gewoon door;
• lijkt de mail van een bank of een ander bekend bedrijf te komen, zet dan het adres van dat bedrijf in de cc. De Fraudehelpdesk heeft op zijn site een lijst met zulke adressen;
• sms, WhatsApp en andere berichten stuur je niet naar dat adres, maar meld je via het meldformulier op fraudehelpdesk.nl. Dat formulier gebruik je ook voor een verdachte mail zonder links of bijlagen, en voor helpdeskfraude aan de telefoon.

In veel mailprogramma's heet het doorsturen als bijlage "Doorsturen als bijlage" of iets vergelijkbaars.

Naar het misbruikte merk. Wordt de naam van een bank, vervoerder of leverancier misbruikt, laat het die organisatie dan weten via een kanaal dat je zelf opzoekt op hun echte site, niet via het bericht. Veel organisaties hebben een eigen meldadres voor phishing. Gaat het om jouw eigen hostingbedrijf of mailprovider, stuur het ook daarheen; bij WebOké kan dat met een ticket, met de mail als bijlage (Kennisbank 581).

Aangifte bij de politie. Ben je geld kwijt, of is er misbruik of een poging daartoe, doe dan aangifte. De Fraudehelpdesk adviseert en verzamelt meldingen, maar kan zelf niet opsporen. Dat kan alleen de politie.

Daarna kun je het bericht verwijderen en de afzender blokkeren.

Controle na een week

Een aanval is niet altijd na een dag voorbij. Zet een herinnering voor een week later:

• Zijn er nieuwe inlogmeldingen of onbekende sessies?
• Staan er onbekende betalingen op de bankafschriften?
• Zijn er nieuwe doorstuurregels of filters in de mailbox?
• Klagen klanten of leveranciers over vreemde mail uit jouw naam? Dan wordt je mailbox mogelijk nog misbruikt om spam te versturen (Kennisbank 25).
• Wat kunnen we leren? Was het bericht goed te herkennen, en wat zou het een volgende keer eerder hebben laten opvallen?

In de praktijk: zo ziet het eruit

Maandag 9:12. Fatima van Bakkerij Example vult haar mailwachtwoord in op een nagemaakte inlogpagina van "het boekhoudpakket". Om 9:15 ziet ze dat het adres boekhoudpakket.inlog-check.example was. Ze meldt het aan Kees, die de IT regelt. Om 9:20 wijzigt Kees vanaf zijn eigen laptop het wachtwoord van haar mailbox en logt alle sessies uit. In de webmail vindt hij een nieuwe regel: alle mail met "factuur" gaat naar een onbekend adres en wordt daarna verwijderd. Hij haalt de regel weg, zet tweestapsverificatie aan en kijkt de verzonden items na: niets verstuurd. Fatima stuurt de phishingmail als bijlage naar de Fraudehelpdesk. Kees noteert het in het incidentlogboek en controleert of de aanvaller persoonsgegevens kan hebben gezien. Na een week kijkt hij de regels en sessies opnieuw na.

Waar die regels en sessies staan, verschilt per omgeving. Bij WebOké staan doorsturingen van een adres in Mijn WebOké en in DirectAdmin (Forwarders), en een regel kan ook in de webmail of het mailprogramma zelf staan. Bij andere aanbieders werkt het vergelijkbaar: zoek naar doorsturen, forwarders, regels of filters.

Samenvatting

• Iedereen klikt weleens. Meld het meteen, zonder schaamte, en spreek af dat melden wordt beloond.
• Bepaal eerst wat er gebeurde: alleen klikken, wachtwoord, code, bankgegevens, bijlage of toegang op afstand.
• Volgorde: melden, inperken (van het netwerk), bank bellen bij geld, wachtwoord wijzigen vanaf een schoon apparaat, sessies intrekken en account nakijken (vooral doorstuurregels), melden en doorsturen, datalek beoordelen.
• Stuur valse mail als bijlage naar valse-email@fraudehelpdesk.nl, met het misbruikte merk in de cc; sms en chatberichten via het meldformulier. Bij schade: aangifte.
• Kijk na een week opnieuw na.

Quiz

Opdracht

Opdracht A3.5: De stappenkaart na een klik. Je krijgt een situatie en een stapel kaartjes met stappen. Kies welke stappen nodig zijn en zet ze in de goede volgorde. Het programma kijkt na en legt uit waarom een stap eerder of later moet.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Is deze mail echt van WebOké? Phishing herkennen en de actiecode gebruiken
• Mailbox overgenomen of spam vanaf je adres: zo ruim je op
• WebOké handleiding 3.6: Actieve sessies bekijken en uitloggen
• DirectAdmin handleiding 3.7: Veilige wachtwoorden en wat je doet bij een gelekt wachtwoord
• Fraudehelpdesk, Valse e-mail melden: https://www.fraudehelpdesk.nl/valse-e-mail-melden/
• Fraudehelpdesk, meldformulier voor sms, WhatsApp en andere fraude: https://www.fraudehelpdesk.nl/fraude-melden/
• NCSC, Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing