Waarom kleine bedrijven een doelwit zijn

Module 1: Waarom jij een doelwit bent · Leestijd: 9 minuten

Leerdoel: Na deze les kun je uitleggen hoe aanvallers werken (geautomatiseerd, op geld gericht, opportunistisch) en waarom "wij zijn te klein" niet klopt.
Kernbegrippen: dreiging, kwetsbaarheid, risico, opportunistische aanval, gerichte aanval, cybercrime als dienst, aanvalsoppervlak

"Wat moeten ze nou bij ons?"

Die vraag hoor je bij bijna elk klein bedrijf. Een bakkerij, een administratiekantoor met drie mensen, een voetbalvereniging: er zijn toch grotere vissen? Het idee erachter is dat een aanvaller eerst een doelwit kiest en daarna gaat zoeken hoe hij binnenkomt. Voor een klein deel van de aanvallen klopt dat. Voor het overgrote deel werkt het precies andersom: de aanvaller zoekt eerst naar een zwakke plek, en het maakt hem weinig uit van wie die is.

Om dat goed te begrijpen heb je drie begrippen nodig die in deze hele cursus terugkomen.

• Een dreiging is iets dat schade kan veroorzaken: een oplichter die nepfacturen stuurt, een stuk ransomware, een collega die per ongeluk het verkeerde bestand deelt.
• Een kwetsbaarheid is een zwakke plek waardoor die dreiging kan toeslaan: een wachtwoord dat je ook bij een webwinkel gebruikt, een plugin die al een jaar geen update kreeg, een betaalproces zonder controle.
• Een risico is de combinatie: hoe groot is de kans dat een dreiging via een kwetsbaarheid toeslaat, en hoe erg is het dan? Vaak schrijf je dat als risico = kans x impact.

Een bedrijf zonder kwetsbaarheden bestaat niet. Het doel van beveiliging is daarom niet "nul risico", maar de grootste risico's zo klein maken dat je er mee kunt leven.

Opportunistisch of gericht

Er zijn grofweg twee soorten aanvallen.

Bij een gerichte aanval kiest de aanvaller één organisatie uit. Hij zoekt uit wie er werkt, wie de facturen betaalt, welke leveranciers er zijn, en stemt zijn aanval daarop af. Dat kost tijd, dus het moet wat opleveren. Denk aan een oplichter die weet dat jouw bedrijf deze maand een grote machine afrekent, en precies dan een "gewijzigd rekeningnummer" van de leverancier stuurt.

Bij een opportunistische aanval gaat het andersom. De aanvaller richt zich op een zwakke plek die bij duizenden organisaties tegelijk voorkomt, en neemt wat hij vindt. Er is geen persoonlijke keuze voor jouw bedrijf. Je bent gewoon één van de adressen op de lijst.

Kleine bedrijven worden vooral getroffen door de tweede soort. Dat is geen pech, dat is wiskunde: als een aanval niets kost om te herhalen, loont het om hem op iedereen los te laten.

Hoe automatisering de aanval goedkoop maakt

Een aanvaller zit niet met de hand IP-adressen te typen. Hij gebruikt programma's die dag en nacht het internet afzoeken. Zo'n scanner vraagt bij adres na adres: welke dienst draait hier, welke versie, staat er een inlogpagina open? Binnen enkele uren is een groot deel van het internet langsgelopen.

Stel dat er een lek bekend wordt in een veelgebruikte plugin voor webwinkels. De volgende dag zoekt een scanner naar alle sites met die plugin. Hij vindt de webshop van een advocatenkantoor dat nooit meer naar zijn site heeft gekeken, de site van een vereniging, en www.example.com van Bakkerij Example. De scanner weet niet wat een bakkerij is en het interesseert hem ook niet. Hij ziet alleen: oude versie, dus raak.

Hetzelfde gebeurt met inloggen. Lijsten met miljoenen gelekte combinaties van e-mailadres en wachtwoord worden automatisch geprobeerd op mail, boekhouding en social media (les 1.4). En phishingmails gaan in grote aantallen de deur uit; als een klein deel van de ontvangers klikt, is de campagne al winstgevend.

Daar komt bij dat je zelf geen hacker meer hoeft te zijn om aan te vallen. Er is een complete markt ontstaan van cybercrime als dienst: de één ontwikkelt de ransomware en verhuurt hem, de ander verkoopt gestolen inloggegevens, een derde verkoopt toegang tot bedrijfsnetwerken die al open liggen. Microsoft beschrijft in zijn beveiligingsblog hoe gestolen gegevens worden gebundeld, doorverkocht en uiteindelijk als toegang tot bedrijven worden aangeboden. De drempel om mee te doen is daardoor laag, en het aantal aanvallers groot.

Waar het geld zit

Bijna alle aanvallen op kleine bedrijven draaien om geld. Dat geld komt op een paar manieren binnen:

1. Rechtstreeks betalen. Jij of je collega maakt geld over naar de verkeerde rekening: een valse factuur, een spoedverzoek "van de directeur" (les 1.2).
2. Losgeld. Je bestanden worden versleuteld en je moet betalen om ze terug te krijgen, of om te voorkomen dat gestolen gegevens op straat komen (les 1.3).
3. Doorverkopen. Inloggegevens, klantgegevens of toegang tot je systemen worden verkocht aan wie er iets mee wil (les 1.4).
4. Je systemen gebruiken. Je mailbox verstuurt spam, je website verspreidt malware, je server delft cryptomunten. Jij betaalt de rekening in de vorm van een slechte reputatie of een geblokkeerd mailadres.
5. Via jou bij een ander. Je bent leverancier van een groter bedrijf. Een aanvaller die jouw mailbox overneemt, kan namens jou nepfacturen naar je klanten sturen.

Kleine bedrijven zijn daarbij aantrekkelijk om twee redenen. Ze hebben wél geld op de rekening en betalen facturen, maar ze hebben vaak geen IT-afdeling, geen vier-ogenprincipe bij betalingen en geen goed bijgehouden back-up. Dat maakt de kans op succes groter.

Je aanvalsoppervlak

Alles wat een aanvaller van buitenaf kan proberen, heet je aanvalsoppervlak. Voor een klein bedrijf is dat groter dan je denkt:

• je website, met het CMS, plugins en de beheerpagina;
• je e-mail: de mailboxen, maar ook je domein, dat een oplichter kan nabootsen als je SPF, DKIM en DMARC niet goed staan (module 4);
• alle online accounts: bank, boekhouding, webwinkelplatform, social media, de registrar van je domein;
• de apparaten: laptops, telefoons, de router, de netwerkschijf, de printer;
• de mensen: iedereen die mail leest, facturen betaalt of de telefoon opneemt;
• je leveranciers: de webbouwer met een beheerdersaccount, het IT-bedrijf met toegang op afstand (module 7).

Elk onderdeel dat je niet meer gebruikt maar nog wel online staat, is extra oppervlak zonder nut. Een oude testsite op test.example.com, een vergeten FTP-account van een vorige webbouwer, een account bij een dienst die je drie jaar geleden opzegde: daar let niemand meer op, dus daar zitten de kwetsbaarheden.

Valkuilen in het denken

"Wij hebben niets waardevols."

Je hebt in elk geval een bankrekening, een mailbox waar klanten op vertrouwen en gegevens van klanten. Dat is genoeg.

"We hebben antivirus, dus we zijn veilig."

Antivirus helpt tegen een deel van de schadelijke software. Het doet niets tegen een collega die een echt ogende factuur met een ander rekeningnummer betaalt, of tegen een wachtwoord dat op een andere site gelekt is.

"Ons IT-bedrijf regelt dat."

Misschien. Maar weet je wat ze regelen? Een IT-bedrijf zorgt vaak voor updates en een virusscanner, maar niet voor je betaalprocedure, je wachtwoordbeleid of de toegang van je webbouwer. Wie wat doet, moet je afspreken (module 7).

"Het gebeurt ons niet, het is nog nooit gebeurd."

Vaak weet je het gewoon niet. Een overgenomen mailbox kan maanden ongemerkt worden meegelezen voordat iemand er misbruik van maakt.

In de praktijk: zo ziet het eruit

Een voorbeeld, samengesteld uit situaties die vaak voorkomen. Een klein accountantskantoor (vier mensen) had een website op een CMS dat de vorige webbouwer had gebouwd. Niemand logde er nog op in, dus niemand zag de meldingen over updates. Op een maandagochtend stond er een melding van de hostingpartij in de mailbox: vanaf de site werden phishingpagina's verspreid. Uit de logboeken bleek dat een scanner een bekend lek in een oude formulierplugin had gevonden, op dezelfde dag als honderden andere sites. Het kantoor was nooit "uitgekozen". Het herstel kostte een week, en de domeinnaam stond een tijd op een blokkadelijst, waardoor de mail van het kantoor bij klanten in de spam viel.

Het lek was met één update te voorkomen geweest. Daar gaat de rest van deze cursus over: niet over perfecte beveiliging, maar over de basis die de goedkope, massale aanvallen tegenhoudt.

Samenvatting

• Een risico is de combinatie van een dreiging en een kwetsbaarheid: kans x impact.
• De meeste aanvallen op kleine bedrijven zijn opportunistisch: eerst de zwakke plek, dan pas het slachtoffer.
• Automatisering en cybercrime als dienst maken aanvallen goedkoop, dus loont het ze op iedereen los te laten.
• Bijna alles draait om geld: valse betalingen, losgeld, doorverkopen van gegevens of misbruik van je systemen.
• Je aanvalsoppervlak bestaat uit website, mail en domein, accounts, apparaten, mensen en leveranciers; vergeten onderdelen zijn het gevaarlijkst.

Quiz

Opdracht

Opdracht A1.1: Dreiging, kwetsbaarheid en risico. Je krijgt vier korte situaties uit kleine bedrijven. Geef per situatie aan wat de dreiging is en wat de kwetsbaarheid is, en schat kans en impact in (laag, middel, hoog). Zet de vier daarna op volgorde van groot naar klein risico. Het programma kijkt je antwoorden na en legt per situatie uit waarom.

Opdracht D1.1: Je aanvalsoppervlak in kaart. Maak een lijst van alles wat jouw bedrijf online heeft staan: websites en subdomeinen, accounts, apparaten met een verbinding naar buiten, en wie er van buiten toegang heeft. Zet bij elk onderdeel of je het nog gebruikt en wie de eigenaar is.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Help! Mijn site is gehackt. Hoe los ik dat op en hoe voorkom ik het?
• NCSC, CyberVeilig Check voor zzp en mkb: https://tools.ncsc.nl/cyberveilig-check/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (Engels): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/