Social engineering aanvallen herkennen en voorkomen

De meest geavanceerde firewall helpt niet als een medewerker zelf de deur openzet voor een aanvaller. Social engineering — het manipuleren van mensen in plaats van systemen — is de meest effectieve aanvalstechniek die cybercriminelen gebruiken. 85% van alle succesvolle cyberaanvallen begint ermee.

Wat is social engineering?

Social engineering is het misbruiken van menselijk gedrag — vertrouwen, angst, nieuwsgierigheid, behulpzaamheid — om iemand te manipuleren tot een actie die de aanvaller voordeel geeft. Denk aan:

• Een inloglink klikken
• Een bijlage openen
• Een wachtwoord doorgeven
• Geld overboeken

De aanval zit niet in de technologie maar in de menselijke psychologie.

De meest voorkomende vormen

Phishing

E-mails die lijken te komen van een betrouwbare bron (bank, overheid, collega, CEO) met een valse link of bijlage.

Varianten:

• Spear phishing: gericht op één specifiek persoon, met persoonlijke details
• Whaling: gericht op directeuren en bestuurders (hoge ROI voor aanvallers)
• Smishing: phishing via SMS
• Vishing: phishing via telefoon

Herkenningspunten:

• Urgentie (“Uw account wordt geblokkeerd”)
• Afwijkend e-mailadres ([email protected] vs. [email protected])
• Grammaticafouten (al zijn aanvallen steeds beter geworden door AI)
• Verdachte link (hover voor u klikt)
• Vraag om inloggegevens of betaling

Pretexting

De aanvaller creëert een fictief scenario (pretext) om informatie of toegang te verkrijgen.

Voorbeeld: Iemand belt uw IT-afdeling en zegt: “Ik ben [naam collega], ik ben mijn laptop vergeten en heb dringend mijn wachtwoord nodig voor een klantpresentatie over 10 minuten.”

De behulpzaamheid en tijdsdruk zorgen ervoor dat mensen over hun eigen procedures heen stappen.

Baiting

Een verleidelijk aanbod of een gevonden USB-stick. “Gratis iPhone verloting — klik hier” of een USB-stick met “Salarislijst 2024” die iemand op de parkeerplaats vindt en uit nieuwsgierigheid in zijn computer steekt.

Quid pro quo

De aanvaller biedt iets aan in ruil voor informatie. “Ik ben van de IT-helpdesk, mag ik even inloggen om uw computer te updaten? Dan hoeft u zelf niets te doen.”

Tailgating (fysiek)

De aanvaller volgt een medewerker het gebouw in door mee te lopen bij een deur die net opengaat — zonder zelf een toegangspas te gebruiken.

Waarom mensen trappen in social engineering

Autoriteit

We gehoorzamen mensen die autoriteit uitstralen: CEO, IT-afdeling, overheidsinstantie.

Schaarste en urgentie

“Uw account wordt binnen 24 uur geblokkeerd” — het creëert paniek en haast, waardoor mensen minder kritisch nadenken.

Sociale bewijskracht

“Uw collega heeft ook al op de link geklikt” — als anderen het doen, lijkt het veilig.

Behulpzaamheid

We helpen graag. Aanvallers misbruiken dit door te doen alsof ze in nood zijn.

Consistentie

Eens ja gezegd, blijven we geneigd ja te zeggen. Aanvallers bouwen vertrouwen op over meerdere contactmomenten.

Hoe beschermt u uw organisatie?

Technische maatregelen

E-mail filtering Spamfilters en anti-phishing tools (Microsoft Defender, Proofpoint) filteren de meeste aanvallen eruit. Maar niet alle.

Multi-factor authenticatie (MFA) Zelfs als een wachtwoord is buitgemaakt via phishing, kan een aanvaller niet inloggen zonder de tweede factor.

DMARC, DKIM en SPF Dit zijn e-mail beveiligingsprotocollen die voorkomen dat aanvallers e-mails kunnen versturen met uw domeinnaam als afzender.

Link scanning Tools die links in e-mails scannen voordat een gebruiker ze kan openen.

Organisatorische maatregelen

Bewustzijnstraining Regelmatige, interactieve training is effectiever dan jaarlijkse verplichte e-learnings. Simuleer phishing-aanvallen op uw eigen medewerkers — dit is een krachtige leertool.

Duidelijke procedures “Wij vragen nooit telefonisch om uw wachtwoord.” Stel vaste procedures in voor verzoeken die afwijken van de norm en communiceer deze actief.

Verificatieproces Bij ongebruikelijke verzoeken (grote overboekingen, wachtwoordwijzigingen op verzoek) altijd via een apart kanaal verifiëren.

Cultuur van melden Medewerkers moeten zich veilig voelen om een verdacht incident te melden — ook als ze zelf bijna in de val zijn getrapt.

Social engineering en uw website

Uw website kan ook onderdeel zijn van een social engineering aanval:

• Nep-formulieren op een gekloonde versie van uw website
• Uw logo misbruikt in phishing-mails
• Een contactformulier dat door criminelen wordt gebruikt om uw medewerkers te benaderen

Maatregelen:

• DMARC instellen zodat criminelen niet met uw domein kunnen mailen
• Monitoring op lookalike domeinen (bijv. narexplatform.com naast narexplatform.nl)
• Security.txt publiceren met contactinformatie voor responsible disclosure

NarexPlatform en social engineering preventie

NarexPlatform implementeert technische maatregelen die social engineering aanvallen moeilijker maken:

• DMARC, DKIM en SPF standaard geconfigureerd voor elk domein
• Security.txt bij elk project
• Veilige contactformulieren met rate limiting en spam-filtering
• Bewustzijn in onze eigen teams over social engineering

Wij adviseren klanten ook over organisatorische maatregelen zoals trainingsprogramma’s.

Conclusie

Technologie alleen kan social engineering niet stoppen — het is per definitie een aanval op mensen. De combinatie van technische maatregelen, heldere procedures en bewuste medewerkers is uw sterkste verdediging.

Neem contact op voor advies over hoe u uw organisatie weerbaarder maakt tegen social engineering.