Phishing
Phishing is het versturen van e-mails die zich voordoen als afkomstig van een betrouwbare bron, met als doel inloggegevens te stelen, malware te installeren of financiële transacties te initiëren. Het is de meest voorkomende aanvalsvector en verantwoordelijk voor het merendeel van de succesvolle inbreuken.
Anatomie van een phishing-aanval
Phishing involves sending emails that appear to originate from a trusted source, with the goal of stealing credentials, installing malware, or initiating financial transactions. It is the most common attack vector and responsible for the majority of successful breaches.
Anatomy of a phishing attack
VerkenningReconnaissance
Doelwit en e-mailadressen verzamelen via OSINT.
Gathering target information and email addresses via OSINT.
Spoofing
Afzenderdomeinen die lijken op legitieme organisaties.
Sender domains crafted to resemble legitimate organisations.
Payload
Malafide link naar nep-loginpagina of besmet bijlage.
Malicious link to a fake login page or infected attachment.
| Type | Aanpak | Approach | Doelwit | Target |
|---|---|---|---|---|
| Mass phishing | Grote aantallen, generieke inhoud | High volume, generic content | Breed publiek | Broad audience |
| Spear phishing | Gepersonaliseerd, doelgerichte inhoud | Personalised, targeted content | Specifiek individu | Specific individual |
| Whaling | Gericht op directie / C-suite | Targeting executives / C-suite | CEO, CFO, CISO | |
| Clone phishing | Kopie van legitieme e-mail met malafide links | Copy of legitimate email with malicious links | Bestaande relaties | Existing contacts |
| Pharming | DNS-manipulatie naar nep-site | DNS manipulation redirecting to fake site | Alle bezoekers | All visitors |
Herkenningspunten
- Afzenderdomein verschilt subtiel van het echte (secure-paypal.com vs paypal.com)
- Urgente taalgebruik: "Actie vereist", "Uw account wordt geblokkeerd"
- Links die afwijken van het weergegeven domein (hover om te controleren)
- Generieke aanhef ("Geachte klant") bij diensten die uw naam kennen
- Onverwachte bijlagen, ook van bekende afzenders
Technische tegenmaatregelen
- SPF, DKIM, DMARC configureren om e-mail spoofing te beperken
- Anti-phishing filters en URL-scanning implementeren
- MFA (multi-factor authenticatie) op alle accounts
- Regelmatige phishing-simulaties voor medewerkers
Recognition points
- Sender domain differs subtly from the real one (secure-paypal.com vs paypal.com)
- Urgent language: "Action required", "Your account will be suspended"
- Links that differ from the displayed domain (hover to verify)
- Generic salutation ("Dear customer") from services that know your name
- Unexpected attachments, even from familiar senders
Technical countermeasures
- Configure SPF, DKIM, DMARC to restrict email spoofing
- Implement anti-phishing filters and URL scanning
- MFA (multi-factor authentication) on all accounts
- Regular phishing simulations for employees
Spear Phishing
Spear phishing is een gerichte variant waarbij de aanvaller uitgebreid OSINT-onderzoek uitvoert om een e-mail samen te stellen die specifiek overtuigend is voor het doelwit. Succespercentages zijn aanzienlijk hoger dan bij massale phishing.
Aanvallers verzamelen informatie zoals naam van de leidinggevende, lopende projecten, gebruikte diensten en recente activiteiten op sociale media om een contextueel overtuigende e-mail te schrijven.
"Hey [naam], zoals [collega X] je al heeft gemaild kunnen jullie even naar bijgevoegde offerte kijken vóór de vergadering van morgen?"
Defensie
- Beperk publieke informatie die OSINT-voedt
- Verifieer financiële verzoeken altijd via een tweede kanaal
- Implementeer een proces voor verificatie van verzoeken van management
Spear phishing is a targeted variant in which the attacker conducts extensive OSINT research to craft an email that is specifically convincing for the target. Success rates are significantly higher than mass phishing.
Attackers gather information such as the manager's name, ongoing projects, services used, and recent social media activity to write a contextually convincing email.
"Hey [name], as [colleague X] already emailed you could you take a look at the attached quote before tomorrow's meeting?"
Defence
- Limit public information that feeds OSINT
- Always verify financial requests through a second channel
- Implement a verification process for management requests
Quishing
Quishing (QR-code phishing) is een aanvalsvorm waarbij kwaadaardige QR-codes worden gebruikt om slachtoffers om te leiden naar frauduleuze websites of malware te installeren. Omdat QR-codes moeilijk visueel te controleren zijn, omzeilt deze methode e-mailfilters en verhoogt het de kans op klikken.
Veelgebruikte methoden
- E-mail quishing: QR-code in e-mail ter vervanging van een klikbare link, om URL-scanners te omzeilen
- Fysieke quishing: Valse QR-stickers over legitieme codes op parkeerautomaten, restaurants of posters
- Factuurquishing: QR-code op nep-facturen die wijzen op een nep-betaalportaal
- Pakketbezorging: SMS of brief met QR-code voor nep-track-en-trace
Herkenning & verdediging
- Controleer de URL na scannen vóórdat u actie onderneemt
- Gebruik een QR-scanner met URL-preview
- Wees extra alert op QR-codes in onverwachte e-mails of op openbare plekken
- Organisaties: gebruik e-mailscanners die ook QR-codes in bijlagen analyseren
Quishing (QR code phishing) is an attack method in which malicious QR codes are used to redirect victims to fraudulent websites or install malware. Because QR codes are difficult to visually verify, this technique bypasses email filters and increases the likelihood of interaction.
Common methods
- Email quishing: QR code in email replacing a clickable link to bypass URL scanners
- Physical quishing: Fake QR stickers placed over legitimate codes on parking meters, restaurants, or posters
- Invoice quishing: QR code on fake invoices pointing to a fraudulent payment portal
- Parcel delivery: SMS or letter with QR code for fake track-and-trace
Recognition & defence
- Check the URL after scanning before taking any action
- Use a QR scanner with URL preview
- Be extra cautious with QR codes in unexpected emails or in public places
- Organisations: use email scanners that also analyse QR codes in attachments
Pharming
Pharming is een aanval waarbij het DNS-systeem of het lokale hosts-bestand wordt gemanipuleerd zodat legitieme websitebezoeken automatisch worden omgeleid naar een frauduleuze kopie. In tegenstelling tot phishing hoeft het slachtoffer niet op een link te klikken; het bezoeken van de gewone URL volstaat.
Aanvalsmethoden
- DNS poisoning: Vergiftiging van DNS-caches zodat een domeinnaam verwijst naar een kwaadaardig IP-adres
- Hosts-bestandmanipulatie: Malware wijzigt het lokale hosts-bestand op het apparaat van het slachtoffer
- Router-compromittering: Toegang tot thuisrouter om DNS-instellingen te wijzigen
Herkenning & verdediging
- Controleer altijd het HTTPS-slotje en het certificaat van een website
- Gebruik DNSSEC voor DNS-beveiliging op organisatieniveau
- Houd routers en DNS-servers up-to-date met beveiligingsupdates
- Gebruik een vertrouwde DNS-resolver (bijv. met DNS-over-HTTPS)
Pharming is an attack in which the DNS system or local hosts file is manipulated so that legitimate website visits are automatically redirected to a fraudulent copy. Unlike phishing, the victim does not need to click a link visiting the normal URL is sufficient.
Attack methods
- DNS poisoning: Poisoning DNS caches so a domain name points to a malicious IP address
- Hosts file manipulation: Malware modifies the local hosts file on the victim's device
- Router compromise: Gaining access to a home router to change DNS settings
Recognition & defence
- Always check the HTTPS padlock and certificate of a website
- Use DNSSEC for DNS security at the organisational level
- Keep routers and DNS servers up to date with security patches
- Use a trusted DNS resolver (e.g. with DNS-over-HTTPS)
Vishing
Voice phishing (vishing) is een telefonische aanval waarbij de aanvaller zich voordoet als een autoriteit IT-helpdesk, bank, belastingdienst of overheid om inloggegevens, betaalgegevens of toegang te verkrijgen.
Veelgebruikte scenario's
- Nep-helpdesk: "Wij detecteren een probleem op uw account en moeten uw wachtwoord resetten"
- Bankfraude: "Er zijn verdachte transacties bevestig uw pincode om uw rekening te beveiligen"
- Overheidsinstantie: "U heeft een openstaande belastingschuld betaal direct of er volgt aanhouding"
- Technische ondersteuning: "Uw computer stuurt foutmeldingen naar ons systeem"
Technieken
- Caller ID spoofing: Het telefoonnummer van een legitieme organisatie nabootsen
- AI voice cloning: Stemmen van bekenden nabootsen met AI
- Scripting: Vooraf voorbereide antwoorden op veelgestelde vragen en bezwaren
Herkenning & verdediging
- Verifieer inkomende oproepen altijd door zelf terug te bellen via het officiële nummer
- Een legitieme bank of overheid vraagt nooit naar volledige wachtwoorden of pincodes
- Negeer tijdsdruk neem altijd de tijd om te verificeren
Voice phishing (vishing) is a telephone-based attack in which the attacker impersonates an authority figure IT helpdesk, bank, tax authority, or government to obtain credentials, payment details, or access.
Common scenarios
- Fake helpdesk: "We have detected a problem on your account and need to reset your password"
- Bank fraud: "There are suspicious transactions please confirm your PIN to secure your account"
- Government agency: "You have an outstanding tax debt pay immediately or face arrest"
- Technical support: "Your computer is sending error reports to our system"
Techniques
- Caller ID spoofing: Mimicking the phone number of a legitimate organisation
- AI voice cloning: Replicating familiar voices using AI
- Scripting: Pre-prepared answers to common questions and objections
Recognition & defence
- Always verify incoming calls by calling back on the official number yourself
- A legitimate bank or government will never ask for full passwords or PINs
- Ignore time pressure always take time to verify
AI Voice Cloning
AI voice cloning maakt gebruik van machine-learning modellen om een synthetische stem te genereren die praktisch niet van de originele te onderscheiden is. Met slechts enkele seconden audiofragment kan een aanvaller de stem van een CEO, familielid of collega nabootsen voor gebruik in vishing-aanvallen.
Toepassing bij aanvallen
- CEO-fraude via telefoon: Nep-stemoproep van de directeur die een spoedoverboeking vraagt
- Familieleden: Nep-kind of -partner in nood dat om geld vraagt ("WhatsApp Mama-fraude" in audio)
- Helpdesk-imitatie: Gekloonde stem van bekende IT-medewerker voor accounttoegang
- Voicemailberichten: Realistische voicemails die urgentie creëren zonder direct gesprek
Herkenning & verdediging
- Stel een geheim codewoord af met leidinggevenden voor telefonische betalingsverzoeken
- Verifieer altijd via een tweede kanaal bij onverwachte financiële verzoeken
- Let op onnatuurlijke pauzes, robotachtig ritme of artefacten in de stem
- Bel de vermeende afzender terug op het bekende nummer
AI voice cloning uses machine-learning models to generate a synthetic voice that is virtually indistinguishable from the original. With just a few seconds of audio, an attacker can replicate the voice of a CEO, family member, or colleague for use in vishing attacks.
Application in attacks
- CEO fraud by phone: Fake voice call from the director requesting an urgent transfer
- Family members: Fake child or partner in distress asking for money
- Helpdesk impersonation: Cloned voice of a known IT staff member to gain account access
- Voicemail messages: Realistic voicemails creating urgency without a live conversation
Recognition & defence
- Agree on a secret code word with executives for telephone payment requests
- Always verify through a second channel for unexpected financial requests
- Watch for unnatural pauses, robotic rhythm, or artefacts in the voice
- Call back the alleged sender on the known number
Smishing & Messaging
SMS phishing (smishing) en aanvallen via messaging-platforms (WhatsApp, Teams, Slack) maken gebruik van het hoge vertrouwen dat mensen stellen in directe berichtenkanalen en de lagere visuele verificatiemogelijkheden op mobiele apparaten.
Kenmerken
- Korte, urgente berichten met een malafide link
- Nep-pakket notificaties (PostNL, DHL)
- Nep-bankberichten over verdachte transacties
- WhatsApp-fraude: "Hoi mama, ik heb een nieuw nummer..."
- Microsoft Teams / Slack berichten vanuit gecompromitteerde accounts
SMS phishing (smishing) and attacks via messaging platforms (WhatsApp, Teams, Slack) exploit the high level of trust people place in direct messaging channels and the reduced visual verification options on mobile devices.
Characteristics
- Short, urgent messages with a malicious link
- Fake parcel notifications (Royal Mail, FedEx, DHL)
- Fake bank messages about suspicious transactions
- WhatsApp fraud: "Hi Mum, I have a new number..."
- Microsoft Teams / Slack messages from compromised accounts
Spoofing
Spoofing is het vervalsen van identiteitsgegevens in digitale communicatie. Door afzenderinformatie na te bootsen wekt de aanvaller de indruk dat een bericht afkomstig is van een vertrouwde bron. Spoofing is een fundamentele bouwsteen voor phishing, vishing en BEC-aanvallen.
Vormen van spoofing
- E-mail spoofing: Vervalst "From:"-adres dat lijkt op een legitiem domein (bijv. noreply@paypa1.com)
- Caller ID spoofing: Telefoonnummer van bank, overheid of collega nabootsen via VoIP
- IP spoofing: Vervalst bron-IP-adres in netwerkpakketten om origine te verbergen
- DNS spoofing: Nep-DNS-antwoorden injecteren om verkeer om te leiden (zie ook Pharming)
- Website spoofing: Vrijwel identieke kopie van een legitieme website op een afwijkend domein
- SMS spoofing: Afzendernaam vervalsen zodat nep-berichten in hetzelfde gesprek verschijnen als echte berichten
Technische tegenmaatregelen
- E-mail: SPF, DKIM en DMARC correct configureren
- Telefonie: STIR/SHAKEN-protocollen voor nummerverificatie
- Netwerk: ingress filtering (BCP38) om IP-spoofing te beperken
- Gebruikers: verificeer altijd via een onafhankelijk kanaal bij twijfel
Spoofing involves forging identity information in digital communications. By impersonating sender details, the attacker creates the impression that a message originates from a trusted source. Spoofing is a fundamental building block for phishing, vishing, and BEC attacks.
Forms of spoofing
- Email spoofing: Forged "From:" address resembling a legitimate domain (e.g. noreply@paypa1.com)
- Caller ID spoofing: Mimicking a bank, government, or colleague's phone number via VoIP
- IP spoofing: Forged source IP address in network packets to hide the origin
- DNS spoofing: Injecting fake DNS responses to redirect traffic (see also Pharming)
- Website spoofing: Near-identical copy of a legitimate website on a slightly different domain
- SMS spoofing: Forging the sender name so fake messages appear in the same conversation thread as real ones
Technical countermeasures
- Email: correctly configure SPF, DKIM, and DMARC
- Telephony: STIR/SHAKEN protocols for caller number verification
- Network: ingress filtering (BCP38) to reduce IP spoofing
- Users: always verify through an independent channel when in doubt
AI DeepFake
AI-deepfakes zijn synthetische media waarbij het gezicht, de stem of het volledige lichaam van een persoon realistisch wordt nagebootst door neurale netwerken. In de context van social engineering worden deepfakes ingezet om gezaghebbende personen na te bootsen in video- of audioboodschappen.
Aanvalstoepassingen
- Video-oproepen (vishing 2.0): Realtime deepfake-videogesprek van nep-CEO of nep-collega via Teams of Zoom
- Frauduleuze videoboodschappen: Nep-instructievideo van directeur voor medewerkers over betalingen of toegang
- Desinformatie: Nep-uitspraken van leidinggevenden of publieke figuren om reputatieschade of marktmanipulatie te veroorzaken
- KYC-omzeiling: Nep-gezicht gebruiken bij identiteitsverificatie via webcam
Herkenningspunten
- Onnatuurlijk knipperen van ogen of vloeiende randovergangen rond het gezicht
- Inconsistente belichting of schaduwen ten opzichte van de achtergrond
- Lipsynchronisatie die net niet klopt bij spraak
- Artefacten bij snelle bewegingen of profielzichten
Verdediging
- Implementeer verificatieprotocollen voor videogebaseerde verzoeken (codewoorden, terugbelbeleid)
- Gebruik deepfake-detectiesoftware bij risicovolle videoconferenties
- Train medewerkers in het herkennen van deepfake-indicatoren
AI deepfakes are synthetic media in which the face, voice, or full body of a person is realistically replicated using neural networks. In the context of social engineering, deepfakes are used to impersonate authoritative figures in video or audio messages.
Attack applications
- Video calls (vishing 2.0): Real-time deepfake video call from a fake CEO or colleague via Teams or Zoom
- Fraudulent video messages: Fake instruction video from a director to employees about payments or access
- Disinformation: Fake statements by executives or public figures to cause reputational damage or market manipulation
- KYC bypass: Using a fake face during webcam-based identity verification
Recognition points
- Unnatural blinking or smooth edge transitions around the face
- Inconsistent lighting or shadows relative to the background
- Lip synchronisation that is slightly off
- Artefacts during fast movements or profile views
Defence
- Implement verification protocols for video-based requests (code words, callback policy)
- Use deepfake detection software for high-risk video conferences
- Train employees to recognise deepfake indicators
Scareware
Scareware is een aanvalsvorm waarbij angst en paniek worden opgewekt door nep-beveiligingswaarschuwingen, pop-ups of meldingen. Het slachtoffer wordt overtuigd dat zijn apparaat geïnfecteerd is en dat directe actie vereist is, waarna men wordt geleid naar nep-software of een malafide helpdesk.
Veelgebruikte scenario's
- Browser pop-ups: "WAARSCHUWING: Uw computer is geïnfecteerd! Bel nu 0800-XXXX" met namaak Windows-stijl
- Nep-antivirussoftware: Gratis download die zelf malware of ransomware bevat
- Tech support scam: Pop-up met Microsoft- of Apple-logo die slachtoffers naar een nep-supportlijn stuurt
- E-mailwaarschuwingen: "Uw account is gehackt" e-mails om wachtwoordwijziging via phishing-link te forceren
Psychologisch mechanisme
Scareware exploiteert angst en urgentie. De nep-melding imiteert legitieme systeemmeldingen en creëert tijdsdruk ("Uw systeem wordt in 5 minuten vergrendeld"). Dit onderdrukt rationeel denken en drijft tot impulsieve actie.
Herkenning & verdediging
- Legitieme antivirussoftware vraagt nooit om te bellen naar een telefoonnummer via een pop-up
- Sluit nep-pop-ups via Taakbeheer in plaats van op de meldingen te klikken
- Gebruik alleen officiële kanalen (Microsoft, Apple) voor techondersteuning
- Installeer een advertentie- en malwareblokker in uw browser
Scareware is an attack method in which fear and panic are induced through fake security warnings, pop-ups, or alerts. The victim is convinced that their device is infected and that immediate action is required, then led towards fake software or a fraudulent helpdesk.
Common scenarios
- Browser pop-ups: "WARNING: Your computer is infected! Call now 0800-XXXX" styled to resemble Windows alerts
- Fake antivirus software: Free download that itself contains malware or ransomware
- Tech support scam: Pop-up with a Microsoft or Apple logo directing victims to a fake support line
- Email warnings: "Your account has been hacked" emails to force a password change via a phishing link
Psychological mechanism
Scareware exploits fear and urgency. The fake alert imitates legitimate system notifications and creates time pressure ("Your system will be locked in 5 minutes"). This suppresses rational thinking and drives impulsive action.
Recognition & defence
- Legitimate antivirus software never asks you to call a phone number via a pop-up
- Close fake pop-ups via Task Manager rather than clicking on the alerts
- Use only official channels (Microsoft, Apple) for technical support
- Install an ad and malware blocker in your browser
Watering Hole & BEC
Watering Hole-aanval
De aanvaller compromitteert websites die het doelwit frequent bezoekt (vakbladen, brancheverenigingen, leverancierssites). Wanneer het doelwit de site bezoekt, wordt malware geïnstalleerd zonder interactie van het slachtoffer.
Business Email Compromise (BEC)
BEC is een geavanceerde aanvalsvorm waarbij de aanvaller e-mailcommunicatie van executives compromitteert of nabootst om financiële overboekingen of gevoelige data te verkrijgen. BEC-aanvallen zijn verantwoordelijk voor miljarden euro's schade jaarlijks.
- CEO-fraude: Nep-e-mail van directeur aan financieel medewerker voor spoedbetaling
- Leveranciersfraude: Onderscheppen of nabootsen van communicatie om betaalgegevens te wijzigen
- Accountovername: Inloggen op echt e-mailaccount via gestolen credentials
Watering Hole Attack
The attacker compromises websites that the target visits frequently (trade journals, industry associations, supplier sites). When the target visits the site, malware is installed without any interaction from the victim.
Business Email Compromise (BEC)
BEC is an advanced attack form in which the attacker compromises or impersonates executive email communications to obtain financial transfers or sensitive data. BEC attacks are responsible for billions in losses annually.
- CEO fraud: Fake email from a director to a finance employee requesting an urgent payment
- Supplier fraud: Intercepting or impersonating communications to change payment details
- Account takeover: Logging into a real email account using stolen credentials
CEO Fraude / Whaling
CEO-fraude (ook wel whaling genoemd) is een gerichte BEC-aanval specifiek gericht op hoge leidinggevenden (C-suite) of op medewerkers namens leidinggevenden. De term "whaling" verwijst naar het jagen op grote vissen. De aanvallen zijn bijzonder schadelijk door de hoge autorisatieniveaus en het vertrouwen dat executives genieten.
Aanvalspatronen
- Nep-CEO naar financiën: E-mail of bericht van "de CEO" aan een financieel medewerker voor een spoedbetaling buiten normale processen om
- Whaling (aanval op CEO zelf): Gerichte phishing of spear phishing waarbij de CEO zelf het doelwit is voor het verkrijgen van toegang of data
- Nep-M&A-scenario: Vertrouwelijke instructies voor betalingen in het kader van een "geheime overname" die haast vereist
- Leverancierswissel: Instructie van "CEO" om betaalgegevens van een leverancier bij te werken
Waarom het werkt
Medewerkers aarzelen om instructies van een directeur in twijfel te trekken, zeker bij verzoeken die worden omkleed met vertrouwelijkheid en urgentie. Aanvallers onderzoeken de organisatie grondig via OSINT om geloofwaardige, gepersonaliseerde berichten te schrijven.
Verdediging
- Verplicht twee-persoons-principe voor betalingen boven een bepaald bedrag
- Verifieer afwijkende betalingsinstructies altijd telefonisch via een bekend nummer
- Train financiële medewerkers specifiek op CEO-fraude scenario's
- Implementeer DMARC om e-mailspoofing van uw eigen domein te voorkomen
CEO fraud (also known as whaling) is a targeted BEC attack specifically aimed at senior executives (C-suite) or at employees acting on behalf of executives. The term "whaling" refers to hunting big fish. These attacks are particularly damaging due to the high authorisation levels and trust that executives enjoy.
Attack patterns
- Fake CEO to finance: Email or message from "the CEO" to a finance employee requesting an urgent payment outside normal processes
- Whaling (attack on the CEO): Targeted phishing or spear phishing where the CEO is the target for obtaining access or data
- Fake M&A scenario: Confidential payment instructions as part of a "secret acquisition" requiring urgency
- Supplier change: Instruction from "CEO" to update payment details of a supplier
Why it works
Employees hesitate to question instructions from a director, especially when requests are wrapped in confidentiality and urgency. Attackers research the organisation thoroughly via OSINT to craft convincing, personalised messages.
Defence
- Mandate a four-eyes principle for payments above a certain threshold
- Always verify unusual payment instructions by phone via a known number
- Train finance staff specifically on CEO fraud scenarios
- Implement DMARC to prevent email spoofing of your own domain
Fysieke Social Engineering Physical Social Engineering
Fysieke social engineering betreft aanvallen waarbij de aanvaller fysiek aanwezig is op of nabij de doellocatie. Ondanks de nadruk op digitale beveiliging blijven fysieke aanvalsvectoren bijzonder effectief omdat ze moeilijk te detecteren zijn en organisaties zich er minder bewust van zijn.
Physical social engineering involves attacks in which the attacker is physically present at or near the target location. Despite the emphasis on digital security, physical attack vectors remain highly effective because they are difficult to detect and organisations are less aware of them.
Tailgating
Tailgating is het onopgemerkt volgen van een bevoegde persoon door een beveiligde doorgang zonder eigen autorisatie. De aanvaller maakt gebruik van de sociale norm om deuren voor anderen open te houden en van het ongemak van mensen om onbekenden aan te spreken.
- Klassiek tailgating: Dicht achter een medewerker aanlopen bij een paspoortlezer zonder dat de medewerker dit doorheeft
- Prop-assisted: Handen vol dozen of koffie zodat iemand de deur beleefd opent
- Timing-aanval: Wachten op een drukke doorstroomtijd (lunchpauze, begin werkdag) om onopgemerkt mee naar binnen te lopen
Tegenmaatregelen
- Mantrap / luchtsluis (dubbele deur met sluiswerking)
- Bewustzijnstraining: medewerkers die anderen aanspreken bij beveiligde deuren
- Zichtbare bezoekerspassen en escortbeleid
Tailgating is covertly following an authorised person through a secured entrance without authorisation. The attacker exploits the social norm of holding doors open for others and the discomfort people feel about challenging strangers.
- Classic tailgating: Walking closely behind an employee at a badge reader without the employee noticing
- Prop-assisted: Hands full of boxes or coffee so someone else politely opens the door
- Timing attack: Waiting for a busy throughput period (lunch break, start of day) to slip in unnoticed
Countermeasures
- Mantrap / airlock (double door with controlled access)
- Awareness training: employees challenging unfamiliar individuals at secured doors
- Visible visitor badges and escort policy
Piggybacking
Piggybacking verschilt van tailgating doordat de medewerker bewust toegang verleent aan de aanvaller, maar dit doet op basis van valse of onvolledige informatie. De aanvaller manipuleert de medewerker actief om de deur te openen of toegang te verlenen.
- Valse identificatie: De aanvaller toont een nep-badge of legitiem uitziend identiteitsbewijs
- Sociale manipulatie: "Ik ben de nieuwe collega van afdeling X, mijn pas werkt nog niet" of "Ik kom voor de vergadering met directeur Y"
- Urgentie: "Het is een noodgeval, ik moet nu naar binnen" om snel medewerking te verkrijgen
- Autoriteitsrol: Zich voordoen als auditor, inspecteur of IT-medewerker
Tegenmaatregelen
- Nooit toegang verlenen aan iemand zonder geldige badge, ongeacht het verhaal
- Bezoekers altijd registreren bij de receptie en laten escorteren
- Medewerkers trainen in het "nee zeggen" zonder schuldgevoel
- Meld verdachte toegangspogingen aan de beveiliging
Piggybacking differs from tailgating in that the employee consciously grants access to the attacker, but does so based on false or incomplete information. The attacker actively manipulates the employee into opening the door or granting access.
- False identification: The attacker shows a fake badge or convincing-looking ID
- Social manipulation: "I'm the new colleague from department X, my pass doesn't work yet" or "I'm here for the meeting with director Y"
- Urgency: "It's an emergency, I need to get in now" to obtain quick cooperation
- Authority role: Posing as an auditor, inspector, or IT staff member
Countermeasures
- Never grant access to anyone without a valid badge, regardless of their story
- Always register visitors at reception and have them escorted
- Train employees to say "no" without feeling guilty
- Report suspicious access attempts to security
Fysieke Impersonatie Physical Impersonation
De aanvaller neemt de identiteit aan van een monteur, schoonmaker, auditor, brandweerinspecteur of bezorger om ongehinderd toegang te verkrijgen tot beveiligde zones.
- Authentiek uitziend uniform of werkkleding
- Nep-bedrijfsidentificatie met logo en foto
- Gereedschapstas en attributen die bij de rol horen
- Zelfverzekerd gedrag dat twijfel wegneemt
Tegenmaatregelen
- Bezoekersprocedure: aanmelding vooraf verplicht
- Verificatie bij leverancier of moederbedrijf voordat toegang wordt verleend
- Begeleiding van alle bezoekers op het terrein
The attacker assumes the identity of a technician, cleaner, auditor, fire safety inspector, or delivery person to gain unimpeded access to secured areas.
- Authentic-looking uniform or work clothing
- Fake company identification with logo and photo
- Tool bag and props appropriate to the role
- Confident behaviour that eliminates doubt
Countermeasures
- Visitor procedure: advance registration required
- Verification with the supplier or parent company before granting access
- Escorting all visitors on the premises
Baiting
Baiting maakt gebruik van menselijke nieuwsgierigheid door een verleidelijk lokmiddel achter te laten. Het klassieke voorbeeld is een geïnfecteerde USB-stick achtergelaten op een parkeerplaats of in de lobby.
- USB-drop: Geïnfecteerde USB-sticks met verleidelijke labels ("Salarissen Q3")
- QR-code baiting: Nep-QR-codes op openbare plekken die naar malafide URLs leiden
- Fysieke media: CD's, SD-kaarten of andere opslagmedia met malware
Tegenmaatregelen
- USB-autorun uitschakelen via groepsbeleid
- Beleid: geen externe media aansluiten zonder IT-goedkeuring
- Endpoint-security die automatisch scant bij aansluiting
Baiting exploits human curiosity by leaving behind an enticing lure. The classic example is an infected USB drive left in a car park or lobby.
- USB drop: Infected USB drives with enticing labels ("Salaries Q3")
- QR code baiting: Fake QR codes in public places leading to malicious URLs
- Physical media: CDs, SD cards, or other storage media containing malware
Countermeasures
- Disable USB autorun via group policy
- Policy: no external media connected without IT approval
- Endpoint security that automatically scans on connection
Dumpster Diving
Het doorzoeken van afval van een organisatie op waardevolle informatie. Documenten die niet correct zijn vernietigd kunnen inloggegevens, organogrammen, klantgegevens of technische documentatie bevatten.
- Onversnipperde documenten met namen, telefoonnummers, processen
- Visitekaartjes met interne contactinformatie
- Uitgeprinte e-mails of notities
- Oud IT-materiaal (harde schijven)
Tegenmaatregelen
- Cross-cut versnipperaar voor alle documenten (minimaal DIN P-4)
- Beleid voor veilige verwijdering van IT-hardware
- Beveiligde afvalcontainers op afgesloten terrein
Searching an organisation's waste for valuable information. Documents that have not been properly destroyed may contain credentials, organisational charts, customer data, or technical documentation.
- Unshredded documents with names, phone numbers, and processes
- Business cards with internal contact information
- Printed emails or notes
- Old IT equipment (hard drives)
Countermeasures
- Cross-cut shredder for all documents (minimum DIN P-4)
- Policy for secure disposal of IT hardware
- Secured waste containers in locked areas
Shoulder Surfing
Meekijken over de schouder van een persoon die inlogt of vertrouwelijke informatie invoert. Bijzonder effectief in openbare ruimtes, cafés, treinen en vliegvelden.
Tegenmaatregelen
- Privacyscherm (screen filter) op laptops en mobiele apparaten
- Schermvergrendeling bij afwezigheid
Looking over someone's shoulder while they log in or enter confidential information. Particularly effective in public spaces, cafés, trains, and airports.
Countermeasures
- Privacy screen (screen filter) on laptops and mobile devices
- Screen lock when stepping away