Vertrouwen op ons vertrouwen in de mens

Marcel van der Velde is social engineer en ethical hacker. In dit interview legt uit wat social engineering is en vertelt hij welke gevaren er voor het bedrijfsleven op de loer liggen.

Marcel van der Velde bekent aan het begin van het interview dat het vooral de kunst van het beïnvloeden is die hem fascineert. “Waarom krijgt de een wel iets voor elkaar en de ander niet? Maar ook: hoe houden goochelaars ons voor de gek, en welke wegen bewandelen valsspelers in casino’s?” Tegenwoordig geeft Van der Velde cursussen en lezingen over social engineering. “Met alleen computers kon ik als jonge jongen niet zoveel. Maar toen ik hoorde over social engineering viel het kwartje. Daar wilde ik meer van weten!”

Sociale interactie volgens een vooraf bedacht plan om een doel te bereiken

Van der Velde legt allereerst het begrip social engineering uit. Social is het aangaan of ondergaan van contact met anderen. Engineering is iets realiseren door gebruik te maken van een vooraf bedacht plan. Samengevoegd: sociale interactie volgens een vooraf bedacht plan om een doel te bereiken.

Eigenlijk doet iedereen aan social engineering

“Als kind paste ik het al toe. Bijvoorbeeld als ik een snoepje van mijn oma wilde. Ik wist hoe ik me dan moest gedragen. Eigenlijk doet iedereen aan social engineering. Kijk naar elke persoonlijke interactie, opvoeden, advies geven. Thuis lopen we rond in een joggingbroek. Op het werk trekken we nette kleren aan. Met klanten praten we anders dan met onze vrienden in de kroeg. We veranderen ons gedrag om iets te bereiken. Bewust of onbewust passen we allemaal wel eens social engineering toe. En daar is niets mis mee.”

De zwarte kant van social engeneering: oplichting

Maar social engineering heeft ook een zwarte kant. Van der Velde. “Het wordt bijvoorbeeld ook toegepast bij oplichting. Oplichting is iets van alle tijden en tegenwoordig goed te automatiseren. Daardoor zien we online een sterke toename van deze aanvallen. De kwantiteit is vaak belangrijker dan de kwaliteit: success by numbers. Het versturen van één e-mail kost evenveel moeite als het versturen van 10 miljoen. De social engineer heeft alleen een adressenlijst nodig. En die is gewoon online te koop. Reageert slechts 0,1 procent van de ontvangers, dan nog is de verzamelde buit altijd aantrekkelijk.

IT is voor het klassieke oplichtersvak een enorme katalysator

Neem het bekende voorbeeld van de Nigeriaanse prins met 1 miljard dollar op zijn rekening. Hij belooft in zijn e-mail 1 miljoen dollar aan degene die zijn geld veilig wegzet. Maar dan heeft hij nog wel even het burgerservicenummer of andere persoonlijke gegevens van zijn bereidwillige helper nodig. IT is voor het klassieke oplichtersvak een enorme katalysator.”

Digitale wereld maakt anonimiteit eenvoudig

De social engineer kan zich vandaag de dag goed verstoppen. In de digitale wereld is het vervalsen van bijvoorbeeld een identiteit eenvoudig. Met Gmail maak je simpel een anoniem adres. Of voor bijvoorbeeld het plaatsen van een andere naam op een koopakte kan Photoshop worden gebruikt.

Volgens Marcel van der Velde moeten we security toepassen op het gat tussen te veel en te weinig vertrouwen.

Social engeneering met festivaltickets

Van der Velde komt met nog een aansprekend voorbeeld van oplichting. “Een social engineer post op een forum dat hij zijn toegangskaartje voor het Pinkpop festival kwijt is. Hij bevindt zich – zo schrijft hij – al in het hotel bij Landgraaf en is op zoek naar een nieuw e-ticket. Het maakt hem niet uit wat het moet kosten. Verschillende woekeraars reageren op zijn oproep. Met een aantal gaat hij de onderhandelingen aan. Verschillenden gaan akkoord met 450 euro voor een kaartje. Het geld wil hij best overmaken – schrijft hij – maar voor alle zekerheid vraagt hij vooraf wel om een legitimatiebewijs van de verkoper. ‘Je snapt dat ik niet zomaar 450 euro aan een onbekende overmaak’.

De social engineer verzamelt op deze manier diverse legitimatiebewijzen via een anoniem e-mailadres

Het resultaat? De social engineer verzamelt op deze manier diverse legitimatiebewijzen via een anoniem e-mailadres. Met deze bewijzen reageert hij vervolgens op andere aanbieders van het kaartje. ‘Ik wil graag jouw e-ticket kopen, wil je mij die mailen? Ik maak het geld over, maar het duurt waarschijnlijk even voordat het op je rekening staat. Weet je wat? Ik stuur je mijn legitimatie per e-mail. Dan weet je met wie je zaken doet.’ Samengevat, zo’n 20 personen stuurt hij elkaars legitimatie. De 20 e-tickets verkoopt hij online voor een dikke prijs. Met het laatste kaartje bezoekt hij Pinkpop en heeft een fijn weekend.”

Cybercriminaliteit dagelijkse bedreiging in het bedrijfsleven

Maar niet alleen privé kan er heel wat gebeuren. Ook het bedrijfsleven wordt bijna dagelijks geconfronteerd met cybercriminaliteit, vaak via social engineering. “Elk bedrijf heeft wel iets te verbergen”, zegt Van der Velde. “Neem Coca Cola. Krijg je het recept – de holy grail – te pakken, dan kun je goed geld verdienen. En wat als een social engineer in jouw kritieke infrastructuur weet binnen te komen? Of in het ICS/Scada-systeem, dat het bedrijf gebruikt om iets fysieks aan te sturen? Hij kan op die manier een datalek veroorzaken. Behalve dat er dan gegevens op straat liggen, loopt het bedrijf het risico op een enorme boete gezien de huidige AVG regelgeving. En met bemachtigde medewerkersgegevens kan een social engineer dieper in het bedrijf doordringen, bijvoorbeeld om een omvangrijke fraude op te zetten.”

Aan te veel vertrouwen ga je kapot, maar aan te weinig ook

Een bepaalde mate van vertrouwen is noodzakelijk

Kunnen we nog wel vertrouwen op ons vertrouwen in de mens? Voor het antwoord op deze vraag baseert Van der Velde zich op het gedachtegoed van cybersecurity goeroe Bruce Schneier. “Vertrouwen is heel vreemd. Aan te veel ga je kapot, maar aan te weinig ook. Vertrouw je te veel, dan laat je een loodgieter in huis, die – als je even niet oplet – je hele huis leeg rooft omdat hij geen loodgieter is. Aan de andere kant, niemand vertrouwen werkt ook niet. Dan kun je niet ‘zomaar’ in een taxi stappen. Want heeft de taxichauffeur wel een rijbewijs? Heeft hij niet teveel gedronken? Een bepaalde mate van vertrouwen is noodzakelijk. En het gat tussen te veel en te weinig vertrouwen? Daar moeten we security op toepassen.” Maar wat voor security dan?

Verhoog het veiligheidsbewustzijn en maak een plan van aanpak

Veiligheidsbewustzijn is een eerste stap bij de erkenning dat de zwarte kant van social engineering een aandachtspunt is. Van der Velde: “Volg een cursus, doe interne workshops, laat een deskundige aan het woord. En/of maak samen een plan van aanpak. Dan kom je al een heel eind.”

Gelukkig zijn er ook nog voldoende integere redenen om social engineering toe te passen

Social engineering is een breed begrip. “De zwarte kant ervan lijkt groot en manifest, omdat de securitywereld vooral wordt geconfronteerd met mensen die het niet goed menen. Maar gelukkig zijn er – zoals eerder uitgelegd – nog voldoende integere redenen om social engineering toe te passen. Die kant mogen we niet vergeten”, aldus Van der Velde.

Bron: https://www.securitymanagement.nl/vertrouwen-op-ons-vertrouwen-in-de-mens