QR-codes zijn hot. Ze maken ons het leven eenvoudiger en efficiënter, en we gebruiken ze om snel toegang te krijgen tot websites, informatie te delen of betalingen te doen. Maar er zit ook een duistere kant aan die handige blokjes. In deze blog vertelt Wesley de Marie, security engineer bij 2source4, alles over de gevaren van QR-code-phishing. Hij geeft ook tips om je organisatie te beschermen tegen deze groeiende dreiging.

Wat is QR-code-phishing?

Laten we eerst eens kijken naar wat QR-code-phishing precies is. Een QR-code, oftewel Quick Response-code, is niets meer dan een tweedimensionale streepjescode die je met je mobiele apparaat kunt scannen. Het is een handige manier om snel toegang te krijgen tot websites, apps en andere digitale inhoud. Maar het gemak is tegelijkertijd ook het gevaar. Je ziet namelijk niet direct waar de code naartoe leidt. Het is als het klikken op een link zonder te weten waar je terechtkomt.

Wist je dat in de eerste weken van oktober 2023, 22% van de phishing attacks een QR-code bevatte.

Do’s en don’ts

Stel, je bent op je laptop aan het werk en er komt een mail met een QR-code binnen. Het is verleidelijk om die QR-code dan even snel met je telefoon te scannen, zeker als er een mooie beloning of een leuke aanbieding in het spel lijkt te zijn. Soms is de ‘verleiding’ nog veel geniepiger. Je krijgt een mail van ‘de helpdesk van Microsoft’ (not) waarin je wordt gevraagd je wachtwoord te resetten door een QR-code te scannen. Wees altijd voorzichtig! Zeker als het mobiele apparaat een privéapparaat is, is die waarschijnlijk minder beveiligd dan een zakelijke laptop. In zo’n scenario kan het volgende gebeuren: je scant de QR-code met je telefoon, je wordt gevraagd om in te loggen, en zonder veel nadenken deel je je inloggegevens. Zo krijgen hackers toegang tot belangrijke bedrijfsinformatie. Een ander scenario is dat je – in al je onschuld – malware downloadt.

Technologie als bescherming

Gelukkig zijn er technologieën beschikbaar die effectieve bescherming bieden tegen QR-code-phishing. Het begint met het correct configureren van je Microsoft-omgeving, maar dat alleen is onvoldoende. Er zijn krachtige tools beschikbaar, zoals Microsoft Defender voor Office 365. Deze tool maakt gebruik van geavanceerde detectietechnologieën die veel meer doen dan alleen het identificeren en blokkeren van verdachte QR-codes. Ze scannen e-mails en analyseren de URL’s die achter de QR-codes schuilgaan voordat eventuele schade kan worden aangericht. Op die manier heeft Microsoft al 18 miljoen unieke QR-code-phishingaanvallen kunnen detecteren en blokkeren.

Daarnaast beschikt het Microsoft Platform over allerlei beschermingsmaatregelen voor het beter beveiligen van privé apparaten, ook wel Bring Your Own Devices (BYOD) genoemd. Met deze maatregelen krijg je meer controle over wie en hoe er op de Microsoft omgeving aangemeld kan worden vanuit Android & iOS (Apple) apparaten. Het is erg belangrijk om hier aandacht aan te besteden, want 9 van de 10 keer wordt de QR-code met een privé apparaat gescand.

Bewustzijnstrainingen

Een andere effectieve manier om je organisatie te beschermen is door medewerkers deel te laten nemen aan awareness trainingen, ook wel bekend als attack-simulation-trainingen. Binnen je Microsoft-omgeving kun je deze trainingen lanceren en aanpassen aan de behoeften van je organisatie. Op die manier kun je dus ook nep phishing pogingen met QR-codes inzetten om medewerkers te testen op hun alertheid. Als iemand een verdachte QR-code scant, kan je deze persoon meteen een bijbehorende training aanbieden om het cyberbewustzijn te vergroten. Want hoe stevig je je IT-omgeving ook beveiligt, als je medewerkers – onbedoeld – de virtuele deur openzetten, is al je moeite voor niets geweest.

Geïnspireerd?

Wil je kwetsbaarheden voorkomen? Ons team kan je helpen met goed doordachte phishingtests of waardevolle gebruikersbewustzijnstrainingen. Dat kan in allerlei vormen, zoals video’s of interactieve inhoud. Maak vandaag nog een afspraak en ontdek hoe je jouw bedrijf veilig naar een hoger niveau tilt! Verder lezen?

Download onze whitepaper.

Security Basics Download Whitepaper - 2source4


Opgelicht worden met een QR-code? Dit moet je weten om veilig te blijven

De technologische ontwikkelingen lijken sneller te gaan dan ooit tevoren en cybersecurity is daar integraal onderdeel van. Rieël Wouter, Senior Engineer bij 2source4, deelt in deze blog de grootste uitdagingen rondom digitale beveiliging. Ook zoomt hij in op de rol van IT-beheer en het belang van adoptie en bewustwording.

Uitdaging 1. Diversiteit in digitale volwassenheid

De uitdagingen op het gebied van digitale beveiliging lopen sterk uiteen. Dit hangt nauw samen met de digitale volwassenheid van een organisatie. Aan de ene kant van het spectrum bevinden zich organisaties die al volledig in de cloud werken, terwijl er aan de andere kant ook nog organisaties zijn die met een on-premise-omgeving werken. Daarnaast zijn er organisaties die een hybride benadering volgen, waarbij ze deels in de cloud werken en tegelijkertijd te maken hebben met bijvoorbeeld legacy-applicaties. Elk van deze omgevingen brengt zijn eigen unieke security-uitdagingen met zich mee. In situaties waarin sprake is van verouderde infrastructuur en legacy-applicaties, is de kans groot dat moderne authenticatiemethoden niet worden ondersteund. Maar ook wanneer je besluit de overstap naar de cloud te maken, moet je goed nadenken over het juiste migratietraject en de bijbehorende security-aspecten.

Uitdaging 2. Tempo van technologische verandering

Een andere uitdaging ligt in het tempo van technologische verandering. Neem alleen al de ontwikkelingen in de Microsoft 365-omgeving. Zelfs wij als engineers hebben moeite om deze ontwikkelingen bij te houden, laat staan hoe dat is voor mensen buiten de IT-wereld. Phishingmethoden worden steeds inventiever, en de opkomst van AI voegt een extra laag complexiteit toe. Hoewel kunstmatige intelligentie mogelijkheden biedt om onze cybersecurity te versterken en sneller op bedreigingen te reageren, zitten cybercriminelen ook niet stil, met een voortdurend kat-en-muisspel als gevolg.

Uitdaging 3. Toegang tot data

Vervolgens hebben organisaties te maken met diverse toegangsmodellen voor hun data. Afhankelijk van de infrastructuur kunnen verschillende beleidsregels worden opgesteld die bepalen hoe medewerkers en externe partijen – denk aan freelancers en zzp’ers – toegang krijgen tot data. Als organisaties een Bring Your Own Device (BYOD)-beleid implementeren, vergroot dat de complexiteit. Elk toegangsmodel brengt eigen uitdagingen met zich mee als het gaat om het beveiligen van gegevens.

De rol van IT-beheer

In een wereld vol dergelijke uitdagingen is het beheer van IT-systemen van cruciaal belang. Goed beheer begint met een nulmeting, een baseline om de huidige status van de omgeving vast te stellen. Vervolgens is het belangrijk om de werkwijze van medewerkers te begrijpen en oplossingen te ontwerpen die de beveiliging verhogen zonder hun productiviteit te belemmeren.

Een andere verantwoordelijkheid van IT-beheer is het bewustmaken van de mensen binnen een organisatie van de ernst van de dreigingen. Binnen veel organisaties leeft het idee dat cybersecurity voor hen geen prioriteit heeft omdat ze nog nooit problemen hebben gehad. Geloof ons, cybersecurity is voor elke organisatie, ongeacht de omvang of branche, een urgent vraagstuk. Het is van vitaal belang om maatregelen te nemen en ervoor te zorgen dat data en identiteiten zo veilig mogelijk blijven en dat dreigingen effectief worden tegengegaan.

Een goede IT-partner zal in nauwe samenwerking met de organisatie een strategische roadmap opstellen. Deze roadmap identificeert de stappen die worden genomen om de omgeving zo veilig mogelijk te houden. Het geeft een overzicht van de prioriteiten, inclusief een duidelijk tijdschema. Wanneer veiligheidsmaatregelen zijn geïmplementeerd, is het van groot belang om ervoor te zorgen dat ze worden bijgehouden en dat er adequaat wordt gereageerd op meldingen.

Adoptie en bewustwording

Beveiliging is geen eenmalig project; het is een continu proces. Beveiligingsoplossingen moet voortdurend worden beheerd en medewerkers moeten worden betrokken en getraind om bedreigingen te herkennen. Het belangrijkste is om je mensen bewust te maken van hun rol als de eerste verdedigingslinie tegen bedreigingen.

Geïnspireerd?

Ben je geïnspireerd door deze blog? Dan is het misschien tijd om kritische vragen te stellen aan je eigen IT-team over de huidige status van de omgeving. Zijn er duidelijke beleidsregels en procedures opgesteld? En zo ja, hoe worden deze bijgehouden, vooral met betrekking tot nieuwe bedreigingen? Zijn medewerkers op de hoogte van deze procedures en regels? Weten ze wat te doen bij het detecteren van verdachte activiteiten? Door antwoorden op deze vragen helder te krijgen, ontstaat een duidelijk beeld van waar je organisatie staat en wat er moet gebeuren om de digitale beveiliging te verbeteren. Kun je wel wat hulp gebruiken Maak vandaag nog een afspraak en ontdek hoe je jouw bedrijf veilig naar een hoger niveau tilt! Verder lezen? Download onze whitepaper.


De rol van IT-beheer in digitale beveiliging

In de snel evoluerende digitale wereld staat de beveiliging van data en systemen centraal. Maar het verandert steeds sneller. In deze blog verkent Jeroen Bol, securityengineer bij 2source4, enkele van de trends en voorspellingen die van invloed zijn op de toekomst van digitale beveiliging.  

1. De opkomst van artificial intelligence (AI) 

AI heeft niet alleen ons dagelijks leven veranderd, het heeft ook een enorme impact op digitale beveiliging. Het biedt mogelijkheden om onze cybersecurity en ons vermogen om te reageren op bedreigingen te verbeteren. Maar laten we eerlijk zijn, cybercriminelen zitten niet stil. Ook zij omarmen dezelfde technologie en dat betekent dat de dreiging groter wordt. Het blijft een kat-en-muisspel, waarbij zowel de virtuele kat als de muis baat heeft bij de mogelijkheden van AI. 

AI in de praktijk: Deep fakes en identiteitsfraude 

We schreven al eerder een blog over nieuwe, creatieve phishing-methoden. Een andere zorgwekkende trend die we in de toekomst kunnen verwachten, is de opkomst van deep fakes en identiteitsfraude. Het creëren van foto’s, audio- en videobestanden waarmee cybercriminelen zich voordoen als iemand anders – je partner, je kind of je werkgever – kan verstrekkende gevolgen hebben. Dat blijkt wel uit dit CNN-artikel waarin wordt beschreven hoe nepontvoerders Jennifer DeStefano om de tuin leidden doordat ze haar dochters stem hadden gekopieerd met behulp van AI.  

2. Bewustwording groeit, ook bij kleinere bedrijven 

Begrijpelijk dat DeStefano hierin trapte, maar het bewijst maar weer dat de mens nog steeds de zwakke schakel in beveiliging is. Bewustwordingstrainingen blijven dan ook extreem belangrijk. Gelukkig merken wij dat bedrijven zich steeds meer bewust worden van de digitale dreigingen. De meeste grotere organisaties hebben al beveiligingstrainingen en -maatregelen ingevoerd, maar ook andere bedrijven beginnen steeds meer aandacht te besteden aan hun digitale beveiliging. Een positieve ontwikkeling, want kleinere bedrijven zijn minstens zo kwetsbaar als de grote bedrijven, juist doordat ze minder focussen op digitale beveiliging. 

3. NIS2: De nieuwe beveiligingsstandaard

Laten we ook NIS2 niet vergeten. Deze nieuwe EU-richtlijn voor netwerk- en informatiebeveiliging legt strengere beveiligingsvoorschriften op aan organisaties, en dan met name aan kleine en middelgrote ondernemingen. Het is belangrijk dat bedrijven zich gaan voorbereiden op de implementatie van de richtlijn, die voor Nederland gepland staat voor 17 oktober 2024. Deze richtlijn heeft invloed op verschillende sectoren en kan ook kleinere bedrijven beïnvloeden, zeker als ze onderdeel zijn van de leveringsketen van grotere organisaties. 

Geïnspireerd? 

Hoe stevig je je IT-omgeving ook beveiligt, als je medewerkers – onbedoeld – de virtuele deur openzetten, is al je moeite voor niets geweest. Wil je kwetsbaarheden voorkomen? Ons team kan je helpen met een goed doordachte phishingtest of waardevolle gebruikersbewustzijnstrainingen. Dat kan in allerlei vormen, zoals video’s of interactieve inhoud. Maak vandaag nog een afspraak en ontdek hoe je jouw bedrijf veilig naar een hoger niveau tilt! Verder lezen?Download onze whitepaper. 

 


De toekomst van digitale beveiliging. Trends en voorspellingen.

Phishing, de listige praktijken van cybercriminelen om mensen te verleiden vertrouwelijke informatie prijs te geven, is niet nieuw. We kennen allemaal de klassieke phishing-e-mails die ons vragen om op een dubieuze URL te klikken of verdachte bijlagen te openen. Maar de dagen van de overduidelijk malafide mails bomvol taalfouten, zijn voorbij. De wereld van phishing evolueert voortdurend, en cybercriminelen worden steeds inventiever. In deze blog gaan we dieper in op enkele minder bekende, maar verrassende phishing-methoden die je op je radar moet hebben.

QR-codes: een nieuw hulpmiddel voor phishing

Om detectie door anti-phishing-oplossingen te ontlopen, maken cybercriminelen steeds vaker gebruik van QR-codes in plaats van conventionele URL’s in hun e-mails. Deze QR-codes worden door beveiligingssoftware niet herkend als kwaadaardige links. Cybercriminelen gaan ervan uit dat mobiele – privé – telefoons minder goed worden beveiligd dan computers. Helaas blijkt dat vaak terecht. Als medewerkers zo’n QR-code scannen met hun telefoon, is de kans groot dat ze de mist in gaan. Daar zit je dan met je goed beveiligde computers…

Onze tip voor medewerkers: scan geen QR-codes van onbekende of verdachte bronnen. En voor beheerders: overweeg antivirusprogramma’s, zoals Microsoft Defender, voor telefoons om dit te voorkomen.

Microsoft Teams-berichten: phishing via een vertrouwd platform 

In plaats van traditionele e-mails maken kwaadwillenden nu ook gebruik van platforms zoals Microsoft Teams om berichten te verzenden met links naar malafide sites. Ze presenteren zich bijvoorbeeld onder de naam van een collega of doen zich voor als een leverancier of andere bekende. Zo proberen ze je te verleiden om op links te klikken.

Onze tip voor medewerkers: wees extra waakzaam als je een bericht van externe bronnen krijgt en vertrouw niet zonder meer op de afzender. Is die zogenaamde collega wel echt een collega? Beheerders kunnen de optie Safe Links in Microsoft Teams inschakelen via Microsoft Defender voor Office.

Consent-phishing: misleidende toestemmingsverzoeken

Bij consent-phishing sturen aanvallers je een verzoek om toestemming te geven voor toegang tot bepaalde gegevens, zoals je contacten in Outlook of updates voor je Microsoft-account. Dit zijn echte toestemmingsverzoeken, met het doel dat jij toestemming geeft voor iets waar je geen toestemming voor moet geven.

Onze tip voor medewerkers: geef nooit toestemming aan applicaties die je niet kent, en lees de verzoeken zorgvuldig door. Beheerders kunnen instellen dat medewerkers eerst goedkeuring van een beheerder moeten krijgen voordat ze zelf toestemming kunnen geven.

Delen via cloudopslagdiensten: verborgen malware

Phishers kunnen ook malafide bestanden delen via cloudopslagdiensten zoals OneDrive, Google Drive en Dropbox. De links naar deze bestanden zijn legitiem. Immers, ook je buurman of collega kan een link delen naar een bestand op hun cloudopslagdienst. Eén verschilletje: als je – nietsvermoedend – de link naar het bestand van de hacker opent, wordt er malware geactiveerd.

Onze tip voor medewerkers: controleer zorgvuldig of de persoon die het bestand deelt echt de persoon is die je denkt, voordat je naar de gedeelde opslag gaat. Beheerders kunnen algemene beveiligingsmaatregelen implementeren om malware te herkennen en te stoppen.

Bewustwording is key

Het is lastig om je voortdurend tegen alle phishing-methoden te beschermen, omdat cybercriminelen steeds slimmer worden en anti-phishing-systemen steeds vaker weten te omzeilen. Daarom is bewustwording van je medewerkers cruciaal. Zorg dat je medewerkers op de hoogte zijn van phishing-methoden en leer ze geen risico’s te nemen als ze iets verdachts tegenkomen. Alleen zo kun je je als organisatie wapenen tegen deze voortdurend evoluerende cyberdreigingen.

Geïnspireerd?

Hoe stevig je je IT-omgeving ook beveiligt, als je medewerkers – onbedoeld – de virtuele deur openzetten, is al je moeite voor niets geweest. Wil je kwetsbaarheden voorkomen? Ons team kan je helpen met goed doordachte phishingtests of waardevolle gebruikersbewustzijnstrainingen. Dat kan in allerlei vormen, zoals video’s of interactieve inhoud. Maak vandaag nog een afspraak en ontdek hoe je jouw bedrijf veilig naar een hoger niveau tilt! Verder lezen? Download onze whitepaper.


Creatieve phishing-methoden. Blijf altijd alert op nieuwe dreigingen