Op een woensdagochtend om 9.12 uur ontvangen achttien medewerkers van een installatiebedrijf een e-mail van “de IT-afdeling”. Het onderwerp: Je wachtwoord verloopt vandaag, verleng het nu. De opmaak klopt, de afzender lijkt te kloppen, de knop is groot en blauw. Binnen een uur hebben zeven mensen geklikt en vier van hen hun wachtwoord ingevuld.
Niemand is gehackt. De mail kwam van Orange Warriors. Maar het installatiebedrijf weet nu iets wat het gisteren niet wist: bij een echte aanval had een crimineel vier accounts in handen gehad, voor de koffiepauze.
Dat is een phishing-simulatie. In dit artikel leggen we uit hoe zo’n simulatie werkt, wat de cijfers je vertellen en hoe je voorkomt dat het als een valstrik voelt.
Hoe een simulatie verloopt
Een phishing-simulatie is een geplande, onschadelijke nep-aanval op je eigen medewerkers. Het verloop is steeds hetzelfde.
1. Het scenario. Er wordt een aanval gekozen die past bij jouw bedrijf en bij de functie van de ontvanger. Een boekhouder krijgt een nepfactuur met een gewijzigd rekeningnummer. Een medewerker van de klantenservice krijgt een bericht dat een pakket niet bezorgd kon worden. Iedereen kan een wachtwoordreset van “Microsoft” of “Google” krijgen. Wij werken met een platform met meer dan 140 scenario’s die zijn gebaseerd op echte aanvallen.
2. De verzending. De mails gaan uit zonder aankondiging, verspreid over de dag en soms over meerdere dagen. Juist de verrassing maakt het realistisch. Een aangekondigde test meet alleen hoe goed mensen opletten als ze weten dat ze getest worden.
3. De meting. Per medewerker wordt vastgelegd wat er gebeurt: geopend, geklikt, bijlage geopend, gegevens ingevuld, of gemeld. Alles wordt gemeten, niets wordt gestraft.
4. Het leermoment. Wie klikt, komt niet op een boze pagina maar op een korte uitleg: dit was een oefening, en dit had je kunnen zien. Direct daarna volgt een micro-learning van een paar minuten over precies dit type aanval. Het moment van klikken is het moment waarop iemand het meest openstaat om te leren.
5. De herhaling. Een paar weken later volgt een nieuw scenario, van een ander type. Het platform kiest die scenario’s automatisch op basis van eerdere resultaten. Wie de wachtwoordreset doorzag, krijgt nu een nepfactuur.
Meer dan e-mail
Phishing is allang niet meer alleen e-mail. Een goed programma test daarom ook andere routes:
- Nep-websites. Een kopie van een inlogpagina die je medewerkers dagelijks gebruiken. Wie er zijn wachtwoord invult, leert dat het adres net niet klopte.
- Telefoongesprekken. Een “leverancier” of “collega” die belt met een dringend verzoek. Met kunstmatige intelligentie klinkt zo’n beller inmiddels als een echt mens, die reageert op wat je zegt.
- Bijlagen. Een offerte of factuur in een bestand dat bij een echte aanval malware zou bevatten.
Wie alleen op e-mail traint, laat de andere deuren open.
Wat de cijfers je vertellen
Na elke campagne krijg je een rapportage. Drie cijfers zijn daarin het belangrijkst.
Het klikpercentage. Hoeveel procent van de medewerkers heeft op de link geklikt of de bijlage geopend? Bij een eerste simulatie is dit cijfer vaak confronterend. Dat is geen schande; het is de reden dat je begonnen bent. De vraag is of het daalt in de maanden erna, en dat doet het bij vrijwel elk bedrijf dat volhoudt.
Het meldpercentage. Hoeveel procent heeft de mail actief als verdacht gemeld? Dit cijfer is minstens zo belangrijk als het klikpercentage. Een team waarin de helft klikt maar niemand meldt, is kwetsbaarder dan een team waarin een kwart klikt en de rest binnen een minuut alarm slaat. Bij een echte aanval is die eerste melding vaak wat de schade beperkt.
Het patroon. Welke scenario’s werken het best? Op welke afdeling? Op welk tijdstip? Als nepfacturen op de administratie goed scoren voor de aanvaller, weet je waar de volgende training over moet gaan.
Samen met de trainingsvoortgang en de behaalde certificaten vormen die cijfers ook je bewijs. Steeds meer klanten en auditors willen zien dat medewerkers aantoonbaar zijn getraind; onder NIS2 is bewustwording zelfs een expliciete verplichting.
Zo voorkom je dat het als een valstrik voelt
Een simulatie kan het vertrouwen in een team vergroten of beschadigen. Het verschil zit in hoe je het inricht.
- Kondig het programma aan, niet de campagnes. Vertel je team dat het bedrijf voortaan periodiek simulaties uitvoert, als onderdeel van de beveiliging. Zeg niet wanneer.
- Straf niet. Wie klikt, krijgt een leermoment, geen gesprek met de leidinggevende. Zodra klikken consequenties heeft, stoppen mensen met melden, en dat is precies wat je niet wilt.
- Vier het melden. Deel na een campagne hoeveel mensen de mail hebben gemeld. Maak van de melders het voorbeeld, niet van de klikkers de les.
- Doe zelf mee. Als de directie ook in de simulaties zit en daar open over is, verdwijnt het gevoel dat medewerkers worden gecontroleerd.
Wil je weten waar je op moet letten in een verdachte mail? In dit artikel zetten we de belangrijkste signalen op een rij.
Wat wij voor je doen
Bij Orange Warriors regelen wij het volledige programma: de scenario’s, de planning, de micro-learnings en de rapportage. Het platform plant campagnes automatisch en stemt vervolgtrainingen af op elke medewerker. Jij ontvangt periodiek een helder overzicht en hoeft er verder geen omkijken naar te hebben.
Security awareness training zit in het Sentinel-pakket en is voor de andere pakketten op aanvraag beschikbaar.
Bronnen en verder lezen
- Fraudehelpdesk: voorbeelden van actuele phishing-campagnes.
- NCSC: adviezen over phishing voor organisaties.
- Autoriteit Persoonsgegevens: regels voor het verwerken van gegevens van medewerkers.
