ChatGPT een uitstekende ‘phishing’ hengel voor cybercriminelen

Één van de meest voorkomende vorm van internetfraude is ‘Phishing’. Met behulp van een valse mail en website wordt er informatie gestolen van een gebruiker. Je herkent ze vast wel toch? Die e-mails met verdachte links, slechte grammatica, vreemde aanhef, afwijkende huisstijlen en opmerkelijke verzoeken. Natuurlijk gooi jij dit soort berichten meteen weg. Toch heeft eerder onderzoek van het Ministerie van EZK uitgewezen dat ruim 1 op de 5 medewerkers in het MKB doorklikken in een zo’n onbetrouwbare, ‘makkelijk’ te herkennen phishingmail. Met de komst van AI chatbots, zoals ChatGPT en andere AI-tools hebben cybercriminelen een geavanceerdere ‘phishing’ hengel in handen gekregen, waardoor Phishing berichten nauwelijks meer van echt zijn te onderscheiden en op veel grotere schaal kunnen worden ingezet.

Wat is Phishing en hoe werkt het?

Phishing is een vorm van internetfraude waarbij cybercriminelen zich voordoen als legitieme bronnen en ‘hengelen’ naar persoonlijke informatie, zoals wachtwoorden en financiële gegevens te bemachtigen. Hiervoor worden met name e-mails voor ingezet, maar ook sms- of WhatsApp berichten en websites. Deze zien er vaak authentiek uit, maar zijn in werkelijkheid dus schadelijk. Op grote schaal worden met name banken gebruikt als ‘legitieme bron’ voor de nepmails gemaakt door cybercriminelen, zoals de ING, Rabobank en ABN AMRO kampen, maar ook zorgverzekeraars en pakketbezorgers zoals PostNL of DHL en organisaties als de Belastingdienst of KVK worden regelmatig misbruikt. Met de laatste trends en ontwikkelingen zien we dat phishing ook steeds gerichter wordt en daardoor meer opschuift naar het MKB en kleinere organisaties.

Actuele Phishing trends en risico’s

Technologische ontwikkelingen staan ook voor de cybercrimineel niet stil. Ook op het gebied van phishing evolueren tactieken en methoden voortdurend. Het wordt steeds gemakkelijker om betere phishing campagnes op te zetten. Phishing as a Service (PhaaS) is realiteit. Phishingkits en -diensten worden online aangeboden, waardoor zelfs criminelen zonder technische kennis phishingaanvallen kunnen uitvoeren. Door de opkomst en snelle ontwikkeling van ‘Generatieve AI’ binnen kunstmatige intelligentie wordt phishing ook steeds geraffineerder. Het wordt zelfs voor professionals steeds moeilijker om het onderscheid te maken tussen echt en phishing.

AI-gestuurde Phishing

Met de komst van ChatGPT heeft Generatieve AI een enorme toevlucht gemaakt. Generatieve AI maakt gebruik van neurale netwerken om patronen en kenmerken te leren van grote hoeveelheden bestaande gegevens. De AI kan op basis van wat deze hieruit leert weer nieuwe content genereren. Zo kan het cybercriminelen in staat stellen om overtuigendere phishingberichten te genereren en deze in te zetten op nog grotere schaal. In het jaarlijkse Cybersecuritybeeld Nederland waarschuwt de NCTV dat Generatieve AI allerlei informatie kan produceren en verspreiden die meer toegesneden is op de ontvanger. Dit kan bijvoorbeeld zijn in de vorm van spraak, audio, video, afbeeldingen of tekst. Hierdoor wordt de kans groter dat de ontvanger dit als betrouwbaar beoordeelt. 

Gerichte aanvallen met Spear phishing 

Spear phishing is een vorm van phishing waarbij er gerichtere aanvallen worden gedaan, zoals op specifieke individuen of organisaties. Met traditionele phishing wordt er vaak met hagel geschoten door het op grotere schaal toe te passen op bijvoorbeeld de grote klantenkringen en relaties van grote banken en bedrijven. Spear phishing is een opkomende trend die juist gericht is op kleinere bedrijven en organisaties. Aanvallers bestuderen een organisatie nauwkeurig, bijvoorbeeld door informatie te verzamelen uit socialmedia profielen van bijvoorbeeld LinkedIn of Facebook. Ze kunnen daarop berichten creëren die op maat zijn gemaakt naar interesses en relaties om betrouwbaarder over te komen op hun slachtoffers. Zo kun je als werknemer een bericht ontvanger die afkomstig lijkt vanuit het management van jouw organisatie of zelfs van je leidinggevende. Deze vorm van cyberaanval waarbij aanvallers zich richten op zakelijke e-mailaccounts staat ook bekend als CEO-fraude of Business Email Compromise (BEC). In combinatie met de mogelijkheden van Generative AI is Spear phishing en CEO-fraude nog gevaarlijker.

Nog overtuigendere phishing met Deepfakes

Een deepfake is een kunstmatig gecreëerde video of audio, waarbij de stem, gezichtsuitdrukkingen of bewegingen van persoon worden gemanipuleerd om te lijken alsof ze iets doen wat in werkelijkheid niet het geval is. Deepfake-technologie is een vorm van AI die door fraudeurs kan worden ingezet om aanvallen nog overtuigender te maken en slachtoffers te misleiden. Door bijvoorbeeld stemmen te imiteren van hooggeplaatste personen binnen een onderneming kunnen werknemers misleidt worden om actie te ondernemen waarbij vertrouwelijke informatie kan vrijkomen of een geldbedrag kan worden overgemaakt.

Wat kan je als bedrijf of organisatie doen tegen phishing?

Als bedrijf of organisatie zijn er verschillende maatregelen die je kunt nemen om jezelf te beschermen tegen phishing, waarmee succesvolle aanvallen aanzienlijk verminderen.

• Bewustwording, training en communicatie
• Multifactor Authenticatie
• E-mailbeveiliging
• Betaling verificatie
• Beveiliging persoonlijke gegevens
• Software-updates en Patches
• Monitoring en Detectie
• Incidentresponsplan
• Periodieke evaluaties

Wordt bewust van phishing

Het belangrijkste is bewustwording binnen de gehele organisatie. Zorg ervoor dat al je medewerkers getraind zijn in het herkennen van phishingaanvallen en hoe zij verdachte activiteiten kunnen melden. Daarnaast is communicatie hierin belangrijk, zodat je organisatie en je medewerkers op de hoogte blijven van de nieuwste phishingtrends en specifieke dreigingen. 

Beveilig toegang tot accounts

Tweestapsverificatie of Multifactor authenticatie voor alle accounts, inclusief e-mails en interne systemen, voegen een extra beveiligingslaag toe en maakt het moeilijker voor aanvallers om toegang te krijgen.

Beveilig e-mail

Maak gebruik van geavanceerde e-mailbeveiligingstools die verdachte e-mails kunnen identificeren en blokkeren. Zo voorkom je dat deze e-mails de inbox van je medewerkers bereikt.

Verifieer betalingen

Voer strenge procedures in voor betalingen en financiële transacties. Zorg ervoor dat elke betalingsaanvraag wordt geverifieerd via een tweede communicatiekanaal voordat er daadwerkelijk geld wordt overgemaakt.

Beveilig persoonlijke gegevens

Beperk de hoeveelheid informatie die online openbaar beschikbaar is over je medewerkers en je bedrijf. Aanvallers gebruiken vaak openbare bronnen om gerichte phishingaanvallen uit te voeren.

Update software

Zorg ervoor dat alle software en besturingssystemen up-to-date zijn met de nieuwste beveiligingspatches. Dit vermindert de kans op het misbruiken van bekende kwetsbaarheden.

Monitoren en Detecteren

Implementeer systemen om verdachte activiteiten te monitoren en te detecteren. Hierdoor kun je snel reageren op mogelijke inbreuken.

Stel een Incidentresponsplan op

Stel een duidelijk incidentresponsplan op voor het geval er toch een phishingaanval plaatsvindt. Met zo’n plan kun je snel stappen ondernemen om schade te beperken en het herstel coördineren.

Evalueer periodiek

Voer regelmatig audits en beoordelingen uit op je beveiligingsmaatregelen. Identificeer zwakke punten en pas je strategie aan op basis van nieuwe dreigingen.

Wat kan Invision ICT voor jouw organisatie doen tegen phishing

Een solide en uitgebreide beveiligingsinfrastructuur is van cruciaal belang in de moderne digitale wereld. Invision ICT heeft daarom een team van cybersecurityspecialisten in huis die bekend is met verschillende phishing aanvallen en andere cyberdreigingen, zoals malware en ransomware. Zij zetten hun kennis en tools in om aanvallen te voorkomen of om schade te beperken. Invision ICT kan je dan ook helpen bij alle maatregelen tegen phishing, denk aan:

• Training en bewustwording.
• Opzetten en onderhouden van firewalls en andere netwerkbeveiligingsmaatregelen.
• Implementeren van geavanceerde e-mailbeveiligingsoplossingen.
• Implementeren van Multifactorauthenticatie.
• Het opstellen van een Security Incident Response Plan.
• Instellen van systemen om verdachte activiteiten en afwijkingen van het normale gedrag te monitoren en detecteren.
• Het regelmatig bijwerken van software, besturingssystemen en beveiligingspatches om bekende kwetsbaarheden te verhelpen.
• Het beveiligen van individuele apparaten (Endpoint Security), zoals laptops en mobiele apparaten, tegen malware en andere bedreigingen die via phishing kunnen worden verspreid.

Bescherm jouw organisatie tegen phishing met de expertise van Invision ICT 

Heb je vragen over Phishing, AI of cybersecurity. Mail, bel ons of laat hieronder jouw gegevens achter en wij nemen contact met je op.