Een overtuigend e-mailbericht, een telefoontje van een zogenaamd bekende leverancier of een bericht dat afkomstig lijkt van een collega kan soms effectiever zijn dan een geavanceerde technische aanval. Dat maakt social engineering tot een van de meest succesvolle aanvalsvormen van dit moment. Tegelijkertijd ontstaat hierdoor ook een misverstand. Veel organisaties zien social engineering als een probleem dat voortkomt uit onoplettende medewerkers. Wij kijken daar anders naar.
De reden dat deze aanvallen succesvol zijn, is juist omdat ze inspelen op eigenschappen die mensen goed maken in hun werk. Medewerkers willen klanten helpen, collega’s ondersteunen en snel handelen wanneer iets urgent lijkt. Cybercriminelen maken misbruik van die eigenschappen. Dat betekent echter niet dat organisaties hier machteloos tegenover staan.
Waarom organisaties het probleem vaak verkeerd benaderen
Wanneer een organisatie te maken krijgt met een phishingaanval of een poging tot social engineering, wordt vaak eerst gekeken naar de technische kant van het verhaal. Zijn er aanvullende beveiligingsoplossingen nodig? Moeten er extra controles worden ingesteld? Kunnen er nog meer waarschuwingen worden toegevoegd aan e-mails? Dat zijn begrijpelijke vragen, maar ze raken niet altijd de kern van het probleem.
Social engineering is namelijk geen aanval die primair gericht is op technologie. Het is een aanval die gebruikmaakt van vertrouwen, autoriteit, nieuwsgierigheid en tijdsdruk. Precies daarom geloven wij dat organisaties soms te veel vertrouwen op techniek en te weinig op kennis. Een medewerker die begrijpt hoe cybercriminelen te werk gaan, zal een verzoek om een spoedbetaling anders beoordelen. Iemand die weet dat aanvallers regelmatig een gevoel van urgentie creëren, zal eerder geneigd zijn om een verzoek te controleren voordat er actie wordt ondernomen.
Net zoals inbraakpreventie niet betekent dat er nooit meer wordt ingebroken, betekent cybersecurity niet dat er nooit meer een aanval plaatsvindt.
En een medewerker die bekend is met moderne phishingtechnieken zal sneller vragen stellen wanneer iets niet helemaal logisch voelt. Dat betekent niet dat iedereen een securityspecialist moet worden. Het betekent wel dat iedere medewerker baat heeft bij een basisniveau van kennis. Opvallend genoeg zien we in de praktijk dat veel organisaties deze impact onderschatten. Natuurlijk worden de technieken verfijnder. Met behulp van AI worden berichten overtuigender en worden aanvallen professioneler uitgevoerd. Maar uiteindelijk blijft het doel hetzelfde: iemand overtuigen om een bepaalde handeling uit te voeren.
De rol van medewerkers
Het herkennen van ongebruikelijke verzoeken, onverwachte urgentie of pogingen om vertrouwen te misbruiken vraagt vooral om inzicht in hoe aanvallers te werk gaan. Juist daar ligt de kracht van bewustwording. Waar technische beveiligingsmaatregelen gericht zijn op het blokkeren van aanvallen, helpt kennis mensen om betere afwegingen te maken op de momenten dat techniek alleen niet voldoende is.
Social engineering richt zich uiteindelijk op menselijk gedrag en menselijk gedrag is beïnvloedbaar door kennis, ervaring en bewustwording. Dat zien we dagelijks terug in de praktijk. Een medewerker die een factuurverzoek niet direct uitvoert omdat het bedrag afwijkt van eerdere betalingen. Een collega die een telefoontje van een zogenaamd bekende leverancier eerst controleert voordat hij toegang verstrekt tot systemen. Of een medewerker die zich afvraagt waarom een directeur ineens via WhatsApp vraagt om met spoed iets aan te schaffen. Het zijn ogenschijnlijk kleine momenten waarop de juiste kennis het verschil maakt tussen een incident en een aanval die daadwerkelijk slaagt.
Organisaties die daarin investeren, versterken niet alleen hun weerbaarheid tegen cybercriminaliteit, maar creëren ook een cultuur waarin digitale veiligheid onderdeel wordt van het dagelijks werk. Techniek blijft daarbij onmisbaar. Maar wanneer cybercriminelen steeds vaker de mens als ingang kiezen, wordt het minstens zo belangrijk om te investeren in de mensen achter de systemen.