top of page

Bescherm jezelf tegen phishing

"Slachtoffer worden van phishing? Dat overkomt mij niet!" Helaas is niets minder waar. In 2021 stuurden we als test 7 valse phishingmails rond in Ter Heide. Het resultaat? Heel wat medewerkers trapten in de val. Er is dus ook in Ter Heide nog werk aan de winkel. Slachtoffer worden van phishing kan iedereen overkomen, ook jou!

Standard vs. KRC

Spruitjes vs. frietjes

Je zag de affiches vast wel opduiken doorheen Ter Heide: Sander van ICT breed glimlachend naar een bord spruitjes. Hopelijk kwam hierbij een grote frons in je voorhoofd en een verwarde blik op je gezicht. Een frietenman als Sander met stinkende spruiten voor zijn neus? Dat klopt niet ... En gelijk heb je! Een tijdje geleden vroegen we aan Sander wat hij nooit van zijn leven zou doen. Het antwoord? "Spruitjes eten met een lach op mijn gezicht zal je mij nooit zien doen. Geef mij maar een goed bord frieten!" Wie Sander een beetje kent, heeft meteen door dat dit fake news is. Jou houden we niet zo snel voor de zot, toch? Maar wat doe je wanneer je een mail krijgt van 'Sander' die vraagt naar je wachtwoord of die je doorstuurt naar een website om een document voor je werk te downloaden?

Bescherm jezelf tegen phishing

Simpel! Net zoals Sander nooit ook maar één spruit in zijn mond zou steken, zou hij (en ICT) nooit naar jouw wachtwoord vragen. Sander die je vraagt om documenten te bekijken op een heel andere manier dan je gewoon bent? Ook daar zet je best de nodige vraagtekens bij. In 99,99 % procent van de gevallen gaat het om phising. Vaak volstaat het om je tijd te nemen om een mailtje goed te lezen en logisch te redeneren.

"Net zoals ik nooit één spruit in mijn mond zou steken, zal ICT nooit om jouw wachtwoord vragen. Pas altijd op met gekke vragen en mailtjes die er verdacht uitzien."

Wat is phishing?

Wat is phishing?

Phishing is een vorm van hacking waarbij mails verstuurd worden die je proberen te overtuigen op een bepaalde URL te klikken die naar een frauduleuze website of landingspagina leidt. Via deze webpagina worden jouw persoonlijke gegevens verzameld. Zulke phishingmails worden vaak gelijktijdig uitgestuurd naar zo veel mogelijk personen en zijn niet gericht op jou als persoon.

​

Spear phishing is een fraudepoging via mail waarbij een specifiek bedrijf geviseerd wordt. Als werknemer wordt je hierbij meestal persoonlijk aangesproken. Vaak doet de hacker zich voor als een collega, leidinggevende of partner. Via deze tactiek probeert de hacker steeds gevoelige gegevens los te peuteren door jou te vragen op een link te klikken en je gegevens in te vullen of een bijlage te openen. Om deze mails geloofwaardig te maken, wordt vaak een vergelijkbaar mailadres gebruikt als de echte collega binnen de organisatie.

Sanders verhaal
Phishingtest Ter Heide

Phishingtest in Ter Heide

In februari 2021 verstuurde MME (Security Audits & Training) in samenwerking met Ter Heide 7 valse phishingmails rond om te zien hoe alert medewerkers omgaan met verdachte mails. Trapte je er zelf ook in? Ontdek het hier:

LinkedIn

LinkedIn uitnodiging x 2

417 medewerkers ontvingen een LinkedIn-verzoek van Ilse De Wilde of Bram Decat, 2 fictieve nieuwe collega's. 6,7 % van alle aangeschreven medewerkers trapten erin. 1,2 % probeerde in te loggen via een valse link en gaf zo hun wachtwoord bloot.

Wachtwoord tester

Wachtwoordtester

Maar liefst 517 medewerkers kregen een mailtje waarmee ze de sterkte van hun wachtwoord konden testen. 13,5 % van alle aangeschreven medewerkers trapten erin en opende de link. 9,3 % gaf zelfs zijn wachtwoord door, dat snel teruggeleid kon worden tot werk- en privé-accounts.

Onedrive

OneDrive download

217 personen kregen een mailtje van 'Sander Baerts' om een document te openen via OneDrive. 22,6 % van alle aangeschreven medewerkers vielen voor deze campagne. 6 % opende een frauduleus bestand door op een verdachte link te klikken.

Transport

Gemist pakje

500 personen kregen de boodschap dat een pakje niet bij hen afgeleverd kon worden. Via document kon een nieuw tijdstip gekozen worden. 7,8 % van alle aangeschreven medewerkers klikten op de link om het verdachte document te downloaden. 2 % probeerde ook effectief (soms meermaals) om dit document te openen. 

Yammer

Yammer uitnodiging

200 collega's ontvingen een mailtje van 'Paul Geypen' met een uitnodiging hem te vervoegen op Yammer. 6,5 % van alle aangeschreven medewerkers klikten op deze link. 2 % opende probeerde in te loggen en gaven zo persoonlijke gegevens door.

Apple ID

Apple-ID verificatie

300 medewerkers kregen een mail met de boodschap dat ze hun Apple-ID moesten verifiëren via een link. 3 % van deze mensen trapte erin. Slechts 1 persoon probeerde in te loggen via een verdachte link.

Test #2

In december 2021 verstuurde MME (Security Audits & Training) als tweede test 4 valse phishingmails rond naar 192 willekeurig geselecteerde personeelsleden. Ontving jij één van onderstaande mails? 

WeTransfer

WeTransfer download

192 medewerkers ontvingen een WeTransfer downloadlink van 'Kari Feys'. 16,7 % van alle aangeschreven medewerkers klikte op de link naar een frauduleus bestand. 2 medewerkers downloaden het bestand en voerden het uit.

Mail loonaanpassing

Mail loonaanpassing

Maar liefst 21,9 % van de 192 medewerkers die een mailtje kregen van 'Simonne Hulsmans' over een loonaanpassing, klikte op de bijgevoegde link. Zij kwamen terecht op een webpagina die waarschuwde voor virussen.

Invoice Speelgoedwinkel

Invoice speelgoedwinkel

192 personen kregen een mailtje van een fictieve speelgoedwinkel met een invoice van een bestelling. 6,3 % van alle aangeschreven medewerkers dubbelklikten op de verdachte bijlage. Zo activeerden ze een HTML document met een JavaScript.

Amazon tracking code

Amazon tracking code

192 collega's ontvingen een trackingcode van Amazon om een onbestaand pakje te volgen. 3,6 % van alle aangeschreven medewerkers klikten op de link in deze mail. Zij kwamen terecht op een webpagina die waarschuwde voor virussen.

De resultaten

De resultaten

Enkele valse mails deden het duidelijk beter dan de rest:

 

  • De mails in naam van Sander, Simonne en Kari kwamen het meest betrouwbaar over. Dit ondanks de verkeerde e-mailadressen die hierin gebruikt werden (sander.baerts@ter-heide.be, wetransfer@myservicealert.com, simonne.hulsmans@myservicealert.com). 

  • Ook de wachtwoordtester was een groot succes. MME kon met bepaalde wachtwoorden gemakkelijk inloggen op de Ter Heide-accounts van medewerkers, LinkedIn-profielen en andere persoonlijke accounts (bv. Telenet etc.). 

  • Het gemiste pakje hoort ook nog thuis in de top 3, ondanks dat pakjes bij het onthaal geleverd worden.​

 

Nog niet helemaal overtuigd? De resultaten van alle 11 mails samen spreken voor zich. Indien dit geen test was, maar een echte poging tot hacking, lag Ter Heide op dit moment plat.

  • Er werd 295 keer geklikt op verdachte links of bestanden. Anders gezegd: 32,5 % van alle medewerkers klikte zonder het te weten op een gevaarlijke link.

  • 58 wachtwoorden werden blootgesteld. Deze medewerkers liepen hierdoor een mogelijk beveiligingsrisico op.​

  • Via verdachte bestanden liepen medewerkers 93 mogelijke 

Typing on a Computer

       besmettingen op. Resultaat: 93 mogelijk geslaagde hackingpogingen.

​

Tips

Sanders tips​

Wil je nagaan of je mailadres ooit gehackt werd? Dat kan via deze site. Staat je mailadres in de lijst? Dan kan je best je wachtwoord veranderen. Hieronder vind je nog enkele tips van Sander om jezelf beter te beschermen tegen phishing:

Tips van Sander

Verdachte activiteit gezien of ben je zelf in een vals mailtje getrapt? Verwittig meteen ICT. Bij een poging tot hacking is geen tijd te verliezen en kunnen extra minuten veel gegevens redden.

bottom of page