Eén van de belangrijkste strategieën van cybercriminelen is op slimme wijze gebruikmaken van introducties van nieuwe tools en diensten van vertrouwde organisaties. Denk bijvoorbeeld aan de Rabo Scanner, de komst van handige betaalapps, de invoering van Track & Trace voor pakketjes of de introductie van DigiD en de OV-chipkaart. Criminelen hebben een neus voor dergelijke introducties. Mensen moeten vaak wennen aan een nieuwe tool of dienst. Ze weten niet direct hoe het precies werkt en wat ze kunnen verwachten. Cybercriminelen maken daar op slinkse wijze misbruik van. Een greep uit de voorbeelden van afgelopen jaren.
Introductie Rabo Scanner
Neem bijvoorbeeld de introductie van de Rabo Scanner als opvolger van de Rabo Random Reader. Internetcriminelen speelden hier destijds direct op in en stuurden klanten valse e-mails over de Rabo Scanner. Met een professional uitziende mail inclusief digitale handtekening, waarbij gebruik gemaakt werd van een domeinnaam die sterk leek op de echte, vroegen de criminelen Rabobank-klanten als voorbereiding op de komst van de Rabo Scanner alvast iets te activeren. Hierbij werden belangrijke persoonsgegevens uitgevraagd. Opvallend was de naam onder de valse mail, Frank Smeerlinker. Die naam stond ook onder eerdere valse mails naar Rabo-klanten over het treffen van voorbereidingen in het kader van de overstap naar IBAN. Pim Pastoors, productmanager SIDN Merkbewaking, vertelt: "De Rabobank heeft recent aangekondigd te werken aan een opvolger van de Rabo Scanner. Alleen al die aankondiging zorgt alweer voor een piek in online misbruik."
Opkomst online betaalapps
Een recenter voorbeeld, enige tijd terug waren de online betaalapps zoals Tikkie opkomst. Deze maakten een einde aan gedoe met rekeningnummers en wachten op je geld. Deze apps zijn helaas ook direct door cybercriminelen ontdekt. Consumenten bieden via online marktplaatsen allerlei producten aan. Wanneer een consument wil verkopen, vraagt de cybercrimineel bijvoorbeeld via WhatsApp om 1 cent over te maken. Dat klinkt niet onwaarschijnlijk, er zijn namelijk meerdere grote bedrijven (o.a. streaming services, verzekeraars, energiebedrijven) die je tegenwoordig vragen om eenmalig 1 cent over te maken om je te identificeren. De link die de cybercrimineel vervolgens stuurt, leid je naar een phishingsite die lijkt op de website van je bank. Het bedrag en rekeningnummer van de koper zijn al ingevuld. Het overmaken van 1 cent verloopt normaal. Niks aan de hand zo lijkt het. Maar wat je niet in de gaten hebt, is dat de link je doorverwees naar een phishingsite. Hierdoor kan de cybercrimineel de betaling van 1 cent eenvoudig veranderen in een groter bedrag met als ontvanger de cybercrimineel zelf.
Invoering AVG
Ook een goed voorbeeld is de invoering van de nieuwe privacywetgeving, de Algemene verordening gegevensbescherming in mei dit jaar. Wekenlang stuurden allerlei bedrijven e-mail over hun aangepaste privacybeleid. De meeste mails zijn daadwerkelijk afkomstig van bedrijven, maar ook hier speelden cybercriminelen slim op in. De Consumentenbond berichtte over Nederlandstalige phishingmails zogenaamd van ABN Amro en een Engelstalige uit naam van Airbnb. In beide mails werd de ontvanger gevraagd het privacybeleid te bevestigen om er gebruik van te kunnen blijven maken. Met als belangrijkste doel: het stelen van de inloggegevens. Pastoors: "Het is logisch dat mensen hier in trappen. Zeker na nieuwe introducties, als men nog niet gewaarschuwd is, is het heel lastig om echte mails van neppe te onderscheiden. Criminelen pakken dit uiterst geraffineerd aan."
Wat kun je zelf doen?
Zorg dat je alert bent bij introducties van nieuwe tools of diensten
Bezoek via de browser de officiële website van een bedrijf en kijk of je meer informatie kunt vinden over het product of dienst.
Bel desnoods het bedrijf om te vragen dat het klopt of je een mail van ze hebt ontvangen.
Last but not least, controleer altijd de afzender. Klopt de domeinnaam? Is dit het officiële mailadres van het bedrijf?
Kijk op de website van de Fraudehelpdesk of er meldingen van phishing of fraude bekend zijn.
Wat kun je als bedrijf doen?
Pastoors: 'Zorg allereerst voor goede communicatie op je website. Een bericht op de homepage waarin je de nieuwe introductie uitgebreid toelicht. Daarnaast is het slim om foutieve berichtgeving en phishingmails te monitoren. De SIDN Merkbewaking geeft je bijvoorbeeld inzicht in alle domeinregistraties die lijken op jouw merk of die de naam van jouw nieuwe product of dienst bevatten. Op die manier kun je tijdig actie ondernemen."
