In het schaakspel gebruik je bekende openingszetten om je stukken strategisch te positioneren en een aanval op te bouwen. Online zijn talloze tutorials te vinden over 'How to develop your pieces in chess'. Maar hoe zit dat eigenlijk voor onze tegenstander in het digitale schaakspel? Heeft die dezelfde toegang tot onlinediensten als wij, en kan hij daarmee dezelfde ‘speelstukken’ inzetten om een digitale aanval op te zetten?
Het antwoord hierop is: ja. Net als wij kunnen kwaadwillenden eenvoudig digitale middelen inzetten die normaal gesproken bedoeld zijn voor legitiem gebruik. Denk bijvoorbeeld aan:
- Het registreren van domeinnamen die lijken op die van zorginstellingen.
- Het aanmaken van Google-accounts om e-mails te versturen of data te uploaden via Google Drive.
- Het huren van virtuele machines bij AWS, Azure of Google Cloud om hun infrastructuur te hosten.
- Het plaatsen van websites achter Cloudflare om detectie te bemoeilijken.
- Het aanmaken van social media-accounts, bijvoorbeeld op LinkedIn, om zich als betrouwbare partij voor te doen.
- Het betalen voor advertenties om hun links bovenaan in zoekresultaten te krijgen.
Net zoals wij diensten kunnen inkopen om onze digitale infrastructuur te verdedigen, bestaat er ook een online markt voor kwaadwillenden om aanvallen “as a service” uit te voeren. Op het darkweb kunnen zij bijvoorbeeld:
- Licenties afnemen op phishingkits die inmiddels zelfs MFA en Conditional Access weten te omzeilen.
- Gebruikmaken van Ransomware-as-a-Service-platforms om aanvallen uit te voeren zonder technische expertise.
- Gelekte inloggegevens kopen, vaak afkomstig uit eerdere datalekken of credential stuffing.
- Toegang verkrijgen tot residential proxies, waarmee ze hun herkomst maskeren en zich voordoen als legitieme gebruikers.
Deze diensten maken het voor aanvallers mogelijk om met relatief weinig moeite een geavanceerde digitale aanval op te zetten, met middelen die qua professionaliteit en schaalbaarheid niet onderdoen voor die van legitieme organisaties. Met de opkomst van AI-agents is het slechts een kwestie van tijd voordat ook deze technologie actief wordt ingezet door onze digitale tegenstanders.
Deze ontwikkelingen onderstrepen een eeuwenoude les in cybersecurity: 'never trust users'. Iedere gebruiker kan potentieel een misbruiker zijn, ongeacht hoe legitiem de dienst lijkt die hij of zij gebruikt.
Al met al, iets om over na te denken tijdens de koffiepauze.
De volgende en laatste blogpost in deze reeks: Deel 14: Reconnaissance