We hebben het gehaald! In deze blogreeks zijn we samen afgedaald in het digitale schaakspel met onze online tegenstanders. Van het digitale schaakmat in de eerste blogpost, terug naar de openingszetten in de vorige. Maar zoals bij schaken geldt ook hier: je bent nooit uitgeleerd.
Daarom sluiten we af met een laatste, cruciale stap in de voorbereiding op het volgende digitale schaakspel, dat onvermijdelijk weer zal komen: Reconnaissance. Onderzoek wat onze tegenstander online over jouw organisatie kan achterhalen. Want wie doorheeft wat een aanvaller over hem kan vinden, is beter voorbereid op wat komen gaat.
Ook het schaakspel heeft zich de afgelopen jaren steeds meer verplaatst naar het internet. Er zijn inmiddels talloze platforms waar je een account kunt aanmaken en het kunt opnemen tegen spelers van over de hele wereld. Het mooie van deze websites is dat ze je inzicht geven in hoe anderen spelen. Door wedstrijden terug te kijken, kun je ontdekken wat de sterktes en zwaktes zijn van je toekomstige tegenstander.
En precies dát is waar het bij Reconnaissance om draait: het verzamelen van informatie over je tegenstander, nog vóór het spel begint. Maar besef ook: jouw tegenstander doet hetzelfde. Wat valt er online over jouw organisatie te vinden? Welke digitale sporen laat je achter?
Heb jij jezelf of jouw organisatie wel eens online opgezocht? Bijvoorbeeld door je eigen naam of die van je organisatie in te voeren in een zoekmachine?
Wat komt er dan boven water?
- Vertellen leveranciers of oud-medewerkers online hoe ze de IT bij jullie hebben ingericht?
- Laten nieuwsberichten zien met welke andere organisaties je intensief samenwerkt?
- Toont het organogram wie je leidinggevende is, een mogelijk doelwit voor gerichte phishing?
- Zien aanvallers via vacatures waar je organisatie momenteel kwetsbaar is, bijvoorbeeld door een gebrek aan security-capaciteit?
- Laat een lijst met behaalde certificaten zien welke certificeringen je nog níet hebt en dus waar je digitale volwassenheid mogelijk nog tekortschiet?
Dit alles is voer voor aanvallers. En het is publiek beschikbaar. Reconnaissance begint niet met een hackpoging, maar met een zoekopdracht.
En voor jou persoonlijk?
- Slingert er nog ergens een oud cv online met je privé-e-mailadres en telefoonnummer?
- Laten foto’s op sociale media zien welke werkkleding je draagt, waar je werkt, en hoe het toegangspasje eruitziet waarmee je het gebouw binnenkomt?
- Heb je een PhD afgerond en in je thesis de namen van je partner en kinderen vermeld?
- Toont een app voor het bijhouden van je hardloop- of fietsroutes waar je woont?
- En laten de frequentie van die routes of foto's van je hobby-avonden zien wanneer je níet thuis bent?
Door de opkomst van AI is het voor aanvallers nóg eenvoudiger geworden om al deze puzzelstukjes razendsnel te verzamelen, te combineren en te analyseren. Wat vroeger uren handmatig zoekwerk kostte, kan nu in minuten worden geautomatiseerd.
Op een gegeven moment weet een aanvaller zóveel over jou of je organisatie, dat hij precies weet welke zet jij gaat doen. En dan is die ene phishingmail geen gok meer, maar een geplande overwinning.
Al met al, iets om over na te denken tijdens de koffiepauze. Of natuurlijk na het kijken van de documentaire The Great Hack, over hoe met Facebook-data verkiezingsuitslagen zijn beïnvloed.
Dit was de laatste blogpost in deze reeks. Dank voor het lezen en tot volgend jaar!