Dat er in de vakantieperiode meer phishing rondgaat, is geen toeval en geen fabeltje. Aanvallers kiezen hun momenten. En de zomer is voor hen aantrekkelijk, om een aantal heel praktische redenen.
Het gaat er niet om dat criminelen in juli en augustus harder werken. Het gaat erom dat een organisatie in die maanden kwetsbaarder is. Minder mensen op kantoor, waarnemers die de vaste procedures niet kennen, en medewerkers die hun mail tussendoor op hun telefoon afhandelen. Precies de omstandigheden waarin een misleidende mail eerder werkt.
Waarom juist de vakantieperiode
Een paar dingen komen in de zomer samen.
De bezetting is dunner. Beslissingen worden genomen door iemand die normaal niet verantwoordelijk is, en de gebruikelijke controlestap valt weg. Dat is het klimaat waarin factuurfraude en directeursfraude gedijen: een mail die zogenaamd van de afwezige directeur komt, met het verzoek om met spoed een betaling te doen of een rekeningnummer te wijzigen. De persoon die normaal "even zou checken" is er niet.
Daarnaast checken mensen op vakantie hun mail anders. Snel, tussendoor, op een klein telefoonscherm waarop de echte afzender en de bestemming van een link niet goed te zien zijn. De rem die je op een rustige werkdag achter je bureau nog hebt, is er even niet.
En het thema helpt de aanvaller. In deze periode verwacht je nu eenmaal mails over een boeking, een incheck-link, een pakketje of een reisverzekering. Een nepbericht in dat straatje valt minder op dan buiten het seizoen.
De afwezigheidsassistent verraadt meer dan je denkt
Er is één detail dat vaak over het hoofd wordt gezien: de automatische afwezigheidsmelding.
"Ik ben tot 20 augustus afwezig. Voor dringende zaken kunt u contact opnemen met mijn collega, bereikbaar op dit nummer." Nuttig voor je relaties, maar ook een cadeautje voor een aanvaller. Hij weet nu wie weg is, hoe lang, en wie de vervanger is die hij onder druk kan zetten.
Houd de afwezigheidsmelding daarom zakelijk en kort. Dat iemand afwezig is en dat mail wordt gelezen of doorgestuurd, is genoeg. De naam en het directe nummer van de vervanger hoeven er niet in.
Wat je eraan doet
De oplossing zit niet in ingewikkelde techniek, maar vooral in een paar duidelijke afspraken die je vóór de vakantie maakt.
- Betalingen en rekeningwijzigingen nooit alleen op basis van een mail, ook, en juist, niet als het spoed heeft of van een leidinggevende lijkt te komen. Bevestig altijd via een al bekend telefoonnummer, niet via de gegevens uit de mail zelf.
- Instrueer de waarnemers. Wie tijdelijk taken overneemt, kent de normale procedures niet altijd. Geef ze die afspraken expliciet mee.
- Houd de afwezigheidsmelding minimaal, zonder namen en directe nummers van vervangers.
- Zorg dat verdachte mail gemeld kan worden, ook in de vakantie. Eén bereikbaar aanspreekpunt is genoeg om een aanval vroeg te stoppen.
- Neem op je telefoon dezelfde tijd als achter je bureau: controleer de afzender en de link voordat je klikt.
Tot slot
De vakantieperiode maakt een organisatie niet zwakker door de techniek, maar door de omstandigheden. Minder mensen, meer haast en een waarnemer die het niet zeker weet. Aanvallers weten dat en spelen erop in.
Het goede nieuws is dat je daar met een paar afspraken al veel tegen doet, mits je ze maakt voordat de eerste collega vertrekt. Wil je weten of jouw organisatie de zomer goed is ingericht? Dat is precies het soort check dat je beter nu doet dan in augustus.