Phishing

Phishing is een vorm van social engineering, waarbij de crimineel een betrouwbare bron nabootst. Zo wordt een poging gedaan om gevoelige data van het slachtoffer te achterhalen.

Reading time icon

In 5 minuten te lezen

Reading time icon

In 5 minuten te lezen

Wat is phishing?

Heb je ooit een e-mail, sms'je of bericht ontvangen wat van een bank leek te komen? Of een ander bekend bedrijf dat jou vroeg om je accountgegevens, creditcard nummer of andere gevoelige informatie te "bevestigen"? Als het antwoord hierop 'ja' is, weet je al hoe een algemene phishing-aanval eruit ziet. Deze techniek wordt gebruikt om gevoelige data van de gebruiker te krijgen. Dit wordt vervolgens doorverkocht of misbruikt door de aanvallers voor bijvoorbeeld afpersing, geld- of identiteitsdiefstal.

Oorsprong van de term

Het concept werd voor het eerst genoemd in een artikel van een lezing die werd gehouden door Jerry Felix en Chris Hauck in 1987. Hierin noemden zij het: "Systeembeveiliging: Het Perspectief van een Hacker" (1987 Interex Proceedings 1:6). Hierin werd de techniek uitgelegd waarbij een aanvaller een betrouwbare service nabootste. Het woord zelf wordt vertaald naar "vissen" naar doelwitten. De "ph-" aan het begin van het woord refereert naar “phreaks”, een groep hackers die experimenteerden met- en illegaal grenzen verlegden van telecommunicatiesystemen in de jaren '90.

Phishing image

Hoe werkt phishing?

Phishing is er al jaren en in die tijd hebben aanvallers een groot scala aan methodes ontwikkeld om slachtoffers te maken.

De meest gebruikelijke phishingtechniek is dat er per e-mail wordt gedaan alsof een bank of financiële instelling contact opneemt met het slachtoffer om deze te verleiden tot het invullen van een nepformulier in - of als bijlage bij - het e-mailbericht, of om een webpagina te bezoeken met het verzoek om accountdetails of inloggegevens in te voeren.

In het verleden werden vaak spelfouten of misleidende domeinnamen gebruikt. Tegenwoordig gebruiken aanvallers meer geavanceerde methoden, waardoor de links en neppagina's veel op hun legitieme tegenhangers lijken.

Lees meer

Informatie die wordt gestolen van de slachtoffers wordt verkocht, of misbruikt om toegang te krijgen tot bankrekeningen.

Soortgelijke aanvallen kunnen ook worden plaatsvinden via telefoontjes (vishing) en sms-berichten (smishing).

Speervissen

Een meer geavanceerde phishing-methode waarbij schijnbaar authentieke phishingberichten in de inbox van specifieke groepen, organisaties of zelfs individuen terechtkomen. Auteurs van e-mails met spearphishing voeren van tevoren uitgebreid onderzoek uit naar hun doel(en), waardoor het moeilijk is om de inhoud als frauduleus te identificeren.

Aanvallen gericht op specifieke (meestal zakelijke) individuen - zoals topmanagers of CEO's - worden aangeduid als "whaling" (walvisvangst), vanwege de omvang van de mogelijke winst (de slechteriken die "de grote vis" najagen).

Hoe herken je phishing?

Een e-mail of bericht kan officiële logo's of andere tekens van een gerenommeerde organisatie bevatten en nog steeds afkomstig zijn van phishers. Hieronder volgen enkele hints die je kunnen helpen bij het herkennen van een phishing-bericht.

Lees meer

  1. Algemene of informele begroetingen - Als een bericht niet persoonlijk aanvoelt (bijvoorbeeld 'Geachte klant'), is er waarschijnlijk iets mis.Hetzelfde geldt voor pseudo-personalisatie door middel van willekeurige, neppe referentienummers.
  2. Een verzoek om persoonlijke informatie - Veelvuldig gebruikt door phishers. Dit wordt normaliter nooit verzocht door banken, financiële instellingen en de meeste online diensten.
  3. Slechte grammatica - Spelfouten, typefouten en ongewone zinsopbouw duiden vaak op namaak (maar de afwezigheid hiervan is geen garantie dat het echt is).
  4. Onverwacht contact - Ongevraagd contact van een bank of online serviceprovider is hoogst ongebruikelijk en dus verdacht.
  5. Een gevoel van urgentie - Phishing-berichten proberen vaak tot snelle en minder doordachte actie te leiden.
  6. Een aanbod dat je niet kunt weigeren?- Als het bericht te mooi klinkt om waar te zijn, is dit bijna altijd het geval.
  7. Verdacht domein - Zou een Amerikaanse of Duitse bank echt een e-mail verzenden vanuit een Chinees domein?

Hoe bescherm je jezelf tegen phishing?

Wees je bewust van bovenstaande indicatoren om geen slachtoffer te worden van phishing. Deze indicatoren geven aan waarmee phishing-berichten zich meestal verraden.

Volg deze simpele stappen

  1. Houd rekening met nieuwe phishingtechnieken: volg de media om up-to-date te blijven over phishingaanvallen, want aanvallers kunnen nieuwe technieken bedenken om gebruikers in de val te lokken.
  2. Geef je persoonlijke gegevens niet weg: wees altijd alert als een bericht van een schijnbaar betrouwbare bron om je inloggegevens of andere gevoelige informatie vraagt. Verifieer indien nodig de inhoud van het bericht met de afzender of de organisatie die zij blijkbaar vertegenwoordigen (middels de contactgegevens die bekend staan ​​als legitiem in plaats van details in het bericht).
  3. Denk twee keer na voordat je klikt: als een verdacht bericht een koppeling of bijlage bevat, klik hier niet op. Download dit niet. Als je dit doet, kan dit naar een kwaadwillende website leiden of jouw apparaat met malware infecteren.
  4. Controleer je online accounts regelmatig: controleer voor de zekerheid je bank- en andere online accounts op verdachte activiteiten, zelfs als je niet vermoedt dat iemand je inloggegevens probeert te stelen.
  5. Gebruik een betrouwbare anti-phishing-oplossing. Pas deze technieken toe en 'Enjoy Safer Technology'.

 

History of phishing image

Noemenswaardige voorbeelden

Het systematisch phishen begon in 1995 in het America Online (AOL) -netwerk. De aanvallers namen contact op met slachtoffers via AOL Instant Messenger (AIM) om accountgegevens te stelen. Ze deden zich vaak voor als AOL-werknemers die gebruikerswachtwoorden controleerden. De term "phishing" verscheen op een Usenet-nieuwsgroep die zich bezighield met een tool genaamd AOHell. De naam bleef hangen. Nadat AOL in 1997 tegenmaatregelen had genomen, realiseerden de aanvallers zich dat ze dezelfde techniek elders in het online domein konden toepassen. Zo ontwikkelden zij zich verder in het imiteren van financiële instellingen.

Lees meer

Een van de eerste grote (mislukte) pogingen vond plaats in 2001, tijdens de chaos van de aanslagen van 11 september. Phishers stuurden e-mails waarbij zogenaamd een ID-controle werd gehouden bij de slachtoffers, waarbij ze de verkregen gegevens probeerden te misbruiken om financiële gegevens te stelen van de digitale valutadienst, het "e-goud".

Drie jaar later kreeg phishing een vaste voet aan de grond in de online wereld en in 2005 verrichtte het bij Amerikaanse gebruikers meer dan $900 miljoen aan schade.


Volgens de APWG Global Phishing Survey werden in 2016 meer dan 250.000 unieke phishing-aanvallen waargenomen, waarbij een recordaantal (meer dan 95.000) kwaadwillige domeinnamen werd gebruikt.
De afgelopen jaren zijn phishers geneigd om zich te richten op banken, financiële diensten, e-commerce klanten en sociale netwerk- en e-mailreferenties.

 

 

ESET beschermt je tegen phishing

ESET Internet Security

ESET Internet Security

Veelzijdige bescherming voor Windows.
Jouw internet, jouw wereld, in veilige handen.

Gratis Download