Baiting: de gevonden usb-stick die je netwerk binnenloopt

De gevonden usb-stick: anatomie van een klassieker

Het scenario: op de parkeerplaats, in de fietsenstalling of bij de koffieautomaat ligt een usb-stick. Soms kaal, vaker met een label dat de vondst onweerstaanbaar maakt: “Salarissen 2026”, “Reorganisatie concept”, “Privé”. Wie hem vindt, heeft drie redenen om hem in een computer te steken, en alle drie voelen ze redelijk.

De eerste is nieuwsgierigheid: wat zou erop staan? De tweede is hebzucht in zijn onschuldigste vorm: een gratis stick is een gratis stick. De derde is de gemeenste, want het is een déúgd: behulpzaamheid. “Ik kijk even wat erop staat, dan kan ik hem teruggeven aan de eigenaar.” Zo wordt het inpluggen van onbekende hardware een goede daad, en goede daden stel je niet uit.

Wat er daarna kan gebeuren, hangt af van wat de aanvaller heeft klaargezet: een bestand dat eruitziet als een document maar code uitvoert, of hardware die zich voordoet als een toetsenbord en razendsnel commando’s intikt. De details doen er voor jou niet toe; de les wel: het gevaar zit niet in wat je op de stick aanklikt, maar in het moment van inpluggen zelf. “Ik kijk alleen even en open niets” is dus geen veilige middenweg.

Modern aas: downloads en QR-codes

Het aas hoeft allang niet meer fysiek te zijn. Dezelfde psychologie, nieuwsgierigheid plus gratis, drijft twee digitale varianten.

De gratis download is baiting voor wie iets zoekt: wie op zoek is naar een duur programma zonder de prijs, vindt gegarandeerd een versie waarin meer zit dan het programma. En de QR-code op een poster is fysiek geplaatst digitaal aas: een sticker over de echte code op een bestaande poster plakken kost een aanvaller seconden. Ik ga hier niet uitleggen hoe je QR-codes technisch controleert; de gedragsles is genoeg: een QR-code in de openbare ruimte is een onbekende deur, geen etalage. Scan hem zoals je een onbekende bijlage zou openen, dus liefst niet, en zeker niet om er gegevens of betalingen achter te laten.

Wat je doet met gevonden hardware

Voor de usb-stick en zijn vrienden (gevonden oplaadkabels, “achtergelaten” telefoons, een externe schijf in de vergaderzaal) is de juiste route kort en saai. Saai is hier precies de bedoeling.

1. Niet inpluggen. Nergens. Niet op je werkcomputer, niet op de “oude laptop die toch niks meer doet”, en al helemaal niet thuis. Je privécomputer is geen veilig testlab; het is een computer met jouw bankzaken, je wachtwoorden en vaak een VPN naar je werk erop.
2. Lever hem in bij IT of de balie. Met de vindplaats erbij: waar lag hij, wanneer, en waren er meer? Eén stick is een verloren stick; vijf sticks rond één pand is een campagne, en dat verschil wil je security-team graag weten.
3. Vertel het je collega’s. Wie er één neerlegt, legt er meestal meer neer. Een berichtje in het teamkanaal (“er liggen usb-sticks rond het pand, niet inpluggen, inleveren bij de balie”) onschadelijkt in één klap het hele uitgezette aas.

De afspraken die nieuwsgierigheid overbodig maken

Nieuwsgierigheid afschaffen lukt niet, en dat moet je ook niet willen: het is dezelfde eigenschap die mensen problemen laat oplossen. Wat je wel kunt doen, is zorgen dat nieuwsgierigheid nergens meer een gat in je verdediging is. Drie afspraken volstaan.

Eén: alleen uitgegeven hardware in werkcomputers. Usb-apparaten komen van IT of uit een afgesproken bestelkanaal, punt. Wie een gevonden of gekregen stick nodig denkt te hebben, vraagt een nieuwe aan; dat kost een dag en voorkomt een incident. Twee: software via officiële kanalen. Gratis aas verliest zijn werking als downloads alleen via de leverancier, de app store of IT lopen, dezelfde afspraak die je ook tegen een meegesmokkeld ransomware-pakket beschermt. Drie: melden is altijd goed. Ook als je de stick al had ingeplugd voordat je dit las. Juist dan: een snelle melding maakt van een fout een beheersbaar incident, terwijl zwijgen er een sluimerend probleem van maakt.

En de volgende keer dat je iets verdacht aantrekkelijks vindt, gratis, spannend of allebei, stel jezelf die ene vraag: wie wint erbij als ik dit oppak? Als het antwoord “geen idee” is, breng het dan naar de balie en geniet van het verhaal dat je nu bij de koffie kunt vertellen. Dat is uiteindelijk de leukste vorm van nieuwsgierigheid: uitzoeken wat er aan de hand was, zónder zelf het proefkonijn te zijn.