Shoulder surfing en tailgating: aanvallen zonder één regel code

Meekijken: de trein is een leeszaal

Ga in de spits eens bewust kijken in plaats van naar je eigen scherm: je leest moeiteloos mee met offertes, beoordelingsverslagen, patiëntgegevens en mailwisselingen van wildvreemden. Niet omdat die mensen onvoorzichtig zijn, maar omdat een laptopscherm nu eenmaal leesbaar is vanaf de stoel ernaast, en omdat werken onderweg normaal is geworden terwijl de omgeving er niet op is aangepast.

Voor een gerichte aanvaller is dat goud zonder moeite. Hij hoeft niets te kraken: hij gaat naast het doelwit zitten in de trein van kantoor naar huis, of achter hem in de vertrekhal. Wachtwoorden afkijken bij het intikken, pincode meelezen bij het pinnen op kantoorborrels, of gewoon de inhoud lezen: welk project er speelt, welke klant ontevreden is, wie er weg moet. Dat soort kruimels voedt het voorwerk waar gerichte aanvallen op drijven; wie wil weten hoe zulke kruimels samenkomen tot een geloofwaardig verhaal, leest het stuk over social engineering.

Meelopen: de deur die jij openhoudt

Tailgating is misschien wel de goedkoopste aanval die er bestaat. De aanvaller hoeft alleen achter een medewerker aan te lopen op het juiste moment: handen vol koffiebekers, telefoon aan het oor, of gewoon zelfverzekerd doorstappend alsof hij dit elke dag doet. De medewerker badget, de deur gaat open, en de beleefdheid doet de rest, want een deur voor iemands neus laten dichtvallen voelt als een kleine oorlogsverklaring.

Varianten genoeg: de dozensjouwer die “even niet bij zijn pas kan”, de bekende-gezicht-truc van wie al drie keer eerder zichtbaar rondhing bij de ingang, de roker die bij het rookhok aansluit en mee terug naar binnen loopt. De achterdeur en de parkeergarage zijn favoriet, omdat daar geen receptie zit en de sociale controle lager is.

Beleefd wél iets zeggen: de zinnen die werken

Het probleem is dus niet dat mensen het risico niet kennen; het is dat niemand een script heeft voor het moment zelf. Zonder voorbereide woorden kiest je brein in een ongemakkelijke situatie altijd de weg van de minste weerstand: niets zeggen. Geef jezelf en je collega’s daarom kant-en-klare zinnen.

1. Bij de deur, vriendelijk en met een glimlach. “Ik houd hem voor je open, badge jij even? Dan klopt het tellertje.” Of simpelweg: “Heb je je pas bij de hand? Het moet hier per persoon, ook als het onhandig is.” Je weigert niemand de toegang; je vraagt alleen om de normale gang van zaken.
2. Bij handen vol of een vergeten pas. “Loop even mee naar de receptie, dan regelen ze daar een dagpas; dat is zo gebeurd.” Je biedt een oplossing aan in plaats van een afwijzing, en een echte collega vindt dat hooguit onhandig, nooit beledigend.
3. Bij iemand die al binnen is zonder pas of begeleiding. “Kan ik u helpen iemand te vinden?” is de beste openingszin die er bestaat: behulpzaam van toon, en ondertussen check je wie het is en waar hij heen moet. Bezoek hoort begeleid te zijn; deze vraag herstelt dat zonder confrontatie.
4. Als het niet lekker voelt. Niet zelf de held uithangen: meld het bij de receptie of beveiliging met een signalement en de plek. Liever tien loze meldingen dan één keer gezwegen.

Werkafspraken die het individu uit de wind houden

Losse moed is geen beleid. De zinnen hierboven werken pas structureel als de organisatie er afspraken omheen legt, zodat niemand in zijn eentje de strenge uitzondering hoeft te zijn.

De directie-regel is daarbij de belangrijkste van het rijtje. Op het moment dat de hoogste baas zichtbaar zelf badget en zich laat aanspreken als hij zijn pas vergeten is, is de boodschap voor iedereen helder: dit gaat niet over rang of vertrouwen, dit is gewoon hoe wij het doen. Eén directielid dat zich erboven plaatst, en de hele afspraak verdampt. Vergeet trouwens niet waaróm fysieke toegang zo gewild is: wie eenmaal binnen is, kan ongestoord doen waar digitale aanvallers weken voorwerk voor nodig hebben, van een usb-stick achterlaten tot het voorwerk voor CEO-fraude door simpelweg te luisteren bij de koffieautomaat.

Drie dingen voor morgenochtend

Geen project, geen budget, gewoon morgen. Eén: kijk in de trein of op kantoor eens vijf minuten bewust om je heen en tel wat je allemaal kunt meelezen; die ervaring verkoopt het privacyfilter beter dan elke presentatie. Twee: spreek met je naaste collega’s de deurzinnen af, letterlijk, zodat iedereen woorden paraat heeft. Drie: probeer het één keer uit bij de eerstvolgende gelegenheid, gewoon vriendelijk: “Badge jij ook even?” Je zult merken dat het ongemak vooral in je hoofd zat, en dat de meeste mensen begripvol reageren. Vanaf de tweede keer is het geen moed meer, maar gewoonte. En gewoontes zijn precies waar een menselijke verdedigingslinie van gemaakt is.