Pretexting: de smoes als sleutel tot je organisatie

Drie rollen die altijd werken

De monteur. Werkkleding, een gereedschapskoffer, een klembord en een mededeling: “Ik kom voor de storing aan de klimaatinstallatie.” Niemand bij de receptie weet van een storing, maar dat bewijst niets: storingen worden wel vaker rechtstreeks bij de beheerder gemeld. De monteur straalt uit dat dit voor hem de zoveelste klus van de dag is, en juist die verveling is overtuigend. Wie zenuwachtig zou zijn, valt op; wie zucht over zijn planning, hoort erbij.

De nieuwe collega. “Ik ben gisteren begonnen op de derde, mijn pasje is nog niet klaar; kun je me even binnenlaten?” Dit verhaal is sterk omdat het waar zou kúnnen zijn op elk moment: er beginnen altijd wel ergens nieuwe mensen, en iedereen weet hoe traag pasjes soms geregeld worden. De vraag doet bovendien een beroep op gastvrijheid: niemand wil degene zijn die een nieuwe collega op zijn tweede dag in de regen laat staan.

De auditor. De krachtigste van de drie, omdat hij de hiërarchie omdraait. Een auditor, inspecteur of “iemand van het hoofdkantoor” controleert jóú; lastige vragen stellen aan iemand die jou komt controleren voelt als brutaliteit. Wie om legitimatie vraagt bij een auditor, is bang om aantekening “werkt niet mee” te krijgen. De aanvaller hoeft die angst niet eens uit te spreken; de rol draagt hem al in zich.

Waarom een goed verhaal deuren opent

Een pretext werkt niet omdat het waterdicht is, maar omdat het de bewijslast omdraait. Zonder verhaal moet een vreemde aantonen dat hij ergens mag zijn. Mét verhaal moet jij ineens aantonen dat hij er níét mag zijn, en dat ten overstaan van iemand die misschien gewoon zijn werk doet. De sociale kosten van ten onrechte wantrouwen voelen op dat moment hoger dan de abstracte kans dat dit een aanvaller is.

Goede pretexts bevatten daarom altijd drie ingrediënten: een verklaring vooraf voor alles wat vragen zou kunnen oproepen (“mijn pasje is nog niet klaar”), een beroep op een gewaardeerde eigenschap van jou (behulpzaamheid, gastvrijheid, respect voor gezag) en een lichte tijdsdruk die uitzoekwerk onaantrekkelijk maakt. Let in de verhalen hierboven maar op: alle drie de ingrediënten zitten er telkens in.

Vaak is fysiek pretexting trouwens maar één bedrijf van een langer toneelstuk. Het telefoontje van “de IT-helpdesk” een week eerder, waarin terloops werd gevraagd welke pakketten jullie draaien, was het voorwerk; de informatie uit dat gesprek maakt het verhaal bij de balie kloppend. Wie het over personeelsroosters, leveranciers of systemen heeft tegen een onbekende beller, schrijft mee aan het script van een latere bezoeker. Datzelfde voorwerk zie je terug bij gerichte mailaanvallen; bij soorten phishing lees je hoe die varianten zich tot elkaar verhouden.

Beleefd verifiëren: de zinnen die het ongemak weghalen

De oplossing is niet om vreemden te wantrouwen; de oplossing is om verificatie zó normaal te maken dat ze niets meer over vertrouwen zegt. Het verschil zit in standaardisering: wat voor iedereen geldt, is voor niemand een belediging.

1. Verwelkom eerst, verifieer dan. “Fijn dat u er bent, ik meld u even aan; zo zijn onze afspraken voor iedereen die hier werkt.” De toon is gastvrij, de procedure onwrikbaar. Je behandelt de bezoeker niet als verdachte maar als gast, en gasten worden nu eenmaal aangemeld.
2. Verifieer via je eigen kanaal. Bel de leverancier op het nummer uit je eigen administratie, bel de afdeling waar de “nieuwe collega” zou werken, bel de opdrachtgever van de “audit”. Nooit het nummer dat de bezoeker zelf geeft, want dan beantwoordt zijn maat de telefoon.
3. Laat wachten een service zijn. “Loopt u even mee naar de wachtruimte, koffie staat daar; ik zorg dat u zo wordt opgehaald.” Een echte monteur vindt dat de normaalste zaak van de wereld. Iemand die hier zenuwachtig of geïrriteerd van wordt, geeft je gratis informatie.
4. Begeleid, altijd. Bezoekers lopen niet alleen door het pand, ook niet “even snel naar de serverruimte”. Niet omdat je ze wantrouwt, maar omdat dat de afspraak is, en afspraken gelden ook als het ongemakkelijk is.

De cultuurtest: wat gebeurt er na een terechte controle?

Of pretexting bij jou kans maakt, hangt minder af van je poortjes dan van één cultuurvraag: wat gebeurt er met de medewerker die een échte monteur, een échte nieuwe collega of, spannender nog, een échte auditor staande houdt? Als die persoon achteraf een compliment krijgt, ook al klopte het verhaal van de bezoeker, dan wordt verifiëren een gewoonte. Krijgt hij gemopper over de opgehouden monteur of een opmerking van een manager, dan heeft iedereen die het zag meegekregen dat controleren riskant is, en doet niemand het meer.

Mijn voorstel voor deze week: bespreek de drie rollen uit dit stuk in je teamoverleg en vraag wie er weleens iemand heeft binnengelaten zonder check; de verhalen komen vanzelf, en niemand hoeft zich te schamen. Spreek daarna de standaardzinnen af en laat de leidinggevende hardop zeggen dat een terechte controle altijd goed werk is. Een goed verhaal opent deuren; een goede afspraak houdt ze dicht zonder dat iemand onbeleefd hoeft te zijn.