Een phishingmail hoeft na het Trezor-datalek geen fouten meer te bevatten. De aanvaller kan je echte naam, telefoonnummer, woonplaats en soms je volledige bezorgadres gebruiken. Bij 13.689 klanten zijn die gegevens ingezien via verzendpartner ShipMonk.
Voor awareness-teams is dit de nuttigste les uit het incident: ‘klopt de persoonlijke informatie?’ is geen bruikbare echtheidscheck. Gelekte context is juist wat gerichte phishing zo sterk maakt.
Het bericht begint met de waarheid
De beste smoes hoeft niets te verzinnen over het incident. Er wás een datalek. ShipMonk hééft Trezor-bestellingen verwerkt. Trezor hééft betrokken klanten gemaild. De aanvaller hoeft daarna maar één valse handeling toe te voegen: backup verifiëren, noodupdate installeren of crypto verplaatsen.
Bij deze vorm van pretexting is de context echt en alleen de gevraagde handeling nep. De juiste naam en ordergegevens overtuigen de ontvanger; het verzoek om de walletbackup in te voeren doet de schade. Wie medewerkers alleen leert zoeken naar rare spelling of een verkeerde aanhef, traint ze op de zwakste aanvallen.
Welke controle werkt wel?
Laat medewerkers niet beslissen of een bericht ‘echt voelt’. Geef ze een vaste, externe controle:
- Verlaat het bericht. Geen link, QR-code, bijlage of telefoonnummer gebruiken.
- Open het bekende kanaal zelf. De bestaande app, een opgeslagen bladwijzer of een telefoonnummer uit het eigen adressenboek.
- Controleer het verzoek, niet de details. Vraagt iemand om geheimen, software, geld of haast? Dan stop je.
- Meld zonder eerst bewijs te hoeven leveren. De securityfunctie beoordeelt het bericht; de medewerker hoeft geen digitaal rechercheur te zijn.
Bij Trezor is de regel uitzonderlijk helder: support vraagt nooit om een walletbackup, pincode of passphrase. Een telefoontje, WhatsApp-bericht of brief namens Trezor is volgens het bedrijf verdacht zodra het om zo’n actie vraagt.
Maak van dit incident een oefening van tien minuten
Stuur niet alleen een waarschuwing dat ‘er meer phishing kan komen’. Leg je team twee berichten voor. In beide staan de juiste naam en ordergegevens. Het ene verwijst zonder actie naar de officiële blog; het andere vraagt de ontvanger een wallet opnieuw te beveiligen.
Vraag vervolgens niet welk bericht er mooier uitziet, maar welke handeling veilig is. Het juiste antwoord: zelf naar de officiële omgeving gaan en daar controleren. Daarmee oefen je een gedrag dat ook werkt bij een gelekte factuur, een echte leveranciersnaam of een vervalst telefoonnummer.
Gebruik daarna het bestaande voorbeeld van spear phishing met persoonlijke details. Het verschil tussen theorie en praktijk wordt hier zichtbaar: een aanvaller heeft geen toegang tot het bedrijfsnetwerk nodig als een fulfilmentpartner al genoeg context lekt.
De organisatie moet het kanaal vooraf kiezen
Een medewerker kan alleen buiten het bericht controleren als het echte kanaal bekend is. Zet supportnummers, leveranciersportalen en meldroutes daarom in een interne bron die niet via e-mail wordt aangeleverd. Spreek ook af dat financiële of beveiligingsacties nooit onder tijdsdruk via één inkomend kanaal worden uitgevoerd.
De menselijke firewall is hier geen persoon die elke neptekst doorziet. Het is een proces dat een overtuigend bericht dwingt om langs een tweede, onafhankelijk kanaal te gaan. Correcte persoonsgegevens veranderen daar niets aan.
Bronnen
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.