- Een trojaans paard is geen virus dat zichzelf verspreidt: het is malware die jou zover krijgt dat je hem zelf binnenhaalt en opent.
- De aanvaller verstopt de schadelijke lading in iets dat je wilt hebben of denkt te moeten openen: een factuur, een installer, een gratis tool.
- De echte aanvalsvector is dus niet de software, maar je vertrouwen. Daarom hoort de trojan thuis in het rijtje social engineering.
- De verdediging zit in gedrag: software alleen uit officiële bronnen, onverwachte bijlagen eerst verifiëren, en een cultuur waarin “ik heb iets geks geopend” meteen gemeld wordt.
Het trojaanse paard is het oudste trucje uit het boek, en het werkt nog steeds elke dag. Niet omdat de techniek zo geavanceerd is, maar omdat het trucje niet over techniek gaat. Een trojan vraagt jou om de deur open te doen, en hij vraagt het zo dat je het graag doet.
In awareness-sessies merk ik dat veel mensen “trojan” en “virus” door elkaar gebruiken. Dat verschil is geen taalpurisme: als je snapt waarom een trojan géén virus is, snap je ook meteen waar jouw rol als verdediger ligt.
Het paard van Troje: het verhaal in drie zinnen
De Grieken belegerden Troje jarenlang zonder resultaat: de stadsmuren waren te sterk. Toen bouwden ze een groot houten paard, lieten het achter als “geschenk” en deden alsof ze vertrokken. De Trojanen trokken het paard zelf de stad in, en de soldaten die erin verstopt zaten openden ’s nachts de poorten.
Let op wat hier níét gebeurde: niemand brak de muur open. De verdediging was technisch op orde. De aanval richtte zich op de mensen achter de muur, op hun nieuwsgierigheid en hun aanname dat een geschenk wel veilig zou zijn. Vervang “houten paard” door “bijgevoegde factuur” en je hebt de aanval van vandaag.
Waarom een trojan geen virus is
Een virus verspreidt zichzelf: het nestelt zich in bestanden of systemen en kopieert zichzelf verder zonder dat een mens iets hoeft te doen. Een trojan kan dat niet. Een trojan moet door een mens worden binnengelaten en gestart. Dat klinkt als een zwakte van de aanvaller, maar het is juist zijn sterkste kaart: hij hoeft geen technisch lek te vinden, hij hoeft alleen een geloofwaardige verpakking te bouwen.
| Virus / worm | Trojaans paard | |
|---|---|---|
| Verspreiding | Zelfstandig, via technische lekken | Door de gebruiker zelf, via misleiding |
| Wat de aanvaller nodig heeft | Een kwetsbaarheid in software | Een kwetsbaarheid in verwachtingen |
| Vermomming | Niet nodig | De kern van de aanval |
| Beste verdediging | Patchen en techniek | Gedrag en werkafspraken |
Daarom noem ik een trojan social engineering in softwarevorm. Het overtuigingswerk dat een oplichter aan de telefoon doet, zit hier ingebakken in een bestandsnaam, een icoon en een begeleidend mailtje. De manipulatietechnieken zijn exact dezelfde als bij elke andere vorm van social engineering; alleen de uitvoering is geautomatiseerd.
De vermommingen van nu
Het houten paard heeft tegenwoordig drie favoriete gedaantes. Alle drie spelen ze in op iets dat je toch al wilde doen.
- De bijlage die je “moet” openen. Een factuur, een sollicitatiebrief, een pakketbericht, een aangepaste offerte. De afzender weet dat jij dit soort bestanden de hele dag opent en dat je werkdruk geen ruimte laat om bij elk exemplaar stil te staan. Vaak zit de lading verstopt in een document met macro’s of in een zip-bestand dat de virusscanner moeilijker inkijkt.
- De download die je zelf zocht. Een gratis pdf-converter, een gekraakte versie van dure software, een handige browserextensie. Hier hoeft de aanvaller je niet eens te benaderen: hij zet zijn paard langs de route die jij toch al liep, bijvoorbeeld bovenaan zoekresultaten via advertenties.
- De nep-installer of nep-update. Een pop-up die zegt dat je videospeler verouderd is, een “beveiligingsupdate” via een mailtje, een installatiebestand dat eruitziet als de echte software, inclusief logo en correcte installatiestappen. Vaak werkt het programma daarna gewoon, zodat je nergens argwaan bij krijgt terwijl de lading op de achtergrond zijn werk doet.
Vertrouwen als aanvalsvector
Hier zit de kern. Een organisatie kan firewalls stapelen, maar een trojan reist mee op een kanaal dat per definitie open moet staan: jouw dagelijkse werk. Je opent bijlagen omdat dat je vak is. Je installeert tools omdat je je werk goed wilt doen. De aanvaller misbruikt geen fout van jou, hij misbruikt iets dat goed aan je is: behulpzaamheid, nieuwsgierigheid, plichtsbesef.
Een trojan exploiteert geen kwetsbaarheid in je systeem, maar een aanname in je hoofd: “wat eruitziet als X, zal wel X zijn.”
Vertrouwen als aanvalsvector
Dat verklaart ook waarom “beter opletten” als advies tekortschiet. Je kunt niet elke verpakking de hele dag wantrouwen; dan wordt werken onmogelijk. Wat wél kan: het aantal momenten waarop je een verpakking moet beoordelen drastisch verkleinen, door afspraken te maken over waar software en bestanden vandaan mogen komen.
Wat je morgen anders doet
Drie afspraken die het paard buiten de poort houden, zonder dat je paranoïde hoeft te worden.
Software komt uit één bron. Spreek binnen je team af dat installaties alleen via de officiële leverancier, de app store of de eigen IT-afdeling lopen. Niet via zoekresultaten, niet via een link in een mail. Wie iets nodig heeft dat er niet is, vraagt het aan in plaats van het zelf te regelen.
Onverwacht plus uitvoerbaar = eerst verifiëren. Een bijlage die je niet verwachtte én die iets wil (macro’s inschakelen, een programma starten, een wachtwoord vragen) krijgt eerst een belletje of appje naar de afzender via een kanaal dat je zelf opzoekt. Bij twijfel over wat er in je mailbox landt, helpt het om te weten welke soorten phishing er momenteel rondgaan.
Maak melden veilig. De grootste schade ontstaat niet bij de klik, maar in de uren erna waarin niemand het durft te zeggen. Spreek hardop uit, liefst door een leidinggevende: wie meldt dat hij iets verdachts heeft geopend, krijgt een bedankje, geen reprimande. Die ene zin verandert meer dan welke technische maatregel ook.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.