Een hack zit in een klein hoekje

Sijmen Ruwhof

(Kennisartikel Nationale-Nederlanden VVP-special Cyber) Een bakker met gehackte kassa. Een bouwbedrijf waarbij digitale tekeningen zijn gestolen. Of een notaris van wie het klantenbestand op straat ligt. Cybercriminaliteit komt steeds vaker voor. Hackers kunnen in korte tijd veel schade aanrichten. Toch onderschatten veel ondernemers de risico’s. Ethisch hacker Sijmen Ruwhof vertelt hoe hij een bedrijf in zes stappen kan ontregelen.

Sijmen Ruwhof (34) hackt binnen de kaders van de wet en heeft als doel cybercriminaliteit tegen te gaan. In opdracht van bedrijven en overheidsinstanties spoort hij fouten en veiligheidslekken in hun systemen en netwerken op. Zo helpt hij ze hun digitale beveiliging te verbeteren.

Dit zijn Sijmens zes stappen voor een bedrijfshack:

Stap 1: het bedrijf verkennen

“Ik begin met verkennen via de website: aantal medewerkers, adres, KvK-nummer, vacatures, dat soort data. Via LinkedIn zoek ik werknemersgegevens op zoals emailadressen, geboortedata en telefoonnummers. Zo breng ik het aanvalsoppervlak in kaart. En deze informatie kan me later helpen bij het kraken van wachtwoorden van gebruikersaccounts. Als ervaren hacker heb ik talloze trucjes om een computer binnen te komen. Bijvoorbeeld via de digitale beveiliging van de internetservers of het contentmanagementsysteem. Ik zoek naar beveiligingslekken en kom er al snel achter hoe goed een bedrijf beveiligd is.”

Stap 2: het netwerk binnendringen

“Als ik persoonsgegevens van een aantal werknemers heb, kan ik hen een phishing mail of sms sturen: een vals bericht dat van een betrouwbare afzender lijkt te komen. Ik schrijf een persoonlijk bericht over een actueel onderwerp, zoals corona, en zorg ervoor dat de mail afkomstig lijkt van MijnOverheid. Vervolgens voeg ik een pdf-bestand met de nieuwe coronarichtlijnen toe als bijlage. Ik zorg dat de timing klopt, bijvoorbeeld net na een persconferentie. Met een stukje code plak ik een zogeheten ‘exploit’ in het pdf-bestand, een klein computerprogramma dat misbruik maakt van niet bijgewerkte pdf-lezers. Wanneer een werknemer het bestand opent, komt de computer onder mijn controle te staan en ben ik binnen!”

Stap 3: het netwerk dieper binnendringen

“Ik heb nu toegang tot de computer van een werknemer: ik kan alle bestanden inzien en de webcam en microfoon gebruiken. Vanuit deze computer kan ik meer systemen van het bedrijf bereiken. Ik breng het hele netwerk in kaart, zoek de zwakke plekken op en krijg zo controle over steeds meer belangrijke systemen en (beheer)accounts van werknemers. Hacken is een kat- en muisspel. Soms moet ik een week wachten voor ik verder kan, omdat ergens een antivirusscanner afgaat. Onzichtbaar een bedrijf met duizenden werknemers hacken en overnemen kost ongeveer twee à drie maanden.”

Stap 4: toegang tot de bestanden

“Door systematisch simpele en veelgebruikte wachtwoorden uit te proberen op accounts, krijg ik na verloop van tijd steeds meer rechten. Via de overgenomen accounts krijg ik toegang tot vertrouwelijke informatie van het bedrijf. Veel werknemers hebben maar een paar wachtwoorden die ze voor al hun systemen gebruiken. Daar maak ik als hacker natuurlijk misbruik van.”

Ethisch hacker Sijmen Ruwhof: ‘Zorg dat iedereen in je bedrijf zich bewust is van nut en noodzaak van cybersecurity.’

Stap 5: bestanden extern opslaan en/of blokkeren

“De buitgemaakte informatie moet ik ‘veiligstellen’ door deze te uploaden naar mijn eigen server op het internet. Als ik een criminele hacker was, zou ik het hele bedrijfsnetwerk kunnen versleutelen met gijzelsoftware. Zo blokkeer ik de toegang voor alle werknemers en zet ik het bedrijf op slot. Vervolgens laat ik een bericht achter. Als ze de bestanden en het interne netwerk terug willen, moeten ze bijvoorbeeld eerst een groot bedrag aan bitcoins overmaken.”

Stap 6: ongezien wegkomen

“Mijn missie zit er bijna op. Maar eerst moet ik nog mijn sporen uitwissen. Ik verwijder logboeken, bestanden en uitgevoerde opdrachten om te voorkomen dat een IT’er ze later ontdekt. Voor de zekerheid zou een criminele hacker een ‘back door’ installeren: een verdekt stukje software waarmee je op een later moment weer kan binnenkomen in het systeem.

De drie beste beveiligingstips voor bedrijven van sijmen:

Stel tweetrapsverificatie in: naast je wachtwoord een steeds wijzigende code die je ontvangt via een sms of app; Installeer een wachtwoordmanager, zodat werknemers per website een uniek en sterk wachtwoord kunnen instellen; Het belangrijkste: zorg dat iedereen in het bedrijf zich bewust is van de nut en noodzaak van cybersecurity. En hun eigen verantwoordelijkheid hierin.

Cybercriminaliteit verzekeren

De Cyberverzekering van Nationale-Nederlanden beschermt bedrijven tegen de gevolgen van hacking, systeeminbraak, verloren data, gegevensdiefstal en andere vormen van cybercriminaliteit. Deze verzekering is uit te breiden met een Cyberscan om de risico’s in kaart te brengen en een abonnement met 24/7 hulp van professionals bij cyberincidenten.

Kijk voor meer informatie op nn.nl/cyberpreventie.

Reactie toevoegen

 
Meer over
NN lanceert NN Social Innovation Fund

NN lanceert NN Social Innovation Fund

Nationale-Nederlanden heeft het NN Social Innovation Fund gelanceerd. Het fonds, met een initiële investering van EUR 5 miljoen, is gericht op het ondersteunen...

NN luidt alarmklok over sterk toenemend ziekteverzuim

NN luidt alarmklok over sterk toenemend ziekteverzuim

Het ziekteverzuimpercentage stijgt in 2022 voor het eerst sinds twintig jaar boven de 5 procent. Tegelijkertijd neemt de verzuimduur toe en maakt 70 procent van...

Slechts 5 procent Nederlanders verzekerd tegen schade door cybercriminaliteit

Slechts 5 procent Nederlanders verzekerd tegen schade door cybercriminaliteit

Iets meer dan de helft van alle Nederlanders wil zich beter beschermen tegen cybercriminaliteit, zo blijkt uit onderzoek van PanelWizard in opdracht van Nationale-Nederlanden...

Finale VVP Advies Award 2022 in beeld

Finale VVP Advies Award 2022 in beeld

Bekijk de beeldimpressie van Jeffrey Korte van de zinderende finale van de VVP Advies Award 2022 in de belevingsstudio’s van First Impression in Tilburg. [object...

Henk Scheenstra treedt terug als CEO van Heinenoord Holding

Henk Scheenstra treedt terug als CEO van Heinenoord Holding

Henk Scheenstra treedt per 17 oktober terug als CEO van Heinenoord Holding. Arie van den Berg neemt de functie waar totdat de procedure voor de benoeming van een...

Jähnig + Ter Braak wint VVP Advies Award 2022

Jähnig + Ter Braak wint VVP Advies Award 2022

Jähnig + Ter Braak is de winnaar van de Advies Award 2022, de jaarlijkse prijs van VVP voor het meest klantgerichte advieskantoor. “Wij bouwen met onze...

Bepaal vanmiddag wie de VVP Advies Award 2022 wint!

Bepaal vanmiddag wie de VVP Advies Award 2022 wint!

Woon vanmiddag de spectaculaire, korte live-uitzending van de finale van de VVP Advies Award 2022 bij en bepaal wie zich het meest klantgerichte advieskantoor...

“We gaan adviseurs nog beter helpen bij klantbediening”

“We gaan adviseurs nog beter helpen bij klantbediening”

(Partner in Kennis Nationale-Nederlanden in VVP Special Actief Klantbeheer, oktober 2022) Nationale-Nederlanden heeft de ambitie de best gewaardeerde intermediaire...

En de categoriewinnaars van de VVP Advies Award 2022 zijn...

En de categoriewinnaars van de VVP Advies Award 2022 zijn...

Geerts (Particulier), L&B Groep (Zakelijk), Jänig + Ter Braak (Hypotheken), Pensioen-Coaching (Pensioen), Finenzo Deventer (Digitale Innovatie), Expat...

Pensioen-Coaching winnaar VVP Advies Award categorie Pensioen

Pensioen-Coaching winnaar VVP Advies Award categorie Pensioen

Pensioen-Coaching is de winnaar geworden van de Advies Award in de categorie Pensioen. Johan van Gisteren neemt, samen met Jeanette de Jong en Paul Vriends, de...