Social engineering: de 5 meest gebruikte trucs
Hackers hoeven niet in te breken als ze kunnen binnenwandelen. Dit zijn de 5 social engineering-technieken waar Belgische KMO’s het vaakst mee te maken krijgen.
- Social engineering richt zich op mensen, niet op systemen. Het is de meest gebruikte aanvalsmethode op Belgische KMO’s
- De 5 meest voorkomende vormen: phishing, CEO-fraude, pretexting, baiting en tailgating
- Technische beveiliging helpt, maar het verschil maakt een team dat verdachte verzoeken herkent en durft te weigeren
Waarom social engineering zo effectief is
Een firewall blokkeert verdacht verkeer. Een spamfilter vangt foute mails. Maar geen enkel systeem blokkeert een medewerker die overtuigd wordt om zelf een betaling uit te voeren of een wachtwoord door te geven. Daar rekenen social engineers op.
Social engineering is manipulatie. De aanvaller doet zich voor als iemand die je vertrouwt: je zaakvoerder, je IT-leverancier, je bank. Het doel is altijd hetzelfde: je laten handelen voordat je nadenkt. Het VBO waarschuwt dat dit geen technisch probleem is maar een menselijk probleem dat met procedures en bewustzijn moet worden aangepakt.
De afgelopen jaren zijn de aanvallen overtuigender geworden. AI genereert foutloze phishing-mails. Stemkloning maakt telefonische fraude geloofwaardiger. De oude tip “let op taalfouten” werkt niet meer.
De 5 meest gebruikte trucs
1. Phishing
Verreweg de meest voorkomende vorm. Je ontvangt een e-mail die eruitziet als een bericht van je bank, leverancier of een overheidsdienst. De mail bevat een link naar een nagemaakte website waar je je inloggegevens invult.
Varianten:
- Spear phishing: gericht op één persoon, met persoonlijke details (naam, functie, recent project) om het bericht geloofwaardiger te maken
- Smishing: phishing via sms of WhatsApp. “Je pakket wordt teruggestuurd, klik hier”
- Vishing: telefonische phishing. Iemand belt namens “de helpdesk” en vraagt om je wachtwoord te resetten
Meer hierover in onze handleiding phishing herkennen.
2. CEO-fraude (BEC)
CERT.be ontvangt regelmatig tientallen meldingen van CEO-fraude. De aanvaller doet zich voor als de zaakvoerder of een directielid en stuurt een dringend betaalverzoek naar de boekhouding. Kenmerken:
- Het verzoek is “dringend” en “vertrouwelijk”
- Het komt vaak vlak voor het weekend of tijdens vakantie
- Het wijkt af van de normale procedure
- Het mailadres lijkt correct maar verschilt in een detail (een punt, een letter)
De schade kan enorm zijn. In België zijn gevallen bekend van bedrijven die honderdduizenden euro’s verloren aan één enkele frauduleuze betaling. Lees meer in ons artikel over CEO-fraude herkennen en voorkomen.
3. Pretexting
De aanvaller verzint een geloofwaardig verhaal (pretext) om informatie los te krijgen. Voorbeelden:
- “Ik bel van de IT-afdeling, we hebben je wachtwoord nodig om een probleem op te lossen”
- “Ik ben de auditor van jullie boekhouding, kun je me de laatste facturen mailen?”
- “We zijn van de leverancier, ons rekeningnummer is gewijzigd”
Pretexting werkt omdat het inspeelt op behulpzaamheid. Mensen willen helpen, zeker als het verzoek redelijk klinkt.
4. Baiting
De aanvaller lokt je met iets aantrekkelijks. De digitale variant: een USB-stick “per ongeluk” achtergelaten op de parkeerplaats of in de lobby. Wie hem aansluit, installeert onbewust malware.
De online variant: een gratis download, een nep-factuur als bijlage, een “belangrijk document” dat je moet openen. Het doel is altijd: jouw nieuwsgierigheid misbruiken om malware op je systeem te krijgen.
5. Tailgating
Fysieke social engineering. Iemand loopt mee door een beveiligde deur terwijl een medewerker zijn badge scant. “Sorry, ik ben mijn pas vergeten.” Bij kleinere kantoren waar iedereen iedereen kent, is dit lastig te weigeren. Toch is het de moeite waard: wie fysiek binnen is, heeft toegang tot werkplekken, printers met vertrouwelijke documenten en onbeheerde laptops.
Hoe bescherm je je KMO?
Technische maatregelen helpen: spamfilters, MFA, endpoint-beveiliging. Maar de kern is gedrag.
Stel verificatieprocedures in. Een betaling boven een bepaald bedrag vereist altijd dubbele goedkeuring. Een wijziging van een rekeningnummer wordt altijd telefonisch geverifieerd via een bekend nummer, niet via het nummer in de mail.
Train regelmatig. Geen jaarlijkse PowerPoint maar korte, concrete sessies. Het CCB biedt gratis sensibiliseringsmateriaal aan via Safeonweb@Work. Gebruik het.
Maak melden veilig. Een medewerker die een verdacht verzoek meldt, verdient een compliment. Een medewerker die erin trapt, verdient ondersteuning, geen straf. Angst om fouten toe te geven maakt je organisatie kwetsbaarder, niet sterker.
Simuleer aanvallen. Stuur nep-phishing naar je eigen team. Niet om mensen te betrappen, maar om het herkenningsvermogen te trainen. Tools als KnowBe4 en Phished (Belgisch bedrijf) bieden dit als dienst aan. Bekijk onze vergelijking van awareness-platformen voor meer opties.
Ontvang je een mail van een leverancier dat hun rekeningnummer is gewijzigd? Bel altijd terug op het nummer dat je al had, niet het nummer in de mail. Dit is een van de meest voorkomende social engineering-trucs bij KMO’s en leidt tot directe financiële schade.
Social engineering werkt omdat het inspeelt op vertrouwen, urgentie en behulpzaamheid. Techniek vangt een deel op, maar het verschil maakt een team dat weet wanneer het “nee” moet zeggen en een vraag moet verifiëren. Investeer in bewustzijn, stel verificatieprocedures in, en maak melden veilig.
Dit artikel is informatief bedoeld. Meer over cyberaanvallen voorkomen lees je in onze pillar-gids. Bij een vermoeden van fraude: meld bij CERT.be en doe aangifte bij de lokale politie.
Herken jij een nep-mail? Doe de Phishing Quiz en ontdek hoe goed je team verdachte berichten herkent.
Test je phishing-kennisVeelgestelde vragen
Bronnen
Gerelateerde artikels
Cyberaanvallen voorkomen: handleiding voor KMO's
Praktische handleiding voor Belgische KMO's om cyberaanvallen te voorkomen. Met Belgische cijfers, vijf basismaatregelen en een stappenplan zonder groot budget.
Phishing herkennen: handleiding voor medewerkers
Leer phishing-mails, sms’en en telefoontjes herkennen. Met Belgische voorbeelden, 6 concrete red flags en een stappenplan voor je team.
CEO-fraude herkennen: zo bescherm je je KMO
CEO-fraude kost Belgische bedrijven jaarlijks miljoenen euro’s. Leer de signalen herkennen, begrijp hoe deepfakes de dreiging vergroten en bescherm je KMO met vijf concrete maatregelen.
Je bedrijf is gehackt: wat nu? Stappenplan
Je bedrijf is gehackt of besmet met malware. Dit stappenplan helpt je de schade te beperken, te herstellen en herhaling te voorkomen.
Cybersecurity-beleid voor je bedrijf: zo stel je het op
Stap voor stap een cybersecurity-beleid opstellen voor je KMO. Met gratis CCB-sjablonen, NIS2-vereisten en een checklist die je vandaag kunt invullen.