Jaarlijks worden zo’n 556 miljoen mensen wereldwijd slachtoffer van cybercriminelen. Maar waarom doen deze hackers wat ze doen? Waar zijn ze op uit? Hoe snel zijn ze bij u ‘binnen’? En wat moet u als ondernemer nu juist wel of niet doen wanneer u gehackt wordt? Dick Snel en Jasper Weijts, twee white hat hackers van informatiebeveiligingsbedrijf Onvio, geven antwoord op de meest gestelde vragen.
Hoe goed zijn Nederlandse bedrijven beschermd?
"Uit onze ervaring blijkt dat de meeste Nederlandse bedrijven een matige beveiliging voeren. Wanneer een white hat hacker (een ‘legale’ hacker, zie kader) aan de slag gaat, schrikken bedrijven vaak van de eenvoudige manier waarop en de korte tijd waarbinnen de hacker toegang heeft verkregen tot alle gevoelige gegevens van het bedrijf. De kans dat een cybercrimineel inbreekt wordt vaak onderschat, mede omdat een hacker vaak tijden onopgemerkt zijn gang kan gaan zonder dat het bedrijf ook maar iets in de gaten heeft."
Hoe lang duurt het gemiddeld om digitaal bij een ondernemer ‘in te breken’?
"Bij de meeste van onze testen hebben we binnen één dag al een kwetsbaarheid gevonden waarmee we toegang krijgen tot gevoelige gegevens en in veel gevallen toegang tot het volledige bedrijfsnetwerk met alle data daarbinnen. Vaak zijn er nog meer van dit soort kwetsbaarheden aanwezig."
Wat gebeurt er als een hacker ‘binnen’ is?
"Als een hacker ‘binnen’ is kan hij een virus achterlaten waarmee hij op elk moment opnieuw binnen kan komen. Hiermee kan de hacker op zijn gemak het netwerk verkennen en op zoek gaan naar gevoelige data zonder op te vallen. Met de gevonden gegevens kan hij vervolgens ook weer nieuwe aanvallen opzetten om andere systemen en bedrijven te hacken."
Wat zijn de belangrijkste redenen voor een black hat hacker om een bedrijf te hacken?
"Meestal is dat financieel gewin, maar het komt ook vaak voor dat een persoon een bedrijf schade wil toedoen, bijvoorbeeld een ex-werknemer die wraak wil nemen op zijn niet zo soepel verlopen ontslag. In het eerste geval gaat het om het stelen van gevoelige gegevens voor verkoop of afpersing of toegang tot financiële systemen om geld over te boeken. Ook kan het gaan om concurrenten die meekijken met het bedrijf en gevoelige gegevens buitmaken. Wanneer een ex-werknemer wraak neemt, worden er vaak systemen onbruikbaar gemaakt of gevoelige gegevens gelekt met reputatieschade tot gevolg."
Wat moet een bedrijf in ieder geval doen als het gehackt is?
"Een digitaal forensisch expert inschakelen om onderzoek te doen naar de oorzaak en herkomst van de inbraak. Vaak kan de hacker niet gepakt worden, maar kan het lek dat hij gebruikt heeft wel ontdekt worden. Van hieruit kunnen maatregelen genomen worden om systemen beter te beveiligen."
Wat moet een bedrijf vooral niet doen als het gehackt is?
"Vooral geen stekkers uit het stopcontact trekken. In dat geval kunnen essentiële logbestanden gewist worden die hadden kunnen leiden naar de inbreker. Wanneer een hacker binnen het netwerk wordt ontdekt, is de kans zeer groot dat hij al toegang heeft gehad tot alle gegevens."
Wat is de meest gemaakte fout bij ondernemers op het gebied van digitale beveiliging?
"Dat is toch dat veel ondernemers denken dat de partij die ze inschakelen voor hun website of het onderhoud van het netwerk ook de beveiliging verzorgt. Dat is vaak niet opgenomen in het contract en daardoor ontstaat er een misvatting over de beveiliging van systemen."
Welke preventieve maatregelen kan een bedrijf nemen om hun applicaties en data te beschermen tegen een hack?
"Bedrijven kunnen als preventieve maatregel een penetratietest (beveiligingstest) uit laten voeren om de digitale risico’s en kwetsbaarheden in hun applicaties in kaart te brengen. Bij zo’n test neemt een white hat hacker de systemen onder vuur net zoals een cybercrimineel dat in de praktijk zou doen. Hieruit vloeien quick wins voort waarmee de beveiliging snel naar een hoger niveau getild kan worden. Bijvoorbeeld het afsluiten van onnodige applicaties en systemen, het updaten van software of het plaatsen van een moderne firewall."
Zijn alle hackers op kwaad uit?
"Hackers zijn globaal onder te verdelen in ‘black hat’ hackers en ‘white hat’ hackers. Black hat is een term voor hackers die inbreken op computers en systemen zonder toestemming en vaak voor eigen gewin. Een white hat hacker die kwetsbaarheden vindt in een systeem zal deze nooit zonder toestemming gebruiken en zal organisaties hier ook over informeren zodat ze de problemen kunnen oplossen. Het uitvoeren van een afgesproken penetratietest is een typisch voorbeeld van het werk van een white hat hacker. Er zijn ook bedrijven, zoals Google, die een aantal white hat hackers in dienst hebben om hun systemen continu te laten testen op kwetsbaarheden."
Zo doen ze dat
"Voor een beursgenoteerde onderneming hebben we recent vanaf het internet het systeem getoetst op kwetsbaarheden (een penetratietest). Hierbij was afgesproken dat we vooraf geen informatie over de systemen zouden krijgen, dit noemen wij Black Box. Binnen twee dagen hebben we via een kwetsbaarheid toegang verkregen tot een server die gekoppeld was aan het interne netwerk. Eenmaal aanwezig op het interne netwerk is vervolgens op slinkse wijze toegang verkregen tot financiële systemen en gevoelige bedrijfsdata.”
Dit artikel is een onderdeel van onze Cybercriminaliteit-krant. In deze krant nemen we u mee in de wereld van de digitale risico's en vertellen wij u welke preventieve maatregelen u kunt nemen om uw risico's te beperken of voorkomen. Heeft u deze nog niet ontvangen? U kunt deze hier opvragen.
Publicatiedatum: 08 augustus 2016