Je snapt niet hoe het kan: je Twitter-account is gehackt! Door wie en hoe? In dit artikel gaat het niet zozeer over Twitter, maar over hacken via phishing. Phishing is namelijk een gemene methode om jouw gegevens te ontfutselen. Dat gebeurt bijvoorbeeld via e-mail.
Ter illustratie: ben je penningmeester heb je een prachtig e-mailadres zoals ‘penningmeester@mijnvereniging.nl’, dan zijn de rapen gaar: je wordt dan bestookt met phishingmails. Dit zijn mails met links naar nep-websites. Maar het is ook een methode om bijvoorbeeld je wachtwoord van Twitter te achterhalen.
Phishing via mail maakt hacken mogelijk
Je zou denken dat dit probleem niet zo groot is; wie trapt nu in zo’n e-mailbericht? In een recent telefoongesprek met een onderzoeksjournalist is dat dan ook precies de centrale vraag geweest: hoe groot is het probleem eigenlijk? Enig mogelijke conclusie: het probleem is groot. Zo zie je regelmatig dat Twitter-accounts zijn gehackt. Zolang dat je privé-account is, zijn de problemen vervelend maar overkomelijk. Anders wordt het wanneer je twittert als burgemeester, directeur van een gerenommeerde organisatie of bijvoorbeeld als celebrity. Alleen al het feit dat een burgemeester die in functie twittert er last van heeft, is volgens mij al voldoende voor de conclusie. Dan hoef je het niet eens over aantallen te hebben. Twitter is hier enkel gebruikt als voorbeeld: ergens heeft men de beschikking over jouw gegevens gekregen. En dat gebeurt echt vaker dan je denkt. Hoe?
Verschillende hackmethodes
Een ondeugdelijke, niet goed beveiligde website kan een optie bieden voor hackers. Die methode laat ik in dit artikel buiten beschouwing. Meestal zit de oorzaak namelijk gewoon tussen het toetsenbord en de rugleuning. Je wachtwoord, adresgegevens en bankgegevens kunnen op verschillende manieren worden achterhaald. Alles draait om onwetendheid. De meest voorkomende methoden zijn:
- je wachtwoord wordt geraden (je wachtwoord is te eenvoudig)
- je eigen gegevens worden gebruikt om in te loggen (je hebt per ongeluk gegevens achtergelaten bij vissers)
Dit laatste heet ‘phishing’. Er zijn hengelaars die je gegevens proberen op te vissen. Je kent vast het Postbus 51-spotje met vissertjes van wie de vislijn via het raam een woning binnengaat. Als je niet op je hoede bent, ben je al gauw slachtoffer. Hoe gaat dat phishing nu in z’n werk?
Hoe werkt dat phishing?
Over phishing in relatie tot Twitter vind je meer informatie in het atikel van Xaviera Ringeling Twitter phishing scam. Een ander mooi voorbeeld is de e-mail die mij vandaag werd toegestuurd door … (tja, daar komen we niet achter). Het is een hengelmail; een mail met een link naar een website die sprekend lijkt op die van ABN AMRO. Logt je via die site in, dan heeft men beet. Jouw gegevens worden buitgemaakt.
Het bericht lijkt afkomstig van ABN AMRO. Maar als je het bericht beter bekijkt, dan zie je dat het bericht helemaal niet van de bank afkomstig is. We lopen het stap voor stap door.
Controle betrouwbaarheid e-mail stapsgewijs
Stap 0 is natuurlijk dat jouw bank je nooit een mail met een inloglink stuurt. Log altijd in via het door jezelf ingetypte webadres van jouw bank. Maar goed, hoe kun je nu bepalen of een mail al dan niet van de vermelde afzender afkomstig is?
- Als afzender is vermeld: noreply@abnamro.nl
Wat gebeurt hier? De afzender gebruikt het no-reply-adres van ABN AMRO. Technisch kan dat! Je moet dus verder kijken om vast te stellen of het bericht van jouw bank komt. Ga er nooit vanuit dat de berichten die je ontvangt daadwerkelijk van de afzender komen die is vermeld. - De onderwerpregel is: Informatie.
Dit is al wat vreemd. Het onderwerp is summier en heeft geen betrekking op de inhoud van het e-mailbericht. Dit is een eerste signaal. - In de mail staat ‘ABN-AMRO’ in plaats van ABN AMRO (spatie!), nederlandse banken in plaats van Nederlandse banken, grootschalig internetfraude in plaats van grootschalige internetfraude. Taalfouten duiden vaak op een mail die niet van een officiële instantie afkomstig is. In de mail hierboven zijn het maar kleine foutjes. We moeten dus nog beter kijken.
- De mail is niet gepersonaliseerd. Je wordt aangesproken met ‘Geachte klant’, of ‘Geachte …’ en dan volgt je e-mailadres of je gebruikersnaam van je e-mailadres. Dat is ongebruikelijk.
- In het bericht dat je ongevraagd hebt ontvangen, word je aangezet tot actie. Vaak speelt men hierbij in op jouw onzekerheid. De inhoud haalt je over daadwerkelijk iets te doen wat je zelf nooit bedacht had. In het voorbeeld hierboven door te verwijzen naar een beveiligingssysteem en het al dan niet gebruik kunnen maken van online bankieren. Plaats vraagtekens bij een bericht dat je onverwacht en ongevraagd ontvangt en dat oproept tot actie. Onzeker? Bel je bank.
- In de mail staat een link, maar de onderliggende url verwijst niet naar abnamro.nl. Hoe je dit kunt zien? Als je met je muis over de link beweegt, krijg je onderin je beeldscherm te zien waar deze link naartoe verwijst. De link verwijst in dit geval naar een pagina van een website met de vreemde url groaneblnbm.mobi. Typ die basislink (alléén de domeinnaam, zoals www.domein.mobi of www.domein.nl, laat de rest weg) maar eens over in de adresbalk van de webbrowser. Krijg je dan geen website in beeld, dan moeten de alarmbellen afgaan.
- Je (recente, goede) webbrowser geeft aan dat je een site gaat bezoeken die niet wordt vertrouwd. Bel je bank als je onzeker bent.
- Je mailprogramma (Gmail) waarschuwt je dat je een link volgt die niet overeenkomt met de afzender. Gebeurt dit? Wees op je hoede.
- De bank neemt pas contact op achteraf. Dat is raar! Waarom niet vooraf? Omdat men jouw gegevens dan nog niet weet. Tip: gebruik nooit een link naar de website van jouw bank, maar typ het altijd zelf in.
- Vraag je af waarom je actie moet ondernemen om een nieuw beveiligingssysteem te activeren. Dat moet de bank zelf kunnen.
- Tip: je kunt ook controleren of een e-mailbericht nep is door een deel van de inhoud in de zoekmachine in te typen als zoekwoord(en). Als het inderdaad om een phishingbericht gaat, is de kans groot dat je een zoekresultaat krijgt wat jouw vermoeden bevestigt.
Wat krijg je nu in beeld als je een webbrowser hebt die niet waarschuwt? Dan is het werkelijk net alsof je op de website van ABN AMRO zelf terecht bent gekomen:
Dat het vaak fout gaat, laat zich raden. Zulke berichten worden niet voor niets om de haverklap verstuurd. Het wordt wel steeds belangrijker dat je er alert op bent. In de eerste plaats ben je vatbaarder voor phishingmails omdat deze tegenwoordig gewoon in het Nederlands zijn gesteld. Daarnaast spelen verschillende banken met het onzalige plan om jezelf verantwoordelijk te maken (triest, want er zijn nauwelijks nog alternatieven voor hedendaags betalingsverkeer). In Duitsland is er al een geval bekend van een slachtoffer die zelf voor de schade moet opdraaien. Een gewaarschuwd mens telt voor twee. Nog één afbeelding ter illustratie, een printscreen van de met phishingmails bestookte inbox van een penningmeester@vereniginghuppeldepup.nl:
Interessante links
Veilig op internet, consuwijzer.nl, uitleg_over_phishing
Artikel NOS: ‘Overheid waarschuwt tegen phishing
Security.nl: Duits phishing-slachtoffer moet schade zelf betalen
Phishing schaadt aanzien banken
Rijksoverheid.nl: wat is internetfraude en waar kan ik dit melden?
Artheos.nl: uitgekiende phishing met ING-klant als slachtoffer
Comments are closed.