vrijdag 30 oktober
Check, dubbelcheck
Als een onbekende persoon bij jou aanbelt en zegt dat hij jou kent, zou je dan opendoen? Deze situatie is te vergelijken met de melding die je krijgt wanneer jouw accountgegevens zijn gebruikt om voor de eerste keer in te loggen op een nieuw (lees ‘vreemd’) apparaat of als de geldigheidsduur van je inlogsessie verlopen is. De vraag is dan: was jij het zelf of een hacker? Het is voor hackers steeds makkelijker om wachtwoorden te kraken, temeer daar mensen vaak hetzelfde wachtwoord gebruiken op meerdere platforms. Dit is dan ook één van de redenen dat multi-factor authenticatie (MFA) is bedacht. MFA controleert op twee manieren of jij wel echt bent wie je beweert te zijn. Bij MN maken we hier onder meer gebruik van bij VPN en Office365. Bovenop het invoeren van je inloggegevens moet je op jouw telefoon bevestigen dat jij het bent. Krijg je een inlogmelding zonder dat je ergens op aan het inloggen bent? Dan heeft een hacker waarschijnlijk jouw inloggegevens gestolen en probeert hiermee binnen te komen. Doe de deur daarom niet zomaar open!
donderdag 29 oktober
Eerste hulp bij cyberaanvallen
Het alarmnummer bellen als je iets verdachts ziet, vragen naar de politie in je standplaats en vertellen wat er aan de hand is. Een bekend rijtje dat we onze kinderen al vroeg aanleren. Zo is er ook een standaard actielijstje als er onverwachte dingen gebeuren met je computer. Denk je dat je te maken hebt met een cyberaanval? Ga dan als volgt te werk: 1 KABEL Trek de netwerkkabel uit je laptop of desktop pc om de netwerkverbinding te verbreken en zo te voorkomen dat een cyberaanval zich kan uitbreiden naar andere systemen. 2 VLIEGTUIG* Zet je apparaat op de vliegtuigstand/airplane mode, zo weet je zeker dat je apparaat volledig is afgesloten van de buitenwereld. 3 AFBLIJVEN Laat het apparaat aanstaan zodat je eventuele sporen van een cyberaanval niet wist uit het vluchtige geheugen. 4 HELP! Bel direct de Service Desk (of buiten kantooruren je manager) en meld het incident. Zo zorgen we er samen voor dat eventuele schade zo veel mogelijk beperkt blijft. *vliegtuigstand/airplane mode schakel je zo in: kies op de taakbalk onderin het scherm het netwerkpictogram en selecteer daarna vliegtuigstand.
woensdag 28 oktober
Wifi hotspot: brand er je vingers niet aan
Je stapt in de trein of loopt je favoriete koffietentje binnen, gaat zitten en maakt contact met de gratis wifi hotspot. Dat scheelt MB’s en dus kosten. Ideaal toch? Maar weet je zeker dat je inlogt op de wifi hotspot van het café of de NS? Het is voor een hacker namelijk kinderlijk eenvoudig om jou een onveilig netwerk aan te bieden en vervolgens mee te kijken met alles wat je op je laptop of smartphone doet. Zo komt die gratis wifi je alsnog duur te staan. Wat kun je doen om veiliger te surfen en werken?
- Gebruik de mobiele netwerkverbinding (4G) op je telefoon als je gevoelige informatie wilt delen.
- Maak een privé hotspot voor je laptop aan op je smartphone. Deze hotspot is beveiligd met je eigen wachtwoord en je gebruikt de mobiele verbinding van jouw telefoon om te internetten.
- Is er niets anders dan een openbaar wifi-netwerk, bezoek dan alleen beveiligde websites. Je herkent ze aan een slotje voor het site-adres. Je gegevens worden dan versleuteld en zijn voor anderen niet zomaar in te zien.
- Wifi-netwerken van restaurants en hotels met een wachtwoord maken het niet persé veiliger. Zulke wachtwoorden geven ze namelijk aan iedereen.
- Krijg je bij het inloggen op een hotspot de vraag of je een app of certificaat wilt installeren? Dat is mogelijk een signaal dat een hacker toegang tot jouw apparaat probeert te krijgen. Extra installaties zijn namelijk absoluut niet nodig om verbinding met het internet te maken. Check het zo nodig bij de aanbieder van het wifi-netwerk.
dinsdag 27 oktober
Data uitwisselen, doe het veilig
Zou jij de gegevens van jouw loonstrook of andere privacygevoelige informatie op een ansichtkaart zetten die iedereen kan lezen? Natuurlijk niet, dat gaat niemand wat aan. En stuur jij je gedownloade loonstrook wel eens door naar je privé e-mailadres? Zeg eens eerlijk? Een e-mail legt tussen het moment van verzenden en ontvangen een lange weg af langs diverse mailservers die allemaal een kopie van het bericht opslaan. Onderweg én op alle tussenstations is de inhoud van een onbeveiligd bericht voor hackers net zo makkelijk te lezen als het kaartje dat je ontving bij de aftrap van deze Week van de Cybersecurity. Hoe je dit kunt voorkomen? Heel eenvoudig: met versleuteld versturen in Outlook ofwel encrypt. Dus stuur je gevoelige informatie over MN of over jezelf naar een extern mailadres, beveilig de inhoud dan met encryptie.
maandag 26 oktober
Hoe je valse e-mails herkent
Phishing is het hengelen naar geld of gegevens via min of meer betrouwbaar uitziende mails, Whatsappjes, sms’jes en Tikkies. Het is een van de meest bekende cybersecurity onderwerpen, en terecht. Het aantal phishingaanvallen neemt nog steeds toe, zelfs sterker sinds de uitbraak van het COVID-19 virus. Phishers worden ook steeds professioneler. Bleven pogingen aanvankelijk beperkt tot een gekke mail van een Keniaanse prins die jou tot erfgenaam benoemde, vandaag de dag gaan hackers realistisch te werk. Gelukkig worden MN’ers ook steeds gehaaider in het herkennen en melden van phishing. Deze checklist kan je daarbij helpen:
- Ken je de afzender? Controleer niet alleen het alias (de naam die in het afzendervak staat) maar ook het onderliggende e-mailadres.
- Staat er een persoonlijke aanhef boven de mail of een algemene begroeting
- Verwacht je een bestand als bijlage te ontvangen?
- Is het taalgebruik van de verzender zoals je gewend bent of juist overdreven formeel, urgent of vriendschappelijk?
- Voldoet de mail aan de huisstijlkenmerken van de afzender? Staat er misschien een oud logo in, rare kleuren of verschillende lettertypes? Meer tips om phishing te herkennen vind je op www.checkjelinkje.nl. Vertrouw je het toch niet? Meld een verdachte e-mail via de knop Report Message in Outlook.
Uitgelicht: phishing in de praktijk
Een MN-collega, laten we hem Tygo noemen, ontving eerder dit jaar een e-mail van een vertrouwde leverancier met de vraag of het voorstel in de bijlage akkoord was. Tygo klikte op de bijlagelink, hij dacht de afzender immers te kennen. Hij kwam terecht op de inlogpagina van Dropbox, een platform voor bestandsuitwisseling, en vulde zijn gebruikersnaam en wachtwoord in… De pagina die zich voordeed als Dropbox bleek een hackerssite te zijn. Zonder dat Tygo het doorhad, werden zijn ingevoerde gegevens direct gebruikt voor een inlogpoging op zijn zakelijke Office365 account. Cloud App Security, een beveiligingstool van Microsoft, signaleerde een gelijktijdige inlog op Tygo’s account vanuit Nederland en een Oost-Europees land. Vervolgens gingen automatisch de alarmbellen af bij het Security Operations Center van MN. Zij blokkeerden meteen Tygo’s account om te voorkomen dat de hacker dieper het systeem kon indringen. Daarna schakelden zij met Tygo om zijn wachtwoord te resetten. Zijn laptop moest opnieuw worden ingespoeld om eventueel schadelijke bestanden te wissen. Door oplettendheid en snel handelen veroorzaakte deze phishingaanval behalve ongemak gelukkig geen verdere schade. En Tygo? Die had van dichtbij meegemaakt hoe gewiekst hackers kunnen zijn. Hij kijkt de volgende keer wel beter uit met externe links.
EZ onderzoekt cybersecurity
Thuisnetwerken zijn slecht beveiligd en mensen onderschatten het risico op schade van een cyberaanval. Dat zijn twee opmerkelijke uitkomsten uit het onderzoek Veilig Online 2020, uitgevoerd door het Ministerie van Economische Zaken (EZ). Logischerwijs is er in het onderzoek veel aandacht voor thuiswerken. Wat blijkt? Waar bedrijfsnetwerken de laatste jaren steeds beter bestand blijken te zijn tegen cyberaanvallen, geldt dat helaas niet voor privénetwerken. Eén op drie thuiswerkers heeft het standaard modem- of routerwachtwoord nog nooit veranderd. Naast de werklaptop, die via een VPN-verbinding is beschermd tegen cyberaanvallen, maken thuis ook minder goed beveiligde apparaten gebruik van het netwerk, zoals de gamecomputer van dochter of zoon. Dat zijn allemaal zwakke plekken. Toch denken negen van de tien Nederlanders dat het risico van een cyberaanval bij hen thuis niet groot is. Daarom besteedt EZ aandacht aan veilig onlinegedrag via het platform Alert Online.
Hoe bewust ben jij van online risico’s? Doe de CyberskillsTest.
Meer weten? Bekijk het onderzoek Veilig Online 2020.
Waarom de Week van de Cybersecurity?
De wereld om ons heen verandert en cybersecurity verandert mee. Het is niet meer zoals een jaar geleden. Er zijn nieuwe dreigingen en de aanvallers zijn vaak moeilijk zichtbaar: ze muteren, ze vallen stilletjes aan. Net zoals met corona weet je soms ook niet direct of je wel of niet besmet bent.
Deze periode stelt nieuwe eisen aan cybersecurity en een eerste stap in de bestrijding van dit probleem is bewustwording. De Week van de Cybersecurity helpt je om je beter te wapenen tegen online bedreigingen. Voorkomen is beter dan genezen en een beter inzicht in wat er om ons heen gebeurt, is daarom ook van waarde.
Om dit nu ook nog leuk te maken zijn er meerdere activiteiten deze week. Zelf kijk ik —net als vorig jaar— erg uit naar de escape room, samen met MT IV. Doe dus ook mee, leer meer over cybersecurity en help jezelf en MN om ons beter te wapenen tegen cyberaanvallen! Jannie Minnema Directeur Informatievoorziening
Stopt jouw team de hacker op tijd?
Norbert Hoogers heeft jullie hulp nodig bij het opsporen van een indringer. Lukt het jou en je team de hacker op tijd te neutraliseren? Opschieten, want je hebt maar een uur voordat gevoelige pensioeninformatie op straat komt te liggen!
Reserveer nu deze virtuele escape room beleving via Facilitor. De winnaars maken we bekend in dit magazine na afloop van de Week van de Cybersecurity.
Wie is wie in cybersecurity?
Business Security Officers Amarnath Dhanpath - BSO Vermogensbeheer Eric Brand - BSO Pensioenen Arjan van Riet - BSO Facilities Ron Koning- BSO Verzekeren Rob van der Salm - BSO Finance Theo van der Linden - BSO Pensioenen Security Operations Centre Dennis van Turnhout - Operational Security Officer Floor Sturkenboom - Operational Security Officer Joan Tsesmelis - Operational Security Officer Loek van der Elst - Operational Security Officer Security Office Rob van Dalen - Corporate Information Security Officer Risk & Compliance Nabil Alaoui - Information Security & Risk Manager Executive Committee Jannie Minnema - Chief Information Officer
Colofon
De Week van de Cybersecurity is een initiatief van de Security Office. Tekst Floor Sturkenboom, Jörgen van ’t Wel Phishing visual Raymond Olijhoek Cartoon Forrest Brazeal Eindredactie Kimberley Scargo Vormgeving en realisatie DWARSGANGER