Click here or click 'CHOOSE YOUR LANGUAGE' and then choose your language using Google's translation bar at the top of this page ↑

Nederlandse bedrijven hebben met 92% het hoogste percentage 'Business Email Compromise-aanvallen' in Europa. Dit benadrukt de toenemende cyberdreigingen in Nederland, waaronder insider threats en ransomware. Het is daarom van groot belang dat er een bedrijfsbrede beveiligingscultuur wordt gecreëerd.

Wat is BEC-fraude?

BEC-fraude, ook wel bekend als "Business Email Compromise" fraude, is een vorm van oplichting waarbij criminelen zich voordoen als een vertrouwde zakenpartner, zoals een CEO of CFO, en vragen om geld over te maken naar een bankrekening die in handen is van de fraudeurs.

De fraudeurs gebruiken meestal geavanceerde phishing-technieken om toegang te krijgen tot e-mailaccounts van bedrijven en de inhoud van e-mails te manipuleren. Ze kunnen bijvoorbeeld e-mails vervalsen of veranderen om het lijkt alsof de e-mail afkomstig is van een vertrouwde bron en verzoeken om geld over te maken naar een specifieke bankrekening.

BEC-fraude kan aanzienlijke financiële schade aanrichten bij bedrijven, met name bij kleine en middelgrote bedrijven die mogelijk niet over de beveiligingsmaatregelen beschikken om deze vorm van oplichting te voorkomen. Bedrijven kunnen zich beschermen tegen BEC-fraude door beveiligingsprotocollen te implementeren zoals het gebruik van multifactorauthenticatie, beveiligingssoftware en door het regelmatig trainen van medewerkers in cybersecurity-veiligheidsmaatregelen.

Cybercriminelen innoveren, bedrijven kwetsbaar

Het negende jaarlijkse State of the Phish-rapport van Proofpoint beschrijft zowel traditionele als nieuwe manieren waarop cybercriminelen bedrijven aanvallen. In Nederland was vorig jaar 90% van de bedrijven die phishing-aanvallen ontvingen via e-mail, slachtoffer van ten minste één succesvolle aanval, wat in 36% van de gevallen leidde tot financiële schade. Nederland staat bovenaan de lijst van landen als het gaat om zowel insiders (86% versus 66% wereldwijd gemiddelde) als outsiders (84% versus 68% wereldwijd gemiddelde) cyberaanvallen. Hoewel BEC, ransomware en misbruik van bedrijfsnamen nog steeds veelgebruikte aanvalsmethoden zijn, maken cybercriminelen ook steeds vaker gebruik van minder bekende aanvalsmethoden om bedrijven te misleiden.

Het 2023 State of the Phish-rapport van Proofpoint biedt een diepgaand onderzoek naar cyberdreigingen. Het rapport is gebaseerd op gegevens van meer dan 18 miljoen gerapporteerde e-mails en 135 miljoen gesimuleerde phishing-aanvallen die gedurende een jaar zijn verzonden. Ook worden de bevindingen van 7.500 werknemers en 1.050 beveiligingsprofessionals uit 15 landen, waaronder Nederland, onderzocht. Het rapport onthult ernstige tekortkomingen op het gebied van beveiligingsbewustzijn en cyberhygiëne.

“Hoewel traditionele vormen van phishing succesvol blijven, zijn veel hackers overgestapt op nieuwere methoden, zoals telefoongerichte aanvallen en adversary-in-the-middle (AitM) phishing proxies die multifactor-authenticatie omzeilen. Deze methoden worden al jaren gebruikt bij gerichte aanvallen, maar in 2022 werden ze op grote schaal ingezet", aldus Ryan Kalember, Executive Vice President Cybersecurity Strategy, Proofpoint. "We hebben ook een duidelijke toename gezien van geavanceerde phishingaanvallen met meerdere touchpoints, waarbij langere gesprekken tussen meerdere nepprofielen plaatsvinden. Of het nu gaat om een aan een natie gelieerde groep of een BEC-hacker, er zijn genoeg cybercriminelen die een lange adem hebben."

Belangrijke bevindingen uit het onderzoek

• Hoge betalingsbereidheid bij Nederlandse bedrijven na succesvolle ransomware-aanvallen

De schade veroorzaakt door cyberafpersing blijft voortduren. Bijna alle Nederlandse bedrijven (94%) hebben in het afgelopen jaar te maken gehad met een poging tot ransomware-aanval, waarvan meer dan driekwart succesvol was. Van de bedrijven die losgeld hebben betaald, kreeg iets meer dan de helft (52%) weer toegang tot hun data. Wereldwijd hebben de meeste bedrijven losgeld betaald om hun data terug te krijgen, en velen hebben dat meerdere keren gedaan. Ondanks dat bijna alle getroffen Nederlandse bedrijven (90%) een cyberverzekering hadden afgesloten voor ransomware-aanvallen, waren de verzekeraars in bijna 9 op de 10 gevallen bereid om geheel of gedeeltelijk het losgeld te betalen. Dit verklaart de hoge betalingsbereidheid van bedrijven: maar liefst 76% van de getroffen bedrijven in Nederland heeft het losgeld minstens één keer betaald.

• BEC-aanvallen nemen toe in Nederland en Zweden met hoogste percentage wereldwijd

Het wereldwijde probleem van cyberfraude genaamd Business Email Compromise (BEC) doet zich ook voor in Nederland. In 2022 kwamen BEC-aanvallen hier veel vaker voor. Nederland en Zweden hebben zelfs het hoogste percentage BEC-aanvallen met 92%, vergeleken met het wereldwijde gemiddelde van 75%. Hoewel Engels nog steeds de meest gebruikte taal is, zien niet-Engelstalige landen steeds meer aanvallen in hun eigen taal.

• Toenemende dreiging van Insider Threats door baanwisselingen tijdens pandemie

Door de pandemie en economische onzekerheid zijn in de afgelopen twee jaar 26% van de Nederlanders van baan veranderd of ontslagen. Dit heeft geleid tot een verhoogd risico op insider threats voor bedrijven, waarbij 86% van hen heeft gemeld dat zij te maken hebben gehad met dataverlies veroorzaakt door een werknemer. Van degenen die van baan zijn veranderd in Nederland, heeft 31% toegegeven dat ze bedrijfsdata hebben meegenomen. Dit maakt databescherming een uitdagende taak voor organisaties.

• Werknemers vallen ten prooi aan valse 'Microsoft' e-mails met misbruik van bedrijfsnamen

In 2022 waren werknemers het doelwit van valse 'Microsoft' e-mails, ontdekte Proofpoint. Bijna 1.600 aanvallen werden geregistreerd waarbij bedrijfsnamen werden misbruikt. Microsoft was de meest misbruikte bedrijfsnaam, met meer dan 30 miljoen berichten die het merk of producten zoals Office of OneDrive vermeldden. Andere bedrijven die regelmatig door cybercriminelen werden nagebootst, waren Google, Amazon, DHL, Adobe en DocuSign. Opmerkelijk genoeg tonen AitM-aanvallen de echte inlogpagina van het bedrijf, die in veel gevallen Microsoft 365 is.

De omvang van deze aanvallen is zorgwekkend omdat iets meer dan 33% van de Nederlandse werknemers denkt dat een e-mail veilig is als er bekende bedrijfsnamen in staan. Bovendien denkt 55% van de werknemers dat een e-mailadres altijd overeenkomt met de bijbehorende website van het bedrijf. Proofpoint's klanten gebruikten het misbruik van bedrijfsnamen in meer dan de helft van de 10 meest gebruikte phishing-simulatiemodellen, en veel werknemers trapten hierin.

• Aanvallers verhogen de complexiteit van e-mailaanvallen

Het afgelopen jaar hebben aanvallers dagelijks honderdduizenden telefonisch georiënteerde aanvalsmethoden (TOAD) en phishing-berichten gebruikt om de multifactor-authenticatie (MFA) te omzeilen. Dit aantal is genoeg om bijna alle bedrijven wereldwijd aan te vallen. Proofpoint heeft op een gegeven moment meer dan 600.000 TOAD-aanvallen per dag geregistreerd. TOAD-aanvallen zijn e-mails die de ontvanger aanzetten om te bellen naar zogenaamde callcenters. Sinds de introductie van deze methode eind 2021 is het aantal aanvallen alleen maar toegenomen.

Naast TOAD-aanvallen beschikken cybercriminelen nu ook over diverse methoden om MFA te omzeilen. Veel phishing-as-a-service providers hebben AI-tooling opgenomen in hun kant-en-klare phishingkits.

• Kwetsbaarheid voor cyberaanvallen door gebrek aan beveiligingsbewustzijn en training

Er is ruimte voor verbetering van de cyberhygiëne aangezien cybercriminelen blijven innoveren en het beveiligingsbewustzijn van de meeste werknemers nog steeds tekortschiet, zo blijkt uit het recente rapport. Zelfs basis cyberdreigingen zoals "malware", "phishing" en "ransomware" worden door meer dan een derde van de respondenten niet begrepen.

Bovendien traint slechts 52% van de Nederlandse bedrijven met een bewustwordingsprogramma voor beveiliging hun hele personeelsbestand, en slechts 31% voert phishingsimulaties uit. Deze beide aspecten zijn echter essentieel voor een doeltreffend programma voor het vergroten van het beveiligingsbewustzijn. Deze percentages liggen onder het wereldwijde gemiddelde.

Mark-Peter Mansveld, Vice President Noord-Europa, Midden-Oosten en Israël bij Proofpoint, waarschuwt dat het gebrek aan beveiligingsbewustzijn en onvoorzichtig gedrag van werknemers en management tijdens onboarding en offboarding een groot risico vormen voor bedrijven en hun data. Hij stelt dat e-mailaanvallen nog steeds de favoriete methode zijn van cybercriminelen en dat zij steeds vaker gebruikmaken van minder bekende methoden. Het opbouwen van een beveiligingscultuur die de hele organisatie bestrijkt, kan daarom aanzienlijke meerwaarde opleveren.

Meer info over BEC fraude

Meer BEC fraude nieuws