Spoofing? Wat is dat nu weer en hoe weet ik zeker wie ik aan de lijn heb?

“Goedemiddag, u spreekt met de servicedesk’. Het nummer op mijn display laat inderdaad het nummer van de servicedesk zien. ‘Er is iets mis met uw e-mail account. Kunnen wij samen de instellingen nalopen? Kunt u voor mij naar de volgende website gaan of uw gebruikersnaam en wachtwoord geven ter verificatie?’ Achteraf klinkt het zo logisch dat ik deze gegevens nooit via de telefoon had moeten afgeven, maar ik geloofde echt dat ik de servicedesk aan de lijn had. En ik wilde echt geen problemen met mijn e-mail account!”

Een voorbeeld uit onze dagelijkse praktijk. Het afgelopen jaar gaf 70% van de door ons geteste medewerkers van onze klanten hun loginnaam en wachtwoord af via de telefoon. Een techniek die voice-phishing (vhishing) wordt genoemd en waar Hoffmann haar klanten bewust van maakt en mee helpt om zo te voorkomen dat gevoelige informatie in verkeerde handen komt.

Maar een tweede techniek maakt het ineens nog veel moeilijker om kwaadwillenden buiten de deur te houden: Caller ID spoofing. Met caller ID spoofing doet iemand zich voor als een ander, door te bellen met een eigen telefoon, terwijl het telefoonnummer van een ander op het display verschijnt.

Deze techniek is al langer bekend en wordt vaak op een legale manier door bedrijven gebruikt, bijvoorbeeld om de doorkiesnummers van medewerkers af te schermen. Zij sturen dan alleen het algemene telefoonnummer mee. Een goede manier om de gewenste informatie bij de klant te krijgen.

Caller ID spoofing is extreem eenvoudig toe te passen. Er zijn meerdere websites die deze dienst aanbieden. Op deze websites wordt de dienst gepromoot voor privé (“Houd je familie en vrienden voor de gek!”) en zakelijke (“Uw klanten zien alleen uw zakelijke nummer.”) doeleinden. Maar juist omdat het zo eenvoudig is, wordt er ook misbruik van gemaakt.

Wat kunt u doen?

Natuurlijk ligt hier een taak voor de overheid en telecomproviders. De overheid zou maatregelen moeten nemen om het spoofen van telefoonnummers tegen te gaan. Daarnaast zouden telecomproviders maatregelen kunnen nemen om dit soort telefoontjes te blokkeren.

Omdat het in Nederland nog niet zover is, delen wij hier de vier belangrijkste tips om te voorkomen dat uw bedrijf schade lijdt door caller ID spoofing en voice-phishing:

• Zorg dat uw medewerkers zich bewust zijn van dit gevaar.
• Spreek met uw medewerkers af dat zij in een inkomend telefoongesprek nooit persoonlijke en/of vertrouwelijke informatie verstrekken. Laat ze in plaats daarvan vragen of ze op een later moment kunnen terugbellen.
• Spreek met uw medewerkers af dat zij nooit telefonisch betalingsopdrachten aannemen. Van wie dan ook, ook niet van de CEO of CFO. En omdat het tegenwoordig ook mogelijk is om e-mailadressen te spoofen, leest u hier meer over hoe uw medewerkers om moeten gaan met betalingsverzoeken via de e-mail.
• Maak goede afspraken met externe leveranciers over telefonische communicatie. Spreek bijvoorbeeld met hen af dat er nooit telefonisch over inloggegevens en wachtwoorden zal worden gecommuniceerd.