Cybersecurity

Wilt u bijdragen aan dit groeiboek? Heeft u opmerkingen, aanvullingen of een vraag? Neem dan contact op met het COB per mail of telefoon: info@cob.nl / 085 – 4862 410. We horen graag van u!

Bijlage: Cybercrime

Malware is elke software die gebruikt wordt om computersystemen te verstoren, gevoelige informatie te verzamelen of toegang te krijgen tot private computersystemen. Het woord is een samentrekking van het Engelse malicious software (kwaadaardige software, soms schadelijke software). Malware veronderstelt kwade opzet. Software waarmee geen kwaad wordt beoogd, valt hier dus niet onder.

Phishing (afgeleid van fishing: ‘vissen’, ‘hengelen’) is een vorm van internetfraude. Het bestaat uit het oplichten van mensen door ze te lokken naar een valse (bank)website, die een kopie is van de echte website, om ze daar – nietsvermoedend – te laten inloggen met hun inlognaam en wachtwoord of hun creditcardnummer. Hierdoor krijgt de fraudeur de beschikking over deze gegevens met alle gevolgen van dien. Een variant van phishing is spear phishing, waarbij de persoonlijke gegevens (naam, e-mailadres, telefoonnummer) van het slachtoffer worden gebruikt om hem een gevoel van vertrouwen te geven.

Ransomware of gijzelsoftware is een chantagemiddel op internet. Letterlijk vertaald betekent ransom ‘losgeld’. Ransomware is malware die een computer (en/of gegevens die erop staan) blokkeert en vervolgens van de gebruiker geld vraagt om de computer weer te ‘bevrijden’.

Denial-of-service-aanvallen (DoS-aanvallen) en distributed denial-of-service-aanvallen (DDoS-aanvallen) zijn pogingen om een computer, computernetwerk of dienst niet of moeilijker bereikbaar te maken voor de bedoelde klanten. Het verschil tussen een ‘gewone’ DoS-aanval en een distributed DoS-aanval is dat in het laatste geval meerdere computers tegelijk de aanval op hun doelwit uitvoeren.

Hackers
We onderscheidden globaal de volgende soorten hackers:

  • De black-hat hackers zijn de ‘bad guys’ en hacken puur en alleen om er beter van te worden. Dit zijn de zogeheten cybercriminelen. Ze kunnen zowel uit eigen beweging handelen, vaak als onderdeel van een hackerscollectief, alsmede in opdracht van individuen, overheden of bedrijven die belang hebben bij bijvoorbeeld geheime informatie of negatieve publiciteit van het slachtoffer van de aanval. De genoemde hackerscollectieven zijn vaak zeer georganiseerd en hebben vaak een enorme trukendoos die opengetrokken kan worden om toegang te krijgen tot netwerken. Naast de klassieke ‘harde’ hackerstools zijn er ook de ‘zachtere’ methoden als social engineering (zie hieronder) en de verspreiding van virussen met achterdeurtjes, de zogeheten trojans.
  • De grey-hat hackers zijn de hobby-hackers. Deze hebben niet per se kwade bedoelingen, maar begeven zich soms aan de goede kant en soms aan de verkeerde kant van de grens van de illegaliteit. Deze groep hackers doen het in eerste instantie voor de kick (‘kijken hoe ver ik kan komen’) en om ergens bij te horen (‘kijk eens wat ik kan’). De verleiding om over de grens te gaan, is vaak erg groot, meestal uit nieuwsgierigheid. Om te proberen om deze groepen hackers aan de goede ‘ethische’ kant te houden, hebben veel grote organisaties de door het Nationaal Cyber Security Centrum (NCSC) opgestelde ‘leidraad voor responsible disclosure’ aangenomen. Indien dit het geval is, is dit terug te vinden op de website van de organisatie. Hiermee geeft de organisatie aan dat er geen juridische stappen zullen worden ondernomen tegen hackers als deze zich aan de gestelde ‘ethische spelregels’ houden. Kort samengevat is dat het geval als dat gevonden kwetsbaarheden netjes gemeld worden via de aangegeven weg en er niet verder wordt ‘gesnuffeld’ op de systemen in het binnengedrongen netwerk. Als ‘beloning’ zal de naam van de melder/hacker op een erelijst worden opgenomen, al dan niet vergezeld van een financiële bonus, cadeaubon of enigerlei andere tegemoetkoming.Tot de groep van grey-hat hackers behoren ook de zogeheten scriptkiddies. Dit zijn hobby-hackers die internet en hackerslectuur afstropen voor hacktools en -scripts die ze vervolgens kopiëren en uitproberen zonder te weten hoe het precies werkt en wat de impact van hun daden is. De onkunde en onvoorspelbaarheid van deze groep vormt een grote bedreiging voor de continuïteit van de bedrijfsprocessen van een organisatie.
  • Social engineers of social hackers. Social engineering is een hackmethode waarbij niet de techniek wordt aangevallen, maar de zwakste schakel in de keten, namelijk de mens. Deze, meestal kwaadwillende, personen proberen vertrouwelijke informatie los te krijgen uit hun ‘slachtoffers’ waarmee ze uiteindelijk systemen of netwerken binnendringen en overnemen. Social engineers kunnen zeer overtuigend overkomen en doen zich meestal voor als iemand die zijn slachtoffer te hulp schiet. Nadat het vertrouwen is gewonnen of medelijden is gewekt, komen de gesprekken vaak op het meer persoonlijke vlak terecht. Zelfs angst inboezemen wordt vaak niet geschuwd om het gewenste doel te bereiken. Social engineering is een zeer grote bedreiging voor organisaties en personen.
  • Tot slot zijn er de white-hat hackers, de ‘good guys’. Dit zijn vaak gecertificeerde hackers die zijn ingehuurd om beveiligingsmaatregelen te testen op effectiviteit en het vinden van eventueel andere aanwezige kwetsbaarheden in het netwerk of systeem. In veel landen is zelfs dit illegaal. In Nederland is het in principe niet strafbaar, mits men een vrijwaring in handen heeft die is getekend door het hoogste management en zich aan de ethische spelregels uit de NCSC-leidraad voor responsible disclosure houdt.