De verkenningsfase kiest de doelwitten. De mail komt daarna.

Een gerichte aanval begint niet met een e-mail. Hij begint met een lijst: wie tekent, wie betaalt, wie wie kent, en wat een verzoek geloofwaardig zou maken. Die lijst wordt eerst opgebouwd, en pas daarna wordt er iets verstuurd.

Dit artikel gaat over die eerste fase. Niet over hoe phishing werkt — dat weet u — maar over welke onderdelen zo’n lijst nodig heeft, en welke daarvan gewoon een leverancier en een factuur hebben.

Wat er verzameld wordt, en waar het staat

De verkenning combineert drie soorten materiaal. De eerste twee zijn algemeen bekend. De derde is de reden dat wij bestaan.

De structuur. Wie is bestuurder, wie is commissaris, welke rechtspersonen hangen aan elkaar. Dit staat in het Handelsregister en is openbaar, omdat handelsverkeer moet kunnen zien met wie het zaken doet.

De context. Wat speelt er, wie is er net begonnen, welke overname loopt, wie is op vakantie. Dit komt uit jaarverslagen, persberichten, vacatureteksten, congresprogramma’s en sociale media.

Het persoonlijke. Woonadres, privételefoonnummer, eerdere adressen. Dit staat niet in het Handelsregister — het woonadres van een functionaris is daar afgeschermd — en het staat meestal ook niet op sociale media. Het is wel te koop, en bij het telefoonnummer gaat dat verder dan verzamelen: er zijn handelaren die het nummer nabellen om te controleren of de juiste persoon opneemt, en die profielen van bestuurders maandelijks verversen.

Waarom juist die derde categorie ertoe doet

De eerste twee categorieën maken een aanval mogelijk. De derde maakt hem geloofwaardig.

Een bericht dat klopt op structuur is een bericht van iemand die de organisatie heeft opgezocht. Een bericht dat een detail bevat dat alleen een bekende zou weten, is iets anders — het verplaatst de vraag van “is dit echt” naar “hoe weet hij dat”, en dat is precies de vraag die mensen niet stellen omdat het antwoord vanzelfsprekend lijkt.

Datzelfde geldt buiten de mailbox. Een privételefoonnummer maakt een terugbelverzoek mogelijk waarin een stem bevestigt wat er in de mail stond. Een woonadres maakt een bezorging mogelijk.

De rolselectie is voorspelbaar

Wie er wordt uitgekozen, volgt uit wat de aanvaller wil bereiken, en dat is een korte lijst.

• Bestuur en directie voor verzoeken die op gezag leunen — een betaling die van bovenaf komt en waar niemand tegenin gaat.
• Financiën voor de uitvoering, want daar staat de knop.
• Personeelszaken voor toegang tot gegevens van de rest van de organisatie, die de volgende ronde voedt.

Dat maakt het bestuur een begrensde verzameling — vijf tot twintig mensen — met een blootstelling die niet in verhouding staat tot hun aantal. Het is ook de reden dat dit een hanteerbaar probleem is: u hoeft geen duizend medewerkers af te schermen om het grootste deel van het aanvalsoppervlak weg te nemen.

Wat u hieraan kunt doen, en wat niet

De structuur kunt u niet weghalen. Het Handelsregister is openbaar en dat is de bedoeling; uw naam als bestuurder blijft daar staan.

De context kunt u nauwelijks weghalen. Een organisatie die niets publiceert, bestaat commercieel niet.

De derde categorie is de enige waar iets aan te doen valt, en daar bestaat een recht voor. Wat dat recht wel en niet oplevert, hangt af van de partij en van de grondslag waarop u het inroept.

Waarom de grondslag bepaalt of een partij ruimte heeft om te weigeren→

Waar dit ophoudt

Dit is een redenering over aanvalsoppervlak, geen voorspelling. Minder vindbare gegevens maken een geloofwaardige aanval moeilijker; zij maken hem niet onmogelijk, en er is geen getal dat wij hieronder kunnen zetten.

Wat wij evenmin kunnen zeggen, is dat een bepaalde aanval niet was gebeurd als bepaalde gegevens weg waren geweest. Bij een concrete zaak is de herkomst van de gebruikte kennis bijna nooit gedocumenteerd — ook niet bij de bekendste Nederlandse zaak.

Wat de zaak bij Pathé wel en niet aantoont→

Waarom een privéadres een fysiek risico is en niet alleen phishing→

Waar dit vandaan komt