Een privéadres is geen phishingrisico. Het is een fysiek risico.

Een woonadres wordt in dit soort gesprekken vrijwel altijd genoemd als onderdeel van phishing: de aanvaller weet waar u woont, dus zijn bericht wordt geloofwaardiger. Dat klopt, en het is de minst belangrijke reden om er iets aan te doen.

Een woonadres is namelijk het enige gegeven in dit verhaal dat niet digitaal blijft.

Twee dreigingsmodellen, twee soorten maatregelen

Het onderscheid is scherp en het heeft praktische gevolgen voor wie erover gaat.

Het digitale model. Gegevens maken een benadering geloofwaardig. De schade loopt via een betaling, een inlog of een bestand. De maatregelen liggen bij de securityafdeling: verificatie bij betalingsverzoeken, tweede kanaal, bewustwording.

Het fysieke model. Gegevens brengen iemand bij een deur. De schade loopt via intimidatie, ongewenst bezoek, of erger. De maatregelen liggen niet bij de securityafdeling maar bij facilitair, bij de werkgever als goed werkgever, en soms bij de politie.

Dezelfde drie velden — woonadres, privénummer, eerdere adressen — voeden beide modellen. Dat is precies waarom ze door elkaar lopen.

Waarom dat onderscheid ertoe doet bij een besluit

Als u dit als phishingrisico opschrijft, komt het terecht bij de CISO en concurreert het met alle andere maatregelen op zijn lijst. Daar verliest het meestal, en terecht: er zijn goedkopere manieren om een frauduleuze betaling tegen te houden dan het opschonen van commerciële bestanden.

Als u het als fysiek risico opschrijft, is er geen alternatieve maatregel die hetzelfde doet. Een tweede-kanaalcontrole helpt niet tegen iemand die aanbelt.

Beide zijn waar. Maar wie alleen het eerste opschrijft, verkoopt het argument in de categorie waar het het zwakst staat.

Wat er per model wel en niet aan te doen is

Voor het digitale model geldt dat weghalen helpt maar nooit volledig is: er zijn te veel bronnen, en wat weg is kan opnieuw worden verworven. De maatregel die daar het meeste doet, is procedureel — een betaling die om een tweede bevestiging vraagt, ongeacht wie erom vroeg.

Voor het fysieke model ligt het omgekeerd. Daar is procedure geen antwoord, en is de vindbaarheid van het adres zelf de hele zaak. Dat maakt het beperken ervan hier wél de aangewezen maatregel, met de kanttekening dat het adres bij de bron soms een wettelijke publicatie is waar geen verzoek tegenop kan.

Wat er wel en niet openbaar is, en waarom het adres er toch is→

Waar dit ophoudt

Wij hebben geen cijfers over hoe vaak het fysieke model werkelijkheid wordt bij Nederlandse bestuurders, en wij gaan er ook geen noemen. Wat daarover circuleert is niet herleidbaar tot een bron die wij hebben gelezen.

Wat wij wel weten is dat de vier velden die beide modellen voeden verhandeld worden, en dat een deel daarvan met een verzoek te beperken is. Of dat risico voor uw organisatie zwaar genoeg weegt, is een afweging die u maakt en niet een die wij voor u invullen.

Welke gegevens een gerichte benadering nodig heeft→

Waar dit vandaan komt