Wat kunnen cybercriminelen over uw directeur vinden?

Wanneer organisaties nadenken over cybersecurity, gaat de aandacht vaak uit naar firewalls, antivirussoftware en technische beveiligingsmaatregelen. Toch beginnen veel cyberaanvallen tegenwoordig niet bij systemen, maar bij mensen. Met name directeuren, bestuurders en andere sleutelfiguren vormen een aantrekkelijk doelwit voor cybercriminelen.

Voordat een aanval plaatsvindt, verzamelen aanvallers vaak eerst zoveel mogelijk informatie over hun doelwit. Hiervoor gebruiken zij openbare bronnen op internet. Deze methode staat bekend als Open Source Intelligence (OSINT).

Waarom richten cybercriminelen zich op directeuren?

Directeuren beschikken vaak over bevoegdheden, toegang tot gevoelige informatie en invloed binnen de organisatie. Daarnaast zijn zij regelmatig zichtbaar op internet. Denk aan bedrijfswebsites, interviews, LinkedIn-profielen, persberichten, presentaties en deelname aan evenementen. Door informatie uit verschillende openbare bronnen te combineren, kunnen cybercriminelen een verrassend compleet profiel opbouwen van een bestuurder of directeur.

Welke informatie is vaak openbaar beschikbaar? Voorbeelden zijn:

• Naam, functie en verantwoordelijkheden.
• Zakelijke e-mailadressen.
• Contactgegevens.
• Sociale media-profielen.
• Deelname aan evenementen en congressen.
• Interviews en nieuwsartikelen.
• Organisatiestructuren en rapportagelijnen.
• Informatie over gebruikte software en leveranciers.
• Gegevens die voorkomen in openbare datalekken.

Op zichzelf lijkt deze informatie vaak onschuldig. Gecombineerd kan zij echter worden gebruikt om zeer geloofwaardige phishingmails, fraudeberichten of social engineering-aanvallen op te zetten.

Van informatie naar aanval

Een cybercrimineel hoeft vaak geen systemen te hacken om schade te veroorzaken. Wanneer bekend is wie de directeur is, welke leveranciers worden gebruikt en welke medewerkers financiële bevoegdheden hebben, kan een aanvaller zich overtuigend voordoen als bestuurder of zakenpartner.

Bekende voorbeelden zijn:

• Frauduleuze betaalverzoeken uit naam van de directie.
• Phishingmails gericht aan managementteams.
• Pogingen om wachtwoorden of MFA-codes buit te maken.
• Aanvallen op leveranciers om uiteindelijk toegang te krijgen tot de organisatie.
• Gerichte ransomware-aanvallen waarbij bestuurders expliciet worden genoemd.

Waarom een digitale voetafdrukscan nuttig kan zijn

Een OSINT-voetafdrukscan brengt in kaart welke informatie over een organisatie en haar bestuurders openbaar beschikbaar is. Daarbij wordt gekeken naar de digitale zichtbaarheid van de organisatie, maar ook naar mogelijke blootstelling van sleutelfiguren binnen het bedrijf.

Zo kan inzicht ontstaan in:

• Welke gegevens over bestuurders online beschikbaar zijn.
• Welke systemen vanaf internet zichtbaar zijn.
• Of e-mailadressen voorkomen in bekende datalekken.
• Welke technische informatie over de organisatie publiek toegankelijk is.
• Welke risico’s een aanvaller mogelijk als eerste zal zien.

Dit helpt organisaties om risico’s te herkennen en waar nodig maatregelen te nemen voordat kwaadwillenden dezelfde informatie gebruiken.
Bestuurlijke verantwoordelijkheid neemt toe

Met de komst van de Europese NIS2-richtlijn en de aankomende Nederlandse Cyberbeveiligingswet krijgen bestuurders bovendien een grotere verantwoordelijkheid op het gebied van cybersecurity. Van organisaties wordt verwacht dat zij risico’s kennen, passende maatregelen nemen en aantoonbaar aandacht besteden aan digitale weerbaarheid.