Geklikt op een nepfactuur bij een administratiekantoor
Administratiekantoor Van Dijk & Partners heeft 12 medewerkers en verwerkt de loonadministratie van 60 kleine bedrijven. Op dinsdagochtend 9.14 uur krijgt medewerker Sanne een e-mail die lijkt te komen van de Belastingdienst met de tekst 'uw factuur staat klaar'. Ze klikt op de link en komt op een pagina die precies lijkt op het inlogscherm van het kantoorportaal. Ze typt haar e-mailadres en wachtwoord. Het portaal gebruikt geen tweestapsverificatie. Om 9.31 uur ziet de systeembeheerder een geslaagde inlog vanaf een IP-adres in Vietnam; om 9.40 uur worden in het portaal 14 loonbestanden gedownload. Het kantoor maakt elke avond om 23.00 uur een back-up naar een externe schijf die permanent op de server is aangesloten. De directeur wil eerst het wachtwoord van Sanne wijzigen en dan gewoon doorwerken, omdat 'de klanten niets mogen merken'.
1. Welke drie acties onderneem je als eerste, in welke volgorde, en waarom in die volgorde?
Read the worked answer
1. Afsluiten van de toegang (binnen minuten). Sessies van de aanvaller beëindigen, het account van Sanne blokkeren en het wachtwoord wijzigen. Zolang de indringer binnen is, wordt elke volgende stap zinloos. Dit is trouwens meer dan alleen het wachtwoord van Sanne: ook andere accounts controleren op onbekende inlogs.
2. Vastleggen van bewijs. Logs, het e-mailbericht en de tijdlijn veiligstellen vóór er iets wordt opgeruimd. Zonder logs kun je later niet aantonen welke gegevens zijn ingezien; bij loonadministratie met 60 klanten is dat verplicht richting die klanten en mogelijk de autoriteit.
3. Melden en informeren. Interne melding bij de verantwoordelijke, daarna beoordelen of er een datalek is dat gemeld moet worden en of de 60 klanten geïnformeerd moeten worden. 'Klanten mogen niets merken' is geen geldig argument: zij hebben recht op informatie als hun loongegevens zijn geopenbaard, en stilhouden maakt de schade groter.
2. Beoordeel de back-upopzet van het kantoor. Wat is het grootste risico en hoe richt je het beter in?
Read the worked answer
Het grootste risico is dat de externe schijf permanent op de server is aangesloten. Ransomware of een indringer met beheerdersrechten versleutelt of wist binnen enkele minuten ook de back-up, en dan is er geen herstelpunt meer. Daar komt bij dat een back-up van 23.00 uur maximaal een dag werk kost, maar dat is hier het kleinere probleem.
Beter volgens de 3-2-1-regel: drie kopieën, op twee verschillende soorten media, waarvan één op een andere locatie. Maak de schijf dus na de back-up los of gebruik een back-up die alleen tijdens het venster verbonden is, en leg één kopie buiten het pand of in de cloud met een apart account. Test daarnaast elk kwartaal of je daadwerkelijk kunt terugzetten; een back-up die nooit is getest, is een aanname en geen back-up.
3. De directeur wil verplicht stellen dat iedereen elke 30 dagen een nieuw wachtwoord kiest. Is dat de juiste maatregel? Adviseer met twee argumenten.
Read the worked answer
Als belangrijkste maatregel is dit zwak, al is het niet schadelijk.
Argument 1: het probleem was geen oud wachtwoord maar een gestolen wachtwoord. Sanne typte haar wachtwoord op een nagemaakte pagina. Dat wachtwoord was op dat moment splinternieuw; elke 30 dagen wisselen had deze inlog niet tegengehouden. Tweestapsverificatie wel: de aanvaller heeft dan ook de telefoon of code van Sanne nodig.
Argument 2: vaak wisselen leidt tot zwakkere wachtwoorden. Mensen gaan varianten verzinnen (Zomer2025! en Herfst2025!) die voorspelbaar zijn, of ze schrijven ze op. Dat verhoogt het risico juist.
Advies: tweestapsverificatie verplicht stellen voor het portaal en de e-mail, een wachtwoordmanager invoeren, en de medewerkers trainen in het herkennen van nepmails met een duidelijke meldknop. Wisselen alleen bij vermoeden van misbruik.