IT'ers noemen het gekscherend PEBCAK ("Problem Exists Between Chair And Keyboard") en PICNIC ("Problem In Chair Not In Computer"), maar de onwetendheid van veel gebruikers zit beveiligingsexperts niet lekker. Security.NL vroeg verschillende experts waar ze zich de meeste zorgen over maken. "Onwetendheid, in welke vorm dan ook, is de meest voor de hand liggende keuze," zegt Roel Schouwenberg, senior virusanalist van Kaspersky Lab. Hij doelt daarmee op eindgebruikers die voor de derde keer in dezelfde phishingmail trappen. Ook fiasco's die (gemakkelijk) van tevoren zijn te voorspellen en voorkomen, zoals de OV-Chipkaart, staan op de lijst van de analist, die wat dit betreft weinig verandering op korte termijn verwacht. "Dit is echter al de laatste twintig jaar onveranderd en het is helaas niet aannemelijk dat dit binnen afzienbare tijd gaat veranderen."

Het gebrek aan educatie en bewustzijn van de doorsnee gebruiker als het gaat om veilig internetten is ook de grootste zorg van Rik Ferguson, Solutions Architect bij Trend Micro. "Het gebrek aan bewustzijn is een van de voornaamste aandrijvers van computercriminaliteit."

Dat de dreiging bijna volledig aan gebruikers voorbij gaat ziet ook Frank Mulder, Technical Support Manager van Panda Security. "Gebruikers hebben moeite om zich voor te stellen wat malware en de daaraan verbonden risico’s inhouden. Ik illustreer dit graag met een citaat van wijlen Piet Vroon, voormalig hoogleraar Psychologie aan de universiteit van Utrecht: “…een mooi voorbeeld van een psychologisch wetje: wij verzekeren ons tegen een bepaalde combinatie van een voorstelbare ramp en een minieme kans. Uw brandverzekeringsmaatschappij is daar rijk door geworden. Woonhuizen fikken zo goed als nooit af, maar u neemt het risico niet. Bij computervirussen kunnen mensen zich weinig voorstellen. Om die reden beveiligen zij hun programma’s niet.” Toch is het risico dat de computer wordt getroffen door een malware gerelateerde aanval vele malen hoger dan dat het huis afbrandt, gaat Mulder verder.

Hengelsport

De onwetendheid speelt internetcriminelen in de kaart, die via phishing genadeloos toeslaan. Sinds iets meer dan een jaar is een serieuze trend gaande waarbij phishers de e-mails in de taal van hun slachtoffers versturen. "Waar eerst een vertaalmachine werd gebruikt en dus de teksten zowel contextuele als grammaticale fouten bevatte, buiten de overduidelijke verkeerde woordkeus, gaan de bendes achter deze phishing pogingen nu duidelijk een stuk georganiseerder te werk, waardoor er professionelere phishingberichten verschijnen," aldus Righard Zwienenberg, Chief Research Officer bij Norman.

Een volgend probleem waarbij Nederlandse gebruikers op hun hoede moeten zijn, zijn advertenties. De advertentie business op websites neemt op dit moment een grote sprong en inmiddels is het al een paar keer voorgekomen dat grote legitieme sites advertenties hebben geplaatst naar spyware/adware sites, met bijbehorende downloads. "Ook zien we dat de advertientiebureaus het werk niet meer aan kunnen en een en ander outsourcen. De kwaliteitscontrole valt dan helemaal weg. Als site-eigenaar weet je dus niet wie de advertentie dan plaatst," waarschuwt Zwienenberg.

Een derde probleem ziet hij in de toename van server-side polymorfische malware. Dat is malware die bij iedere download er anders uit ziet. Ondanks dat de malware zichzelf niet verspreidt en dus ook geen polymorfische engine bevat, is het elke keer anders. Dat maakt het voor de virusscanners moeilijk. "Bij een polymorfisch virus kunnen we de polymorfische engine analyseren en dan weten we wat er allemaal mogelijk is, in dit geval niet. Het wordt al veel toegepast bij de zogenaamde Banking Trojans, vooral degene die uit Brazilië komen zijn elke keer anders."

Die Hard 4

De glazen bol van Zwienenberg gaat nog veel verder, waarbij Die Hard 4-achtige scenario's de kop opsteken. "Inmiddels is bijna alles geautomatiseerd en veel mensen weten niet eens meer wat te doen indien de stroom uitvalt. Een film zoals Die Hard 4 is natuurlijk science fiction, maar het concept van een aanval op CII (Critical Infrastructure Instruments) moet niet onderschat worden. Onze gehele economie draait op computers en zonder stroom draaien die niet."

Tom Welling, beveiligingsexpert bij Symantec, ziet vooral uitdagingen op het gebied van rootkit detectie. Er zijn inmiddels rootkits die gebruik maken van virtualisatietechnieken waardoor de gebruikersomgeving schoon draait in een kwaadaardige virtualmachine, waarbij bijvoorbeeld al het ingaand en uitgaand verkeer afgevangen (en aangepast) kan worden. "Ook zien een groot aantal nieuwe besturingssystemen die illegaal via nieuwsgroepen, peer-2-peer netwerken e.d. verspreid en vervolgens geïnstalleerd worden. Wie zegt dat die installatie DVD van Windows Vista niet een 'aangepaste' versie betreft? Volledig uitgerust met een 'ondetecteerbare' rootkit die stiekem passief communiceert, al meeliftend op het normale internetverkeer?" Volgens Welling een echte dreiging en zeker geen FUD.

Toch blijft het de vraag: In hoeverre zijn eindgebruikers verantwoordelijk voor hun eigen veiligheid? Daar lijkt de industrie nog geen pasklaar antwoord op te hebben. IBM vindt van niet, terwijl Microsoft al op de basisschool met beveiligingsles wil beginnen. Vooralsnog zijn het dus niet alleen de consumenten die het niet weten.