Phishingaanval kost gemeente Haarlemmermeer 298.000 euro
Een phishingaanval kost de gemeente Haarlemmermeer 298.000 euro, zo is vorige week bekendgemaakt. De aanval deed zich vorige maand voor. Twee medewerkers van de gemeente trapten in een phishingmail waardoor aanvallers toegang tot de mailaccounts van de ambtenaren kregen. De phishingmails waren afkomstig van de e-mailaccounts van relaties van de gemeente, die zelf ook het slachtoffer van een phishingaanval waren geworden.
De aanvallers dienden vanuit één van de relaties een vervalste factuur in waarin het rekeningnummer was aangepast, zo meldt het Noordhollands Dagblad. Naar dat rekeningnummer maakte de gemeente 118.000 euro over. Het herstel van de phishingaanval kost de gemeente nog eens 180.000 euro. "Dit is iets dat je niet wil’’, zegt wethouder Charif El Idrissi. "We krijgen wekelijks tachtig meldingen van mogelijke phishing. We proberen die te voorkomen, maar het systeem is niet waterdicht." De gemeente heeft aangifte bij de politie gedaan.
Een gemeente is ook een bedrijf. Dat ze lekker makkelijk de door het personeel veroorzaakte problemen kunnen neerleggen bij de (weerloze) belastingbetaler dat ontslaat hen niet van de plicht om dit soort dingen goed te controleren.
Als het systeem niet waterdicht is, dan moet het waterdicht gemaakt worden! Zeker bij een gemeente, waar het probleem niet opgelost wordt door faillissement, maar door het bij anderen neer te leggen.
Om alert te blijven is het nodig dat regelmatig een misser wordt afgevangen, zo zitten mensen in elkaar. Bij dingen die vrijwel altijd goed gaan verliezen mensen hun alertheid. En als het dan toch een keer misgaat komt het onvermijdelijk over als iets dat behoorlijk stom is. Het is alleen niet stom, het is een volstrekt normale manier van reageren.
Wat stom is is de verwachting dat dat volstrekt normale menselijke gedrag met een mededeling aan de betrokken medewerkers uit te schakelen is. Mensen kunnen niet op bevel alert blijven, zo werkt alertheid niet. Wat je nodig hebt is een werkwijze, gesteund door automatisering, die maakt dat je voor die alertheid niet meer afhankelijk bent van de genoemde menselijke beperking.
Voor zover ik het heb meegemaakt is de typische kantoorautomatisering daar niet op ingericht, en is de typische leidinggevende zich schokkend slecht bewust van hoe mensen eigenlijk functioneren.
Stel je eens voor dat jij keer op keer een controle moet uitvoeren op iets dat 999 van de 1000 keer gewoon klopt. Na hoeveel controles waarbij alles precies klopt begint jou het gevoel te bekruipen dat het gewoon altijd klopt? Tenzij je een heel uitzonderlijk mens bent is dat veel minder dan 1000. En dat is wanneer mensen nonchalant worden, wanneer hun aandacht verslapt.
Dat is werk voor mensen die precies zijn en die zich niet laten afleiden door dergelijke afwegingen. Als dat soort mensen
er werkt kun je die afdeling net zo goed opdoeken.
Stel je eens voor dat jij keer op keer een controle moet uitvoeren op iets dat 999 van de 1000 keer gewoon klopt. Na hoeveel controles waarbij alles precies klopt begint jou het gevoel te bekruipen dat het gewoon altijd klopt? Tenzij je een heel uitzonderlijk mens bent is dat veel minder dan 1000. En dat is wanneer mensen nonchalant worden, wanneer hun aandacht verslapt.
.
Onzin, 99999 van de 100000 knal ik niet tegen een boom aan en toch doe ik een gordel om in de auto en een helm op op de motor.
Lakse mensen zonder verantwoordelijkheidsgevoel. Die niet. Tis gewoon mentaliteit niet menselijkheid.
Stel je eens voor dat jij keer op keer een controle moet uitvoeren op iets dat 999 van de 1000 keer gewoon klopt. Na hoeveel controles waarbij alles precies klopt begint jou het gevoel te bekruipen dat het gewoon altijd klopt? Tenzij je een heel uitzonderlijk mens bent is dat veel minder dan 1000. En dat is wanneer mensen nonchalant worden, wanneer hun aandacht verslapt.
Dat is werk voor mensen die precies zijn en die zich niet laten afleiden door dergelijke afwegingen. Als dat soort mensen
er werkt kun je die afdeling net zo goed opdoeken.
Kan zomaar zijn dat ze een mail ontvangen hadden, en daarover heen een telefoontje.
Of dat de procedures niet correct zijn voor dit soort aanpassingen.
De beste stuurlui staan immers altijd op Security.nl
Kunnen ze daarmee de dader niet pakken?
Waarom niet een meer basale controle op afzender... Pgp siging en s/mime bestaan al jaren... En dat legt de drempel al een stuk hoger.
Kan zomaar zijn dat ze een mail ontvangen hadden, en daarover heen een telefoontje.
Of dat de procedures niet correct zijn voor dit soort aanpassingen.
De beste stuurlui staan immers altijd op Security.nl
Nou ik weet wel dat de mensen op de crediteurenadministratie bij ons precies weten wat ze moeten doen als er een
rekeningnummer moet worden veranderd bij een crediteur, en dat "een mail ontvangen, en daarover heen een telefoontje"
daar niet aan voldoet.
Je weet dat het werk op zo'n afdeling alleen maar bestaat uit controleren, controleren, controleren. Als je dat niet kunt
of gevoelig bent voor afleidingsmanouvres dan moet je daar gewoon niet gaan werken.
"ja sorry we zijn er in getrapt maar gelukkig kunnen we de rekening bij de burgers leggen" dat past daar niet in.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.