Wat is een cyberaanval? Soorten, fasen en hoe je er een kunt voorkomen

Een cyberaanval is een opzettelijke poging om in te breken in computersystemen, netwerken of gegevens, meestal om iets te stelen, iets te verstoren of geld af te persen. Dat omvat heel wat: een frauduleuze e-mail die een medewerker ertoe verleidt geld over te maken, is een cyberaanval, en dat geldt ook voor kwaadaardige software die een heel ziekenhuis lamlegt. Wat ze gemeen hebben, is de opzet. Als er per ongeluk iets kapotgaat, is dat een storing; als iemand het met opzet kapotmaakt, is het een aanval.

Hieronder bekijken we wie deze aanvallen uitvoert en wat ze willen bereiken, welke soorten je het vaakst tegenkomt, hoe zo’n aanval meestal verloopt, wat je moet doen als je er middenin zit, en waarom de meest effectieve preventie minder met technologie te maken heeft dan de meeste mensen denken.

Wie valt er aan, en waarom?

Het beeld van de eenzame hacker in een hoodie is al tientallen jaren achterhaald. Het overgrote deel van de aanvallen komt van georganiseerde criminele groepen die als bedrijven opereren, met helpdesks, abonnementsmodellen en partners die hun tools verhuren. Hun motief is geld, en ze kiezen hun doelwitten net zoals elk bedrijf klanten kiest: op basis van hoe makkelijk de verkoop is.

Daarom is de aanname “we zijn te klein om interessant te zijn” zo’n kostbare aanname. Kleine en middelgrote organisaties zijn juist aantrekkelijk omdat ze waardevolle gegevens en betalingsstromen beheren, terwijl ze zelden een speciaal beveiligingsteam in dienst hebben. Aanvallen op hen zijn meestal niet persoonlijk bedoeld; ze zijn geautomatiseerd en doorlopen lijsten met adressen en bekende kwetsbaarheden totdat er iets reageert. We hebben die dynamiek nader bekeken in ons artikel over waarom het MKB zo kwetsbaar is voor cyberaanvallen.

Naast de criminele meerderheid zijn er nog andere motieven: concurrenten of overheidsinstanties die uit zijn op intellectueel eigendom, activisten die aandacht willen trekken, en af en toe een insider die uit frustratie handelt. Verschillende motieven, maar grotendeels dezelfde technieken, wat handig is: als je je tegen het meest voorkomende scenario verdedigt, ben je voor het grootste deel ook tegen de rest beschermd.

De meest voorkomende soorten cyberaanvallen

Er duiken voortdurend nieuwe namen voor aanvallen op, maar bijna allemaal zijn het variaties op een handvol mechanismen. Het is nuttiger om het mechanisme te begrijpen dan de termen uit je hoofd te leren.

• Phishing en de verschillende vormen ervan. Een bericht waarin iemand zich voordoet als iemand die je vertrouwt, om zo aan je inloggegevens, een betaling of een klik te komen. Dit is nog steeds veruit de meest voorkomende manier waarop cybercriminelen binnenkomen. Hoe het precies werkt, en hoe de sms- en spraakvarianten van elkaar verschillen, lees je in onze gids over phishing.
• Ransomware. Kwaadaardige software die je bestanden versleutelt en geld vraagt voor de sleutel, vaak in combinatie met de dreiging dat de gegevens openbaar worden gemaakt. In ons artikel over ransomware leggen we uit hoe zo’n infectie zich verspreidt.
• Malware in het algemeen. Keyloggers, banktrojanen, spyware en cryptominers installeren zich allemaal stilletjes en doen hun werk op de achtergrond. Bekijk ons overzicht van malware.
• Social engineering zonder ook maar enige malware. Een overtuigend telefoontje, een nep-leverancier die de bankgegevens wijzigt, een dringend verzoek van een directeur. Er is geen bestand om te scannen, en dat maakt social engineering zo moeilijk te herkennen.
• Aanvallen op inloggegevens. Het hergebruiken van wachtwoorden die elders zijn gelekt, of het op grote schaal raden van zwakke wachtwoorden. Dat kost de aanvaller weinig moeite, en daarom is MFA zo belangrijk.
• Misbruik maken van software waarvoor nog geen patch is uitgebracht. Bekende kwetsbaarheden in systemen die niet zijn bijgewerkt. Geautomatiseerde scanners sporen deze al binnen enkele uren op nadat een kwetsbaarheid bekend is geworden.
• Denial-of-service-aanval. Een dienst overspoelen met verkeer, zodat deze onbereikbaar wordt. Het gaat zelden om diefstal, maar vaak om verstoring of afpersing.
• Aanvallen via de toeleveringsketen. Door een leverancier, een software-update of een dienstverlener te compromitteren, kunnen ze iedereen bereiken die er gebruik van maakt. Je eigen beveiliging is hier maar een deel van het verhaal.

Let eens op hoeveel van deze voorbeelden beginnen met een persoon in plaats van een machine. Bij phishing, social engineering en het hergebruiken van inloggegevens is er altijd iemand nodig die actie onderneemt, en dat is precies waar een organisatie de meeste ruimte heeft om te verbeteren.

Hoe een cyberaanval verloopt

Aanvallen zijn zelden dat ene dramatische moment zoals ze in het nieuws overkomen. In de praktijk verlopen ze in herkenbare fasen, en er zitten vaak weken tussen het moment dat de aanvaller voet aan de grond krijgt en het moment dat er zichtbare schade ontstaat. Die periode is ook de kans: een aanval die in week één wordt opgemerkt, is een incident; een aanval die in week zes wordt opgemerkt, is een crisis.

Grofweg verloopt het proces als volgt: eerst de verkenning, waarbij de aanvaller namen, adressen en relaties met leveranciers uit openbare bronnen verzamelt, vervolgens het verkrijgen van toegang via een klik of een gestolen wachtwoord, daarna het stilletjes uitbreiden van die toegang, en ten slotte de daadwerkelijke versleuteling, diefstal of fraude. Elke fase laat sporen achter, en elke fase biedt een kans om in te grijpen. In ons artikel over de fasen van een cyberaanval zetten we het proces stap voor stap op een rijtje.

Wat moet je doen tijdens en na een aanval?

Het eerste uur is belangrijker dan de technologie die je vorig jaar hebt gekocht. Wat mensen nodig hebben, is geen dikke map, maar een paar stappen die ze ook onder druk nog daadwerkelijk kunnen onthouden.

1. Meld het meteen, voordat je probeert het op te lossen. Hoe snel je het meldt, bepaalt hoeveel ruimte de aanvaller krijgt. Niemand mag aarzelen omdat hij of zij nog niet zeker is.
2. Isoleer in plaats van uit te schakelen. Door een besmette computer van het netwerk los te koppelen, beperk je de verspreiding; als je de stroom uitschakelt, kun je bewijsmateriaal vernietigen dat je later nog nodig hebt.
3. Ga ervan uit dat de inloggegevens zijn gehackt. Reset de wachtwoorden en sessies van de betrokken accounts, en controleer of er nieuwe apparaten zijn toegevoegd, of er regels voor het doorsturen van e-mail zijn ingesteld en of er hersteladressen zijn gewijzigd.
4. Bewaar het bewijsmateriaal. Logbestanden, het originele bericht, screenshots. Verzekeraars en onderzoekers zullen ernaar vragen, en de toezichthouder ook als er persoonsgegevens bij betrokken waren.
5. Controleer je meldingsplichten. Bij een datalek waarbij persoonsgegevens betrokken zijn, gelden meldingsplichten, en organisaties die onder NIS2 vallen, hebben hun eigen termijnen voor het melden van incidenten. Betrek degene die daarvoor verantwoordelijk is er vanaf dag één bij, niet pas op dag vijf.
6. Evalueer het achteraf, zonder op zoek te gaan naar een schuldige. De relevante vraag is welk signaal over het hoofd is gezien en waarom, niet wie er heeft geklikt. Als je iemand de schuld geeft, blijft het volgende incident gegarandeerd langer verborgen.

Waarom preventie bij mensen begint

Technische maatregelen nemen het zware werk op het gebied van volume voor hun rekening. Meervoudige authenticatie, tijdige updates, geteste back-ups die offline worden bewaard en het beperken van wie waar toegang toe heeft, filteren het grootste deel van de geautomatiseerde pogingen eruit. Dat is allemaal niet optioneel, en het is ook niet meer waar aanvallen daadwerkelijk slagen.

Wat door de filters komt, is op mensen gericht, want mensen zijn te overtuigen en software niet. Een medewerker die een vreemd betaalverzoek herkent, het via een tweede kanaal controleert en het meldt, heeft een aanval gestopt die geen enkele scanner had opgemerkt. Dat is een vaardigheid, en zoals elke vaardigheid zakt hij weg zonder oefening. Daarom levert één jaarlijkse trainingssessie zo weinig op. Korte, terugkerende oefeningen die het actuele dreigingslandschap volgen werken aanzienlijk beter, en een phishing simulatie laat zien waar je echt staat in plaats van waar je denkt te staan.

Hoe Guardey je helpt het risico te verminderen

De security awareness training van Guardey is op dat ritme gebouwd: wekelijkse challenges van zo'n drie minuten, gamification met leaderboards en streaks, en content die de dreigingen volgt die echt rondgaan. Medewerkers trainen in de mobiele app voor iOS en Android of in de browser, waardoor ook collega's zonder bureau meedoen.

Geïntegreerde phishing simulaties laten zien of herkennen ook gedrag wordt, en audit-klare rapportage maakt van het hele programma bewijs voor kaders als NIS2 en ISO 27001. De uitrol duurt enkele minuten, en ruim 500 organisaties werken zo, waaronder het Europees Parlement.

Veelgestelde vragen over cyberaanvallen

Wat is het verschil tussen een cyberaanval en een datalek?

Een aanval is de poging; een datalek is een mogelijk gevolg daarvan. Een aanval die wordt tegengehouden, leidt nooit tot een datalek, en een datalek kan ook plaatsvinden zonder dat er überhaupt sprake is van een aanval, bijvoorbeeld wanneer iemand per e-mail een bestand naar de verkeerde ontvanger stuurt. Dit onderscheid is belangrijk, omdat de meldingsplicht geldt voor het datalek, niet voor de poging.

Hoe lang duurt het voordat je merkt dat je aangevallen wordt?

Langer dan de meeste organisaties verwachten. Aanvallers die binnenkomen via een gestolen wachtwoord gaan vaak heel voorzichtig te werk om geen alarm te slaan, en de zichtbare schade komt pas aan het einde aan het licht, niet aan het begin. Daarom zijn meldingen van medewerkers zo waardevol: ze brengen vaak al lang voordat de bewakingssystemen iets opmerken iets vreemds aan het licht.

Is een kleine organisatie echt een doelwit?

Ja, en meestal niet uit eigen keuze. De meeste pogingen zijn geautomatiseerd en richten zich op alle mogelijke antwoorden, dus klein zijn biedt geen bescherming, terwijl het hebben van minder specialisten vaak een langere reactietijd betekent. Oninteressant zijn is geen verdediging tegen een script.

Wordt een cyberaanval gedekt door de verzekering?

Er bestaan cyberverzekeringen die de herstelkosten kunnen dekken, maar verzekeraars eisen steeds vaker dat je aantoont dat je basismaatregelen hebt genomen, zoals training van je personeel, en ze zullen na een incident om bewijs vragen. Beschouw een verzekering als een vangnet voor de financiële schade, niet als vervanging voor de maatregelen zelf.

De ongemakkelijke waarheid over cyberaanvallen is dat de meeste ervan helemaal niet zo geavanceerd zijn. Ze maken gebruik van een wachtwoord dat op meerdere sites wordt hergebruikt, een systeem waarvoor nooit een patch is geïnstalleerd, of een collega die het op vrijdagmiddag te druk heeft. Dat is ook het bemoedigende: met slechts een handvol gewoontes kun je het overgrote deel ervan voorkomen, en al die gewoontes kan een team leren.