De meeste datalekken beginnen niet bij een hack, maar bij een medewerker

Waar datalekken echt vandaan komen

Als je aan een datalek denkt, denk je waarschijnlijk aan een inbraak. Iemand die van buitenaf door je firewall komt en er met je klantenbestand vandoor gaat. Dat gebeurt, maar het is niet waar de meeste lekken vandaan komen, en dat is precies waarom een goed beveiligd systeem pas stap één is.

De Autoriteit Persoonsgegevens houdt bij wat er gemeld wordt. In 2025 kwamen er ruim 39.000 meldingen binnen. De verdeling daarvan is het bekijken waard, en de rapportages staan openbaar op hun site (opent in een nieuw tabblad).

1. Ruim 25.000 gingen over post. Een brief die bij de verkeerde persoon in de bus valt.
2. Ruim 4.200 gingen over e-mail. Meestal een verkeerd geadresseerd bericht of een adressenlijst die zichtbaar was voor iedereen.
3. 2.400 kwamen door een aanval. Dat is zes procent van het totaal.

Drie kwart van alle datalekken is dus iemand die per ongeluk iets naar de verkeerde stuurt. Daar komt geen aanvaller aan te pas en geen firewall die tekortschiet.

En dan het interessantste getal. Van die 2.400 aanvallen waren er ruim 1.700 een overname van een account. Het jaar daarvoor waren dat er zeshonderd, dus dat is bijna verdrievoudigd. Bij zo'n overname is er niets doorbroken. Iemand heeft zijn inloggegevens afgegeven, meestal na een bericht dat er echt uitzag.

Wat social engineering is

Social engineering is het bespelen van een mens in plaats van een systeem. De aanvaller zoekt niet naar een lek in je software, hij zoekt iemand met toegang en praat die persoon zover dat hij de deur zelf opent.

Dat klinkt slinks en dat is het ook, maar het is vooral effectief. Een systeem dat goed is ingericht doet altijd precies wat er staat. Een mens die het druk heeft en een dringend verzoek van zijn baas krijgt, doet wat er gevraagd wordt. Het NCSC beschrijft die werking als psychologische manipulatie die inspeelt op normale menselijke reacties (opent in een nieuw tabblad), en dat laatste is het hele punt. Er wordt niets misbruikt wat kapot is, er wordt misbruik gemaakt van gedrag dat normaal gesproken goed werkt.

Waarom het werkt

Bijna elke poging leunt op dezelfde vier hefbomen. Als je die eenmaal ziet, herken je ze ook in vormen die je nog nooit bent tegengekomen.

1. Gezag. Een verzoek van de directeur, de bank of de Belastingdienst controleer je minder snel dan hetzelfde verzoek van een onbekende. Dat is normaal en meestal handig, maar het is ook precies de aanname waar een aanvaller op mikt.
2. Haast. Er is altijd tijdsdruk. De betaling moet vandaag, het account wordt over een uur geblokkeerd. Haast schakelt het deel van je hoofd uit dat anders even zou nadenken.
3. Behulpzaamheid. De meeste mensen willen graag helpen. Iemand die zegt dat hij van de helpdesk is en even je code nodig heeft, gebruikt een eigenschap waar je collega's normaal om geprezen worden.
4. Bevestiging. Hoe meer het klopt met wat je verwacht, hoe minder je twijfelt. Een aanvaller die weet dat je net een pakket hebt besteld of dat er een factuur openstaat, heeft het grootste deel van zijn werk al gedaan.

Daar komt bij dat de kwaliteit van deze berichten enorm is gestegen. De taalfouten waar we vroeger op konden letten zijn weg, en een aanvaller kan met openbare informatie van je site en van LinkedIn precies benoemen wie wat doet in je bedrijf.

De vormen die je tegenkomt

Phishing per e-mail is de bekendste vorm, maar lang niet de enige. Het NCSC zet de verschillende soorten digitale fraude op een rij (opent in een nieuw tabblad). Dit is wat wij in het mkb het vaakst zien.

1. Factuurfraude. Een bestaande leverancier laat weten dat het rekeningnummer is gewijzigd. Vaak nadat de mailbox van die leverancier zelf is overgenomen, dus de mail komt écht van hun adres en hangt onder een echt gesprek.
2. Directiefraude. Iemand van de administratie krijgt een bericht van de eigenaar met het verzoek snel iets over te maken, meestal met de mededeling dat hij in een vergadering zit en niet kan bellen. Dat laatste zinnetje is het signaal.
3. Helpdeskfraude. Iemand belt namens de IT-leverancier of Microsoft over een probleem, en heeft daarvoor toegang of een code nodig. Dit werkt goed omdat er meestal echt weleens iemand belt.
4. Vermoeidheid bij tweestapsverificatie. Een aanvaller heeft je wachtwoord en vraagt tientallen keren om goedkeuring op je telefoon, vaak midden in de nacht. Uiteindelijk drukt iemand op akkoord om ervan af te zijn.
5. Gewoon binnenlopen. Iemand met een doos in zijn handen die achter een collega aan naar binnen loopt, wordt zelden tegengehouden.

Het patroon herkennen

Letten op kenmerken van een mailtje helpt, maar het loopt achter de feiten aan, want de vorm verandert steeds. Wat niet verandert is het patroon. Vraag je bij een verzoek drie dingen af.

1. Word ik gehaast? Echte urgentie bestaat, maar dan is er ook een echte reden. Als de haast vooral in de toon zit en niet in de zaak, is dat verdacht.
2. Wordt mij gevraagd langs de normale route heen te gaan? Niet bellen maar mailen, niet via het portaal maar via deze link, niet overleggen met een collega omdat het vertrouwelijk is. Elke keer dat je gevraagd wordt de gebruikelijke weg over te slaan, is dat de belangrijkste aanwijzing die er is.
3. Zou dit erg zijn als het niet klopt? Bij een betaling, een wachtwoord of toegang tot een systeem is het antwoord ja. Dan is vijf minuten controle altijd goedkoper dan het alternatief.

Gaat het specifiek om een mail, dan staan de kenmerken waar je op let in phishing herkennen. Dat artikel gaat over het bericht, dit artikel gaat over het patroon erachter.

Wat het kansloos maakt

Bewustwording alleen is te mager. Mensen hebben het druk en hebben een slechte dag, en dan is oplettendheid geen betrouwbare beveiliging. Wat wel werkt is een omgeving inrichten waarin één verkeerde beslissing niet meteen een datalek is. Het NCSC verzamelt daar concrete maatregelen (opent in een nieuw tabblad) voor, en het Digital Trust Center legt de fraudevormen uit (opent in een nieuw tabblad) in gewone taal.

Dit is de volgorde die wij aanhouden.

1. Maak terugbellen de regel, niet de uitzondering. Elke wijziging van een rekeningnummer en elke ongebruikelijke betaalopdracht wordt gecontroleerd via een nummer dat je zelf al had. Niet het nummer uit het bericht. Zet dat op papier, zodat het beleid is en geen wantrouwen.
2. Zet tweestapsverificatie aan die niet over te dragen is. Een code uit een sms of een app kan iemand doorgeven aan een aanvaller aan de telefoon. Een passkey of een sleutel kan dat niet, want die werkt alleen op de echte site. Zie multifactor-authenticatie instellen en wachtwoordmanagers en passkeys.
3. Beperk wat één account kan. Wordt er toch een account overgenomen, dan bepaalt de omvang van de rechten hoe groot het lek wordt. De meeste mensen hebben in de loop van de jaren veel meer toegang gekregen dan ze gebruiken, zie rechten opruimen in Microsoft 365.
4. Maak je eigen domein moeilijk na te doen. Met de juiste instellingen kan een aanvaller geen mail versturen die van jouw adres lijkt te komen. Dat beschermt vooral je klanten en leveranciers, zie DMARC, SPF en DKIM.
5. Zorg dat melden veilig is. Dit is de goedkoopste maatregel en meestal de laatste die geregeld wordt. Iemand die denkt dat hij een fout heeft gemaakt moet dat binnen een minuut kunnen zeggen zonder gedoe. Elk uur dat een overgenomen account onopgemerkt blijft, kost meer dan het gesprek dat je wilde vermijden.
6. Oefen het een keer. Een korte test met een nepbericht laat zien waar het misgaat, en wat je daarna bespreekt blijft veel beter hangen dan een presentatie. Doe het aangekondigd en zonder namen erbij, anders levert het alleen wrok op.

Gaat het toch mis, dan telt vooral de eerste paar uur. Wat je dan doet staat in het eerste uur na een ransomware-aanval, en de meeste stappen daaruit gelden ook bij een overgenomen mailbox.

Houd er verder rekening mee dat een datalek gemeld moet worden bij de Autoriteit Persoonsgegevens, in principe binnen tweeënzeventig uur nadat je ervan weet. Dat is kort, en het is een stuk minder kort als je vooraf hebt vastgelegd wie dat doet.

Wat wij hierin doen

Wij zijn geen trainingsbureau en gaan je mensen niet vertellen dat ze beter moeten opletten. Wat wij wel doen is de omgeving zo inrichten dat oplettendheid niet de laatste verdedigingslinie is.

In de praktijk is dat tweestapsverificatie die echt bestand is tegen phishing, rechten die kloppen met wat iemand doet, mailinstellingen die misbruik van je domein tegenhouden, en meldingen die bij ons binnenkomen als er iets geks gebeurt met een account. Wil je weten hoe je ervoor staat, dan is dat waar onze IT-consultancy mee begint. We kijken naar je omgeving, benoemen waar één fout te veel gevolgen heeft, en zetten er een volgorde in.