Wat is vishing?
Vishing betekent voice phishing: phishing via de telefoon. Bij een gerichte aanval bereidt de aanvaller het gesprek voor met openbare informatie over jou of je organisatie.
Twee richtingen
De aanvaller belt een medewerker en doet zich bijvoorbeeld voor als iemand van IT, de bank of een leverancier.
Of de aanvaller belt de servicedesk en doet zich voor als een medewerker met een nieuwe telefoon of een verlopen account. Het doel is dan een wachtwoord- of MFA-reset.
Zo verloopt zo'n gesprek
Fictief voorbeeldgesprek:
"Goedemorgen, je spreekt met IT. Ik zie dat je account opnieuw moet worden bevestigd. Er komt nu een melding op je telefoon. Kun je die even goedkeuren? Dan is het meteen opgelost."
"Ik had niets aangevraagd."
"Klopt, dit is een controle van onze kant. Anders kan je toegang straks verlopen."
De beller gebruikt bekende details, urgentie en behulpzaamheid. Het verzoek om een code voor te lezen of een MFA-melding goed te keuren is het beslissende moment.
Casus: MGM Resorts (2023)
Volgens berichtgeving gebruikten aanvallers informatie over een medewerker, onder meer van LinkedIn, om de helpdesk te bellen en toegang te krijgen. MGM schatte de impact in de eigen melding aan de Amerikaanse beurstoezichthouder op ongeveer 100 miljoen dollar.
Wat ENISA zag
Volgens ENISA kwam de groep ShinyHunters vaak binnen door zich telefonisch voor te doen als IT-medewerker en zo inloggegevens en MFA-codes los te krijgen.
Stemmen kunnen worden nagemaakt
Een bekende stem is geen bewijs dat de beller is wie die zegt te zijn. Lees meer over AI-phishing en deepfakes.
Herkennen
- Een onverwacht telefoontje over je beveiliging of account.
- Een verzoek om een code, een goedkeuring of het installeren van software.
- Haast of dreiging dat je toegang verliest.
- Een nummer dat bekend lijkt. Telefoonnummers kunnen worden vervalst.
Wat doe je?
Hang op en bel zelf terug via een nummer dat je al kende. Deel nooit codes. Lees hoe je een verzoek zelf verifieert. Heb je toch iets gedeeld of goedgekeurd? Lees wat je nu doet.
Voor organisaties: de servicedesk als poort
Gebruik een vaste identiteitscontrole bij elke reset en bel terug naar een geregistreerd nummer. Voer extra controle in voor kritieke functies en beheerders. Vertel medewerkers wat IT nooit vraagt.
Vragen voor bestuurders
- Wat moet iemand weten of hebben om bij onze servicedesk een MFA-reset te krijgen?
- Is dat moeilijker voor beheerders en bestuurders dan voor anderen?
- Weten medewerkers dat IT nooit om een code vraagt?
Bronnen
- MGM Resorts, 8-K-melding, oktober 2023.
- ENISA Threat Landscape 2026
Deze pagina bevat algemene informatie en is geen persoonlijk advies. Leading Digital is niet aansprakelijk voor schade die voortvloeit uit het gebruik van deze informatie. Volg bij een incident altijd de procedures van je eigen organisatie.