De verschillende gezichten van e-mailbedreigingen

E-mailscams zijn er in alle soorten en maten. Sommige zijn zo overduidelijk dat ze lachwekkend zijn - er is geen enkele moeite gedaan om de scam te verhullen.

Maar denk niet dat ze allemaal zo zijn. E-mailscams lijken alleen maar slinkser en creatiever te worden. Dit zijn het soort scams waar zelfs de meest computervaardige gen-z'er, die is opgegroeid slapend op een iPad, nog eens goed naar zou kijken voordat die het doorheeft. Waar je, als ze niet zo duivels waren, misschien zelfs een stap terug zou doen en de aanpak zou bewonderen. We gaan je laten zien hoe je phishing en andere veelvoorkomende e-mailscams kunt herkennen en je ertegen kunt beschermen.

Een korte trip down memory lane

Velen van ons herinneren zich de allervroegste dagen van e-mailscams nog — gouden tijden waarin we zowel naïever waren, maar ook minder vertrouwend tegenover e-mails. Wanneer we een scam ontvingen, lazen we die met verwarde interesse en probeerden we te begrijpen waarom de afzender dacht dat wij de juiste persoon waren om om hulp te vragen.

Wie herinnert zich The Spanish Prisoner nog? Een ongelukkige ziel met grote rijkdom, die wanhopig onze hulp nodig had om zijn losgeld te betalen zodat hij uit de gevangenis kon worden vrijgelaten. Grappig genoeg dateert deze scam zelfs van vóór e-mail, met oorsprong in het begin van de 19e eeuw. Een eigenzinnige internetsurfer heeft ergens blijkbaar besloten die te digitaliseren.

Tegenwoordig spelen e-mailscams veel meer in op de sterke punten van hun digitale formaat. In tegenstelling tot sommige OG-scams maken ze gebruik van voordelen die het internet in de loop der jaren is gaan bieden — zoals de mogelijkheid om eenvoudig online betalingen te verwerken, een grotere afhankelijkheid van e-mail voor onze belangrijkste communicatie en de evolutie van sociale media, om er maar een paar te noemen.

Aanwijzingen van een scam, meteen vanaf het begin

Voordat we de verschillende soorten e-mailscams nader bekijken, gaan we enkele algemene regels delen die je kunt gebruiken om een e-mailscam/spam te helpen herkennen — omdat ze allemaal gemeenschappelijke elementen delen — een afzender, een onderwerpregel, hoofdtekst en misschien wel het belangrijkst, de noodzaak om gelezen en geloofd te worden.

Bedrijfs-/afzendernaam

Let op:

1. Typefouten of onjuiste schrijfwijze — Paypal vs. PayPal.

2. Iets dat overdreven beschrijvend of onwaarschijnlijk aanvoelt — AA Car Emergency vs. AA.

3. Bedrijven waar je niet winkelt/geen zaken mee doet — Een bericht van Barclays terwijl je bankiert bij Lloyds.

4. Alles wat vreemd lijkt — Van symbolen en bizar genoemde bedrijven tot vreemde spatiëring — soms voelt er gewoon iets niet goed aan bij de afzender.

E-mailadres van afzender

Let op:

1. Een incongruent e-mailadres — Iets dat niet past bij de bedrijfsnaam.

2. Lookalikes — Een adres dat is ontworpen om op dat van het echte bedrijf te lijken. Dit kan het domein zijn (@paypalcare.com) of de TLD (@paypal.club).

3. Fouten— Typefouten of andere onregelmatigheden in het adres.

Onderwerpregels

Let op:

1. Zinnen die urgentie moeten oproepen — ‘Waarschuwing: laatste betalingsherinnering’.

2. Taal die te veel belooft — ‘Verdien £1000 in vijf minuten’.

3. Taal die een sterke emotionele reactie oproept — ‘Je bent aangenomen! Begin morgen!’

4. Typefouten — Oplichters staan niet bekend om hun goede grammatica.

5. Overmatig gebruik van leestekens of emoji's — Weinig echte bedrijven gebruiken die.

6. De aanwezigheid van ‘Re’ — Kan worden gebruikt om te suggereren dat je eerder hebt gereageerd terwijl dat niet zo is.

7. Knoppen en bijlagen— Klik nooit op knoppen en download geen bijlagen in verdachte e-mails.

Hoofdtekst

Let op:

1. Ongeloofwaardige beloftes— Vergelijkbaar met de versie in de onderwerpregel, maar in de hoofdtekst is er ruimte voor uitwerking, wat de kans biedt om leugens overtuigender te maken.

2. Oproepen tot actie die om persoonlijke informatie vragen — Vooral adres- of kaartgegevens.

3. Verwijzingen naar dingen die je je niet herinnert— Van gebeurtenissen tot diensten die je nooit hebt ontvangen

4. Imitatie— Iemand beweert een vriend of familielid te zijn, maar klinkt niet als zichzelf.

Nu je wat achtergrond hebt over hoe oplichters verschillende delen van een e-mail kunnen manipuleren, laten we specifieke voorbeelden bekijken.

Malware

Voor velen zijn malware-aanvallen waarschijnlijk het eerste soort malafide e-mail geweest waar we echt bang voor waren. Toen noemden we ze waarschijnlijk gewoon e-mailvirussen. Je opent het, je scherm wordt zwart. Game over. Dat soort dingen.

In werkelijkheid omvat malware een grote verscheidenheid aan kwaadaardige aanvallen — en sommige daarvan zijn eerlijk gezegd een stuk enger dan een snelle computerdood.

Toetsaanslagen monitoren? Je CPU leegtrekken zonder dat je het weet? Je bespioneren? Ervoor zorgen dat er elke vijf minuten dubieuze advertenties opduiken? Ja, malware omvat een grote verscheidenheid aan kleine programma's die zich zonder jouw medeweten in je computer nestelen, en hun functies variëren van dingen die je associeert met louche grappenmakers tot regelrechte criminelen. Ze zijn ontwijkend en vaak lastig te verwijderen — als je al weet dat ze er zijn.

Hoe je malware detecteert

Als je een van de hierboven genoemde symptomen ervaart, is de kans groot dat het malware is. Dit kan via een e-mail zijn gekomen — maar niet per se. Er zijn ook andere manieren waarop deze programma's zich in je computer kunnen nestelen — downloads, dubieuze websites en zelfs malafide hardwareapparaten. Als je ooit een USB-stick op straat vindt, kijk dan niet wat erop staat.

Bescherm jezelf tegen malware

Met het risico het voor de hand liggende te zeggen: probeer malwaredetectiesoftware. Maar kies wel iets betrouwbaars.

Als je Googelt hoe je malware in de eerste plaats kunt voorkomen, is het belangrijkste advies om antivirussoftware te installeren. Persoonlijk ken ik niemand die dit nog heeft gedaan sinds eind jaren 2010, maar wie ben ik om de totaliteit van menselijke kennis en massa-ervaring, gehomogeniseerd tot een antwoord van één regel door Gemini, geserveerd in een fractie van eenfractie van een seconde, tegen te spreken?

Dat gezegd hebbende, is de dreigingsbescherming die besturingssystemen bieden over het algemeen beter dan in de beginjaren, vooral Windows wordt bijgewerkt om tegen bedreigingen te beschermen, maar nog belangrijker is dat veel e-mailsoftware het werk voor ons doet door verdachte e-mails eruit te filteren voordat ze ons bereiken.

Het is een goed idee om een e-mailprovider te zoeken die goede bescherming tegen malware promoot en je e-mails scant voordat ze je bereiken. Dit is vooral goed als het gaat om het vermijden van psychologische aanvallen (en daar komen we zo op terug).

Als we het hebben over bescherming in plaats van preventie, is het een goed idee om regelmatig back-ups te maken, voor het geval je door een van deze aanvallen wordt getroffen. Persoonlijk raad ik iets aan als Mega Sync, dat elke keer wordt bijgewerkt wanneer je een bestand opslaat.

Phishing

Tegenwoordig is de kans het grootst dat je een phishing-scam via e-mail tegenkomt. Waarom? Omdat we er, net als voor een pakkende melodie of de geur van de lente, allemaal vatbaar voor zijn. Maar hoe herken je phishing?

Phishingaanvallen zijn effectief vanwege hun veelzijdigheid. Soms is phishing niet moeilijk te herkennen. Het kan van alles zijn: letterlijk alles wat iemand ertoe brengt zijn persoonlijke gegevens in te voeren. Denk aan elke reden waarom je je gedwongen zou kunnen voelen om je persoonlijke gegevens te delen of iemand geld te sturen, en het heeft het potentieel om een phishing-e-mail te worden.

Hier zijn slechts een paar voorbeelden, en houd in gedachten dat de sleutel tot phishing is dat al deze e-mails er echt uitzien, maar nep zijn:

1. Melding voor het opnieuw instellen van wachtwoord.

2. Vul ontbrekende bankgegevens in.

3. Vul je postadres aan om bezorging mogelijk te maken.

4. Verleng je abonnement.

5. Je bent winnaar van een wedstrijd!

6. Een vriend in nood die om hulp vraagt.

7. Melding van belastingteruggave.

8. Verzoek om liefdadigheidsdonaties.

Als je nog nooit een phishing-scam hebt gezien, ben je dan wel een vis? Ze zijn zo alomtegenwoordig dat het moeilijk is om je e-mail zonder hen voor te stellen. Maar er is meer dan één manier om te phishen…

Spear phishing en whaling

Spear phishing en whaling richten zich op specifieke personen, vaak met agressievere tactieken.

Spear phishing gebruikt persoonlijke kennis, meestal verkregen uit verschillende bronnen, om overtuigendere e-mails op te stellen. Omdat het is geschreven met persoonlijke informatie, kan het verwijzen naar echte vrienden, situaties of zelfs overtuigender een bank (enz.) imiteren. Als je denkt dat dit jou waarschijnlijk niet zal overkomen, houd er dan rekening mee dat de meeste mensen meer openbaar toegankelijke informatie online hebben dan ze beseffen.

Als iemand zich voordeed als je vriend en verwees naar een heel specifieke gebeurtenis waar jullie tien jaar geleden allebei bij waren, waarom zou je het dan niet geloven? Het kan even duren voordat je je herinnert dat je er in detail over hebt gepost op Facebook en dat dat bericht openbaar zichtbaar is. Wanneer diegene je vraagt om geld te lenen, steek je misschien een helpende hand toe.

We zijn allemaal vatbaar voor spear phishing, wat het gevaarlijker maakt dan de meer voor de hand liggende scams. Een gelukkig voorbehoud is dat het onderzoeksniveau dat nodig is om een spearphishing-scam succesvol uit te voeren, voor de meeste scammers afschrikwekkend is. Het is makkelijker om hun kansen te spreiden met een massa-e-mail waarop minder mensen zullen reageren. Maar is dat waar AI in de toekomst om de hoek komt kijken? We moeten waakzaam blijven.

Whaling

Dus, wat is whaling? In veel opzichten is een whalingaanval vrijwel hetzelfde als spear phishing, maar dan specifiek gericht op vermogende personen, zoals CEO's.

De trieste realiteit is dat hun status hen zowel betere doelwitten maakt om tijd in te investeren, als dat andere factoren (zoals hun rijkdom, verantwoordelijkheid, gebrek aan tijd en grote netwerk) betekenen dat er verschillende potentiële zwakke punten zijn om uit te buiten. Misschien hoeven ze bijvoorbeeld alleen een PA of secretaresse ervan te overtuigen dat ze de goedkeuring van de CEO hebben. Het lijkt er dus op dat commerciële whaling altijd iets slechts is.

Hoe je je beschermt tegen spear phishing en whaling

Naast wat hierboven in onze algemene gids staat, moet je ook sterke spamfiltering instellen. De menselijke factor is echt waar phishing-e-mails in uitblinken. Als malware een simpele truc is, dan vereist phishing op een bepaald niveau dat we medeplichtig zijn. We moeten onze informatie tenslotte zelf weggeven. Zoals we hebben besproken, doet het dit door een beroep te doen op onze emotionele reactie.

Dus ervoor zorgen dat we er überhaupt nooit mee in aanraking komen, is de sterkste manier om het te bestrijden. Spamfilters kijken naar meerdere elementen bij het beoordelen van een e-mail die wij als mensen niet kunnen. Ze vergelijken zwarte lijsten, bekende gedragspatronen en zelfs een methode die bekendstaat als Bayesiaanse filtering. Hierbij wordt de inhoud van een e-mail vergeleken met bekende spam versus legitieme e-mails om de waarschijnlijkheid te berekenen dat het spam is. Goede spamfilters houden ook rekening met wat andere gebruikers als spam markeren, waardoor een zogenaamde gebruikersfeedbacklus ontstaat.

Gecompromitteerde zakelijke e-mail

Iets anders dan alles wat we tot nu toe hebben bekeken: dit komt vanuit de tegenovergestelde hoek — het idee dat een legitiem e-mailaccount is gecompromitteerd. Het hoeft geen zakelijk account te zijn, maar voor dit onderdeel zijn er interessantere factoren om over te praten als we ons voorstellen dat het dat wel is.

Als een scammer illegaal toegang kan krijgen tot een zakelijk e-mailaccount, kan die zich voordoen als medewerker om geld te vragen, of zelfs toegang krijgen tot andere interne systemen die gevoelige gegevens kunnen bevatten.

Het compromitteren van een zakelijk account speelt ook in op een andere sociale eigenaardigheid die in veel bedrijven voorkomt, vooral grotere: het is onwaarschijnlijk dat elk personeelslid iedereen kent. Dit, gecombineerd met het feit dat van mensen wordt verwacht dat ze beleefd zijn binnen een werkomgeving, betekent dat deze e-mails extra voordelen hebben vergeleken met privéaccounts.

Hoe je je hiertegen beschermt

Ervoor zorgen dat alle medewerkers tweefactorauthenticatie gebruiken (e-mail 2FA) en sterke wachtwoorden kiezen, verkleint het risico op gestolen/gehackte accounts aanzienlijk. 2FA zorgt ervoor dat de accounthouder altijd weet of iemand probeert in te breken, en een sterk wachtwoord maakt brute-force-aanvallen moeilijker.

Je kunt de kans op toekomstige problemen ook verkleinen door de accounts van medewerkers die het bedrijf verlaten onmiddellijk te deactiveren. Een kerkhof van ongebruikte accounts die stof liggen te verzamelen is gewoon een ongeluk dat staat te gebeuren.

Valse facturen

Een van de thema's die je misschien opvallen, is de uitbuiting van verschillende emotionele extremen. Tot nu toe hebben we gekeken naar de angst of onzorgvuldigheid van een CEO en de vermeende onverschilligheid van de ene medewerker tegenover de andere. Laten we nu woede proberen.

Iemand beweert dat je hen geld schuldig bent en eist onmiddellijke terugbetaling. Ze zijn boos, zeggen dingen waardoor je aan je eigen herinnering gaat twijfelen, of creëren een situatie waarvan je niet zeker weet of die niet echt is. De venijnigheid en woede lopen zo hoog op dat betalen bijna makkelijker lijkt.

Voor velen van ons voelt dit misschien niet zo waarschijnlijk, maar misschien is dat juist het ergste eraan: de kans is groot dat ‘wij’ niet hun doelwit zijn. Hun succes zal liggen bij de kwetsbaren. Degenen die zich het misschien echt niet kunnen herinneren, of vreemden meer vertrouwen.

Preventie

Als we ervan uitgaan dat wij geen willekeurige facturen betalen die we per e-mail ontvangen, is dit misschien een goed moment om voor te stellen te praten met mensen in je leven die online minder ervaren zijn. Vraag of ze hulp nodig hebben bij het herkennen van scams, en leg uit dat alleen omdat iemand geld eist, hun claim nog niet legitiem is. We moeten tenslotte voor elkaar zorgen, en niemand wil zien dat iemand recht in een overduidelijke scam loopt.

Er zijn bronnen waarnaar je mensen kunt verwijzen die hen er op een gebruiksvriendelijke manier doorheen kunnen leiden.

Scams met vacatures

In tegenstelling tot sommige andere kunnen deze zelfs voor de meest ervaren onder ons lastig te herkennen zijn. Een reden hiervoor is dat ze niet in het vacuüm van e-mail bestaan. Als een van ons zomaar uit het niets een e-mail zou ontvangen waarin stond dat we een baan hadden gekregen, zouden we meteen weten dat het spam was. Maar wat als het niet zo was gegaan?

Wat als de scam begon als een echte vacature op een echte vacaturesite? Je solliciteerde erop naast een heleboel andere echte banen, en het leek net zo waarschijnlijk als al die andere. Dan is dit een e-mail die je verwacht — waar je zelfs op hoopt,. En net als bij spear phishing creëert dit een uitgebreidere kans voor een scam. Want jij bent nu een gewillige deelnemer — althans, in het begin.

Maar waaraan precies? Deze scams kunnen talloze vormen aannemen, maar in wezen vragen ze, net als de oude piramidespelen van vroeger, vooraf om geld onder het mom van het dekken van kosten, het aanschaffen van apparatuur of zelfs training voor de functie — en niets daarvan is echt. Soms kunnen er zelfs anderen in het systeem zitten die ook geloven dat het echt is, en dat kan legitimiteit suggereren waar die er niet is.

Hoe je een scam met een vacature herkent

Er zijn bepaalde aanwijzingen waar je op kunt letten wanneer je solliciteert, die erop kunnen wijzen dat de baan niet legitiem is:

1. Onrealistische salarissen — Als iets te mooi lijkt om waar te zijn, dan is dat waarschijnlijk ook zo.

2. Vage of onwaarschijnlijke banen — Zou iemand echt iemand nodig hebben of willen voor deze rol?

3. Geen sollicitatiegesprekken nodig — Of een gretig baanaanbod zonder due diligence.

4. Onprofessionele communicatie — Er wordt om meer gegevens gevraagd dan nodig zou moeten zijn.

5. Gebrek aan online aanwezigheid van het bedrijf — Of een bedrijf waarvan de website er wat dubieus uitziet. Stockfoto's, ongeloofwaardige reviews, geen echte inhoud — dat soort dingen.

Tegelijk wil je legitieme banen ook niet uitsluiten alleen vanwege een slecht opgestelde vacature. Dus het belangrijkste om op te letten is iedereen die om geld vraagt voordat je begint. Er zijn bijna geen gevallen waarin een baan zou vereisen dat je vooraf ergens voor betaalt, laat staan dat je gratis werkzaamheden verricht.

Hoe zeker je ook bent van het proces tot dat moment, zodra het gesprek over geld overmaken gaat, kun je ervan uitgaan — het is een scam.

Romancescams

Misschien wel de sterkste emotionele manipulatie van allemaal: hoe we ons voelen wanneer we verliefd zijn.

Ik heb persoonlijke ervaring met iemand op een datingapp die vroeg om geld te lenen (wat tegenwoordig waarschijnlijk de plek is waar dit soort scam het vaakst voorkomt). Het is niet zo ongewoon als je misschien denkt — en in sommige gevallen vinden we het misschien zelfs moeilijk om er überhaupt als een scam aan te denken…

De grenzen vervagen snel wanneer ons hart ons hoofd begint te overheersen. Misschien denkt een deel van ons zelfs: “misschien word ik voor de gek gehouden, maar wat is een tientje als het om liefde gaat?”. Maar die persoon kan de hele dag op de datingapp zitten. Als die tien mensen per dag zover krijgt om een tientje te doneren, dan is dat eigenlijk helemaal geen slecht loon. En het zou zeer zeker als een scam worden beschouwd.

Hoe je voorkomt dat je verliefd wordt op een romancescam

Met het risico dat ik als een liefdestante ga klinken: laat je niet leiden door je hart. Als je hoofd zegt dat het een scam is, dan is dat waarschijnlijk ook zo. Geef nooit geld aan iemand die je niet goed kent, hoeveel diegene ook beweert van je te houden. Het is een triest feit van het leven dat mensen extreme emoties gebruiken voor manipulatie.

Prijsscams

De meesten van ons herinneren zich waarschijnlijk nog wel dat we een flyer per post kregen waarop stond dat we een loterij hadden gewonnen en dat we een nummer moesten bellen om onze prijs op te eisen. Ik veronderstel dat het onvermijdelijk was dat ook dit een e-mail zou worden.

Er valt hier niet veel te zeggen dat niet al in de andere onderdelen is gezegd. Misschien kunnen we gewoon een levensmantra maken. Als een e-mail zegt dat je een prijs hebt gewonnen, dan heb je geen prijs gewonnen*.

*Tenzij je een prijs hebt gewonnen. Maar je hebt absoluut geen prijs gewonnen. Stop met aan die prijs te denken.

Preventie

Kijk, je hebt echt, echt geen prijs gewonnen. Koop een lot als het moet — maar druk op die spamknop.

Jezelf en anderen beschermen

Serieus gezegd: of het nu spam of scam is, het is echt geen lachertje. Mensen raken echt gewond, verliezen geld of voelen zich achteraf dom.

We hebben verschillende manieren voorgesteld om jezelf te beschermen, maar het komt eigenlijk neer op drie dingen:

• Schakel zoveel mogelijk beveiliging in

Wat je provider ook aanbiedt, of het nu 2FA, automatisch gegenereerde wachtwoorden of zelfs versleuteling is — noem maar op. Stel het in. Het maakt je account gewoon net iets moeilijker om te kapen.

• Kies een provider die beveiliging serieus neemt

Een provider met sterke software voor spambeheer en frequente beveiligingsupdates is waarschijnlijk je beste vorm van doorlopende bescherming als bedrijf. De meeste scams die we hebben beschreven beginnen en eindigen bij spambeheer. Als we ze nooit zien, vormen ze ook nooit een probleem.

• Blijf alert

Phishingscams blijven zich ontwikkelen. Ze richten zich op jou, niet op je inbox, dus jij bent je eigen beste verdediging.

Zijn er praktijken die jij gebruikt om niet in spam en scams te trappen? We horen ze graag! Laat hieronder in de reacties je gedachten of vragen achter