De mens steeds vaker het doelwit bij cyberaanvallen. En nu?

Zo’n 6,2 miljoen Odido accounts. Gestolen door criminelen die binnenkwamen via het account van klantenservicemedewerkers. Eerst een phishingmail om het wachtwoord te bemachtigen, zo melden bronnen aan de NOS, daarna een telefoontje, waarbij ze zich voordeden als de ICT-afdeling. Ze overtuigden de werknemers om hun frauduleuze inlogpoging goed te keuren en zo een extra beveiligingsstap te omzeilen.

Geen geavanceerde malware. Geen technisch lek. Een mail en een telefoontje, precies op het juiste moment. Dat is wat phishing en social engineering zo gevaarlijk maakt: het richt zich niet op je systemen. Het richt zich op je personeel.

Gedrag boven techniek

Firewalls, encryptie en multi-factor authenticatie zijn stuk voor stuk waardevolle beveiligingstechnieken. Maar ze zijn slechts zo sterk als de werknemer die eromheen wordt geleid. Hackers slagen steeds vaker via menselijke psychologie, in plaats van via een technisch lek. Ze weten dat werknemers behulpzaam willen zijn en spelen in op autoriteit, tijdsdruk en routine.

Nieuwe technologie versterkt die aanpak. Aanvallers gebruiken generatieve AI om foutloze phishingmails te schrijven en geloofwaardige deepfake-stemmen te maken. Daarmee vergroten ze de kans dat helpdesks of werknemers een verzoek vertrouwen.

Een ogenschijnlijk legitiem verzoek, een urgente toon en één verkeerde inschatting is genoeg. Cybersecurity draait daarom voor een groot deel om menselijk gedrag. En juist in dat gedrag zit de grootste kwetsbaarheid.

Weten is iets anders dan doen

Veel organisaties gaan ervan uit dat hun werknemers “het wel weten”. Een keer per jaar een cybersecuritytraining, beleid vastgelegd, klaar. Maar weten is iets anders dan doen. En doen onder druk is weer iets anders dan doen in een rustige trainingsomgeving.

De vraag is niet of jouw werknemers weten wat phishing of social engineering is. De vraag is of ze het herkennen op het moment dat het er echt toe doet. Tijdens een drukke werkdag, met een urgente toon aan de telefoon en een “collega” die wacht. Als ze even niet scherp zijn, zijn de gevolgen niet te overzien. Dat beleid met die jaarlijkse training? Dat houdt ze niet het hele jaar alert… 

Alertheid slijt

Na een cybersecurity training is iedereen scherp. Phishingmails worden herkend. Verdachte telefoontjes ook. Maar enkele maanden later? De dagelijkse drukte neemt het over, procedures worden vanzelfsprekend en nieuwe collega’s zijn nog niet up to date. Alertheid slijt, stilletjes, zonder dat iemand het doorheeft. En precies daar ontstaat ruimte voor iemand met een goed verhaal. Het risico op een succesvolle phishing- of social engineering-aanval groeit daardoor enorm.

Cybersecurity-awareness is geen vast gegeven. Het is een conditie die in stand gehouden moet worden. Zonder zichtbaarheid en herhaling zakt het niveau, en verdwijnt de scherpte.

Continu trainen én meten

Netpresenter Smart Campaigns maakt van cybersecurity-awareness een doorlopend proces. Geen jaarlijkse sessie, maar een campagne die werknemers continu alert houdt op actuele dreigingen. Via PCs, mobiele apparaten en TV schermen ontvangen werknemers korte, gerichte boodschappen. Over phishing, over social engineering, over wat te doen bij een verdacht verzoek en ga zo maar door.

Cruciaal: je zendt niet alleen, je meet ook. Kennischecks laten zien of de boodschap daadwerkelijk is aangekomen. Je ziet hoe het kennisniveau zich ontwikkelt, ontdekt waar extra aandacht nodig is en stuurt bij voordat een zwakke plek wordt uitgebuit. Dit kan allemaal volledig geautomatiseerd aan de hand van AI Agent technologie.

Ontdek hoe Smart Campaigns werkt. Doe vandaag nog een Guided Tour of boek een demo met een van onze experts.

Van kwetsbare schakel naar eerste verdedigingslinie

Techniek blijft essentieel. Maar zonder continue alertheid van werknemers is elke organisatie kwetsbaar. Cyberaanvallen richten zich steeds meer op de mens. Phishing en social engineering spelen daarbij een belangrijke rol. De vraag is niet of jouw organisatie ooit wordt getest, maar hoe goed jouw werknemers zijn voorbereid wanneer dat moment komt. Door cybersecurity-awareness training continu zichtbaar en meetbaar te maken, bouw je aan een cultuur waarin alertheid de norm is.

Bronnen: NOS (februari 2025), Security.nl, BusinessWise