Cybersecurity Awareness Training

Cybersecurity Awareness Training

Introductie

Welkom bij deze Cybersecurity-awareness tool. De gemeente Breda vindt het belangrijk dat haar medewerkers op de hoogte worden gesteld van de hedendaagse cybersecurity gevaren/dreigingen. De reden hiervoor is dat er steeds weer nieuwe cyberdreigingen ontstaan en het is dan ook erg belangrijk dat medewerkers hiervan op de hoogte worden gesteld. Zo kunnen de bedreigingen eerder voorkomen worden. In deze trainingstool zullen er diverse onderwerpen behandeld worden die te maken hebben met cybersecurity; fraude en corruptie, persoonsgegevens, ransomware, datalekken en phishing. Per onderwerp wordt er de benodigde informatie verstrekt. Het uiteindelijke doel is hier om handelingsperspectieven te bieden. Elk onderwerp wordt afgesloten met een quiz. Alle vragen dienen goed te worden beantwoord om te slagen. De toets kan meerdere malen worden herhaald.

Fraude en corruptie

Mogelijke fraude of corruptie binnen de gemeente is een ernstige zaak. Hier is in de landelijke media vaak aandacht voor. Mogelijke fraude of corruptie zaken worden heel serieus genomen door de recherche.

Maar wat is fraude eigenlijk? Fraude is letterlijk de daad van 'opzettelijke misleiding om een onrechtmatig voordeel te verkrijgen’.

Een bekend voorbeeld was het samenspannen van een aantal ambtenaren die actief waren bij de Rotterdamse gemeente. Een aannemer betaalde de ambtenaren smeergeld en diende vervolgens valse facturen in voor ‘meerwerk’. Meerwerk dat niet was uitgevoerd, maar wel door de gemeente werd uitbetaald. Dit fraudeschandaal heeft de gemeente mogelijk meerdere miljoenen euro’s gekost en speelde eventueel al sinds 2013, 5 jaar voordat het ontdekt werd. De desbetreffende ambtenaren zijn op staande voet ontslagen en zijn door de gemeente voor de rechter gesleept.

Hier een voorbeeld van corruptie in het nieuws.

Hoe ga je fraude/corruptie tegen?

Zoals eerder gezegd is fraude of corruptie een ernstige zaak, maar wat doe je eraan om het te voorkomen? Wat hier van groot belang is het aanmoedigen van een bepaalde bedrijfscultuur. Een bedrijfscultuur die openheid voorop stelt is super belangrijk bij het tegengaan van fraude. Maak het bespreekbaar met je collega's en heb het erover met elkaar. Misschien zit je collega wel iets dwars en was hij/zij te bang om het te vertellen.

Perongeluk fouten maken bijvoorbeeeld, dat kan nou eenmaal gebeuren. Overigens kan deze openheid naar elkaar ook een ander effect hebben. Het kan misschien lullig klinken, maar als er op jouw afdeling fraude wordt gepleegd, weet je dit ook sneller. Als je dit doorhebt is het van groot belang diegene erop aan te spreken en sowieso naar je werkgever toe te stappen. Het is in ieder geval belangrijk dat je de fraudeur nooit moet gaan helpen. Dit zal negatieve gevolgen hebben voor de gemeente en voor jouw eigen carrière.

Clean desk policy

Je eigen werkplek moet goed onderhouden worden. Als jij met vertrouwelijke informatie werkt, geld voor jou de 'clean-desk policy'. Dit betekent in principe dat je je werkplek opgeruimd moet houden, zeker als je je werkplek even verlaat. Documenten dienen niet in het zicht te liggen en je vergrendeld je persoonlijke computer.

Ondanks dat je misschien je collega's vertrouwt, is het alsnog belangrijk om je aan deze regels te houden. Er kan bijvoorbeeld iemand langslopen uit een andere afdeling, of iemand die schoonmaker is. Je weet maar nooit wat ze met de documenten kunnen of willen doen.

Ook al gaat het over eventjes naar het toilet gaan, je mag geen vertrouwelijke informatie in het zicht laten liggen, je weet maar nooit wie het misschien kan kezen. Misschien neemt de mevrouw die de afvalbakken komt legen de documenten wel mee, of mailt ze de documenten die openstaan op je computer wel naar zichzelf toe.

Je kan nooit voorzichtig genoeg zijn!

Wat als je je werkgever verdenkt van fraude of corruptie?

Dit is een lastige situatie. In normale situaties zou je je werkgever juist vertrouwen met verdenkingen van corruptie. Maar nu is deze persoon juist degene die zich raar gedraagd.

Belangrijk in deze situatie (eigenlijk in iedere situatie die over fraude of corruptie gaat) is dat je niet te gehaast met deze verdenking omgaat. Het kan zomaar zijn dat er persoonlijke dingen aan de hand zijn, spreek hier je werkgever of collega ook vooral op aan, gaat het wel? Hoe voel je je?

De moraal van het verhaal is dus dat je niet te snel conclusies kan trekken. Dit onderwerp kan negatieve gevolgen hebben voor iedereen die betrokken is. Kijk het even aan.

In het geval dat je zeker weet dat je werkgever fraudeur of corrupt is, is er de mogelijkheid het FIOD (De opsporingsdienst voor het opsporen van financiële fraude en belastingfraude) te contacteren. Zij zijn verantwoordelijk voor het vervolgen van fraudeurs of corruptie. Het is echter niet mogelijk om anoniem een klacht in te dienen, als je je dat afvraagt. Alle contactinformatie van het FIOD is op hun website te vinden.

Neem vooral een kijkje op hun website als het je interessant lijkt. De sectie 'FIOD in het nieuws' specifiek is erg interessant als je wat meer te weten wil komen over wat het FIOD doet.

https://www.fiod.nl/

Toets: Toets Fraude & Corruptie

Start

Persoonsgegevens

 

De Europese wet, Algemene Verordening Gegevensbescherming, wijst aan hoe er met persoonsgegevens en privacygevoelige informatie mee omgegaan moet worden.

Er zijn verschillende soorten persoonsgegevens. Denk hierbij aan adres, woonplaats, naam, vingerafdrukken en e-mailadressen.

Er zijn ook bijzondere persoonsgegevens. Dit zijn gevoelige gegevens, denk hierbij aan ras, godsdienst, politieke opvattingen of gezondheid van een persoon.

Wat is AVG?

Het kan gebeuren dat er na een incident persoonsgegevens verloren gaan. Denk hierbij aan het verliezen van een USB-stick of dat een laptop met belangrijke gegevens wordt gestolen. Dit wordt dan een datalek genoemd.

Wanneer na een datalek de kans ontstaat dat er grote ernstige gevolgen kunnen optreden voor het beschermen van de persoonsgegevens, dan moet er een melding gedaan worden bij de Autoriteit Persoonsgegevens (AP). Er ontstaat eerst een beveiligingslek, wat weer leidt tot een beveiligingsincident. Hierdoor ontstaat er een datalek, waarna een melding gedaan moet worden bij de Autoriteit Persoonsgegevens (tijdsbestek van 72 uur). Tot slot moeten de betrokkenen ingelicht worden over de situatie.

Er zijn ook een aantal meldingen die noodzakelijk zijn. Dit zijn:

De kans ontstaat dat gegevens misbruikt kunnen worden, inloggegevens, financiële gegevens, stigmatiserende gegevens en bijzondere gegevens.

Een datalek moet binnen 72 uur gemeld worden. Wanneer de datalek niet tijdig wordt gemeld, kan dit leiden tot een geldboete van max. 820.000 euro.

Eisen met betrekking tot het verwerken van persoonsgegevens volgens AVG

1. Persoonsgegevens mogen alleen verzameld en verwerkt worden wanneer hier een goede reden voor is. Of als de burger toestemming hiervoor geeft voor het verwerken van deze gegevens.

2. Het uiteindelijke doel moet behaald worden. Er mogen dus niet meer gegevens worden verwerkt dan wat noodzakelijk is.

3. De burger moet op de hoogte zijn over de verwerking van haar gegevens.

4. De gegevens mogen niet langer bewaard worden dan nodig is.

 

De Algemene Verordening Gegevensbescherming brengt op een lijn wat er gedaan mag worden met de persoonsgegevens. Daarnaast zorgt de AVG ervoor wat de rechten zijn van de mens, als de organisatie ervoor kiest om de gegevens te verwerken.
De Algemene Verordening Gegevensbescherming brengt op een lijn wat er gedaan mag worden met de persoonsgegevens. Daarnaast zorgt de AVG ervoor wat de rechten zijn van de mens, als de organisatie ervoor kiest om de gegevens te verwerken.
De Algemene Verordening Gegevensbescherming kent zes grondslagen, dit zijn: - Er is toestemming verkregen van de desbetreffende persoon - Om een overeenkomst uit te kunnen voeren is het noodzakelijk om de gegevens ook te verwerken.
De Algemene Verordening Gegevensbescherming kent zes grondslagen, dit zijn: - Er is toestemming verkregen van de desbetreffende persoon - Om een overeenkomst uit te kunnen voeren is het noodzakelijk om de gegevens ook te verwerken.
- Door de wettelijke verplichting is het noodzakelijk om de gegevens te verwerken - Om de vitale belangen in bescherming te nemen, is het noodzakelijk om de gegevens de beschermen.
- Door de wettelijke verplichting is het noodzakelijk om de gegevens te verwerken - Om de vitale belangen in bescherming te nemen, is het noodzakelijk om de gegevens de beschermen.
- Om openbaar gezag of taak van algemeen belang uit te oefenen, is het noodzakelijk om gegevens te verwerken - Om het gerechtvaardigde belang te behartigen, is het noodzakelijk om de gegevens te verwerken.
- Om openbaar gezag of taak van algemeen belang uit te oefenen, is het noodzakelijk om gegevens te verwerken - Om het gerechtvaardigde belang te behartigen, is het noodzakelijk om de gegevens te verwerken.
De organisatie mag alleen persoonsgegevens verwerken wanneer er minimaal één grondslag aanwezig is.
De organisatie mag alleen persoonsgegevens verwerken wanneer er minimaal één grondslag aanwezig is.
Van deze zes grondslagen zijn er vier belangrijk voor gemeentes: - Wettelijke verplichting - Uitvoering overeenkomst - Toestemming - Gerechtvaardigd belang.
Van deze zes grondslagen zijn er vier belangrijk voor gemeentes: - Wettelijke verplichting - Uitvoering overeenkomst - Toestemming - Gerechtvaardigd belang.
Het is van belang om de persoonsgegeven goed te beveiligen. De Data Protection Officer zorgt ervoor dat de privacy van de klanten en medewerkers worden gewaarborgd.
Het is van belang om de persoonsgegeven goed te beveiligen. De Data Protection Officer zorgt ervoor dat de privacy van de klanten en medewerkers worden gewaarborgd.
Handelingsperspectieven: Het gebruik van wachtwoorden en gebruikersnamen vallen ook onder persoonsgegevens. Hackers gebruiken steeds meer trucjes om deze gegevens van personen te achterhalen. Het is daarom van belang om een goed wachtwoord op te bouwen, zodat het een lastigere taak wordt om achter de inloggegevens te komen. Bij een tweestapsauthenticatie wordt er gekeken naar drie stappen: - Iets wat u weet: Denk hierbij aan pincodes - Iets wat u hebt: Denk hierbij aan de telefoon of creditcards - Iets wat u bent: Denk hierbij aan vingerafdrukken Veel mensen gebruiken Social Media. De meeste hiervan zijn gratis. Echter wordt dit wel betaald met hun persoonsgegevens. Het is hierdoor belangrijk om geen vertrouwelijke informatie via Social Media te delen, zodat het lekken van de gegevens voorkomen kan worden.
Handelingsperspectieven: Het gebruik van wachtwoorden en gebruikersnamen vallen ook onder persoonsgegevens. Hackers gebruiken steeds meer trucjes om deze gegevens van personen te achterhalen. Het is daarom van belang om een goed wachtwoord op te bouwen, zodat het een lastigere taak wordt om achter de inloggegevens te komen. Bij een tweestapsauthenticatie wordt er gekeken naar drie stappen: - Iets wat u weet: Denk hierbij aan pincodes - Iets wat u hebt: Denk hierbij aan de telefoon of creditcards - Iets wat u bent: Denk hierbij aan vingerafdrukken Veel mensen gebruiken Social Media. De meeste hiervan zijn gratis. Echter wordt dit wel betaald met hun persoonsgegevens. Het is hierdoor belangrijk om geen vertrouwelijke informatie via Social Media te delen, zodat het lekken van de gegevens voorkomen kan worden.

Om nog beter met de persoonsgegevens om te gaan, om daarnaast een datalek ook te voorkomen, is het ook van belang om goed en tijdig te communiceren met elkaar. Communicatie is een zeer essentieel onderdeel als het gaat om privacygegevens. Wat als ik even niet weet hoe ik het moet oplossen, vraag ik het dan aan mijn collega's of zoek ik het zelf uit? Door goed met elkaar te praten over het verwerken van persoonsgegevens, zorgt dit automatisch ook voor dat de kans verkleind wordt dat een datalek zal gaan ontstaan. 

Clean desk policy

Je eigen werkplek moet goed onderhouden worden. Als jij met vertrouwelijke informatie werkt, geldt voor jou de 'clean-desk policy'. Dit betekent in principe dat je je werkplek opgeruimd moet houden, zeker als je je werkplek even verlaat. Documenten dienen niet in het zicht te liggen en je vergrendelt je persoonlijke computer. Denk bijvoorbeeld hier ook aan dat er soms vertrouwelijke informatie via de mail worden verstuurd.

Of wanneer de computer niet vergrendeld is, kunnen medewerkers of onbevoegden de verschillende mails lezen. Het is hierdoor belangrijk dat de medewerkers weten en begrijpen dat het bureau opgeruimd moet zijn en dat de computers/laptops altijd vergrendeld moeten zijn wanneer diegene zijn/haar werkplek verlaat. Ook al gaat het over eventjes naar het toilet gaan, je mag geen vertrouwelijke informatie in het zicht laten liggen, je weet maar nooit wie het misschien kan lezen. Misschien neemt de mevrouw die de afvalbakken komt legen de documenten wel mee, of mailt ze de documenten die openstaan op je computer wel naar zichzelf toe. Je kan niet voorzichtig genoeg zijn.

Het is hierbij dus belangrijk dat de medewerkers zich houden aan de AVG en dat er geen rondslingerende documenten op het bureau liggen. Het is van belang dat de medewerkers goed begrijpen dat het veel gevaren met zich mee kan brengen. Daarom is communicatie ook een goed onderdeel binnen de AVG. Dagelijkse terugkoppeling van de leidinggevende kan een goede manier zijn om de communicatie nog verder aan te scherpen, zodat eventuele gevaren/dreigingen voorkomen kunnen worden.

Toets: Toets Persoonsgegevens

Start

Ransomware

Wat is ransomware?

Ransomware is een een vorm van malware dat wordt gebruikt om computers te blokkeren of bestanden te versleutelen. Criminelen gebruiken deze techniek met als doel om mensen geld afhandig te maken. Op het moment dat een computer door middel van deze kwaadaardige software is versleuteld, heb jij geen toegang meer tot jouw gegevens en kunnen criminelen dit gebruiken als chantagemiddel. Meestal heb je dan 2 keuzes: Of je betaalt het geld, of je zult je gegevens nooit meer terugkrijgen. Bij de gemeente Breda zal dit ook voor kunnen komen. Malware zou het systeem binnen kunnen dringen en zou potentieel gegevens kunnen versleutelen. Het is dan ook van belang dat de medewerkers van de gemeente weten hoe ze dit kunnen voorkomen en hoe ze hier mee om moeten gaan.

Wat is ransomware en wat doe je er tegen?

Welke soorten ransomware zijn er?

Onderstaande voorbeelden zullen je een beter beeld over ransomware geven. Voor de toets hoef je deze verschillende vormen niet uit je hoofd te kennen.

Cryptomalware (of encryptor): dit komt het meest voor en kan enorme schade aanrichten. De bekendste gebeurtenis is WannaCry. Dit heeft niet alleen meer dan $50.000 van de slachtoffers afgeperst, het bedreigde ook het leven van duizenden mensen bij ziekenhuisaanvallen over de hele wereld, waardoor medisch personeel geen toegang had tot patiëntgegevens. Het kluisje kan het besturingssysteem infecteren en je volledig buitensluiten. Je hebt dan geen toegang meer tot uw applicaties en bestanden.
Cryptomalware (of encryptor): dit komt het meest voor en kan enorme schade aanrichten. De bekendste gebeurtenis is WannaCry. Dit heeft niet alleen meer dan $50.000 van de slachtoffers afgeperst, het bedreigde ook het leven van duizenden mensen bij ziekenhuisaanvallen over de hele wereld, waardoor medisch personeel geen toegang had tot patiëntgegevens. Het kluisje kan het besturingssysteem infecteren en je volledig buitensluiten. Je hebt dan geen toegang meer tot uw applicaties en bestanden.
Lockers: dit infecteert het besturingssysteem en sluit je volledig buiten. Je hebt dan geen toegang meer tot uw apps en bestanden en krijgt dit pas als er betaald is.
Lockers: dit infecteert het besturingssysteem en sluit je volledig buiten. Je hebt dan geen toegang meer tot uw apps en bestanden en krijgt dit pas als er betaald is.
Scareware: dit is een vervalste software (bijvoorbeeld antivirussoftware of schoonmaakprogramma's), die aangeeft dat er een probleem is met uw pc en geld vraagt om het probleem op te lossen. Sommige varianten blokkeren uw computer, terwijl andere je overweldigen met vervelende waarschuwingen en pop-upberichten.
Scareware: dit is een vervalste software (bijvoorbeeld antivirussoftware of schoonmaakprogramma's), die aangeeft dat er een probleem is met uw pc en geld vraagt om het probleem op te lossen. Sommige varianten blokkeren uw computer, terwijl andere je overweldigen met vervelende waarschuwingen en pop-upberichten.
Doxware (of leakware): dit kan gestolen informatie online publiceren als er niet op tijd betaald is. Iedereen bewaart privacygevoelige bestanden (van contracten en privédocumenten tot gênante foto's) op hun pc en het is gemakkelijk in te zien waarom deze dreiging paniek kan veroorzaken.
Doxware (of leakware): dit kan gestolen informatie online publiceren als er niet op tijd betaald is. Iedereen bewaart privacygevoelige bestanden (van contracten en privédocumenten tot gênante foto's) op hun pc en het is gemakkelijk in te zien waarom deze dreiging paniek kan veroorzaken.
RaaS (ransomware as a service): dit is een type malware waarbij een anoniem gehoste hacker een aantal dingen afhandelt in ruil voor een deel van de ransomware: ransomware verspreiden, betalingen ontvangen en bestanden decoderen.
RaaS (ransomware as a service): dit is een type malware waarbij een anoniem gehoste hacker een aantal dingen afhandelt in ruil voor een deel van de ransomware: ransomware verspreiden, betalingen ontvangen en bestanden decoderen.

De werking van ransomware 

1. Een virus wordt verzonden via een link of bestand.

2. Het virus dringt je computer of laptop binnen.

3. Het virus zoekt naar informatie op de computer.

4. Het virus blokkeert je computer/ laptop of versleuteld bepaalde bestanden.

5. Verzender van het virus vraagt losgeld om de computer/laptop of de bestanden vrij te geven.

Hoe voorkom je dat je slachtoffer wordt van een ransomware?

Voorkomen dat je slachtoffer wordt van ransomware is erg simpel. Zo zijn de meest logische oplossingen een goed antivirus op de pc hebben en nooit zomaar op links klikken die je niet kent of er onbetrouwbaar uitzien. Ook regelmatig backups maken, niet van onbekende sites downloaden en je software up to date houden zijn goede manieren om tegen te gaan dat je slachtoffer wordt.  

Wat moet je doen nadat je slachtoffer bent geworden van een ransomware?  

Als eerste moet je ervoor zorgen dat je computer of laptop ontkoppeld wordt van het internet. Op deze manier voorkom je dat het virus verspreid kan worden. Vervolgens probeer je met je antivirus het virus te verwijderen. Lukt dit niet, dan is het verstandig om een expert ernaar te laten kijken of anders de computer weg te doen. Lukt dit wel, dan moet de computer gereset worden waardoor alles op de computer gewist wordt. Wanneer alles op de computer gewist is kan je de back-up gebruiken om je bestanden terug te zetten op de computer.

Toets: Toets ransomware

Start

Datalekken

Bij een datalek gaat het om vernietiging, verlies, wijziging, of het delen van persoonsgegevens zonder dat dat de bedoeling was. Het moet dus gaan om een inbreuk op de beveiliging van persoonsgegevens. De persoonsgegevens zijn niet beschermd geweest, mogelijk verloren of onrechtmatig verwerkt. Een voorbeeld van een datalek is het kwijtraken van een USB-stick met daarop persoonsgegevens. Ook het doorsturen van persoonsgegevens naar een verkeerde ontvanger is een datalek. De meeste datalekken worden veroorzaakt door menselijke fouten.

 

In het onderstaande filmpje worden datalekken verder uitgelegd en gevisualiseerd.

Datalekken

Een datalek, wat nu?

Sommige datalekken zijn zo klein dat dit voor (bijna) geen schade zorgt. Andere datalekken daarentegen, hebben soms grote impact op veel mensen. Organisaties zijn verplicht om de schade zoveel mogelijk te beperken zodra zij op de hoogte zijn van het datalek. In sommige gevallen moeten de betrokkenen van een datalek (de mensen waarvan de persoonsgegevens zijn gelekt) van het datalek op de hoogte worden gesteld.

 

Registratieplicht datalekken

De AVG stelt strenge eisen aan de registratie van datalekken. Alle datalekken (groot of klein) moeten worden gedocumenteerd in een datalekregister.

 

Meldplicht datalekken

Ernstige datalekken moeten binnen 72 uur gemeld worden bij het Meldloket van de AP. Melden is verplicht wanneer het datalek een risico vormt voor de rechten en vrijheden van de betrokkenen (voor verdere uitleg, bekijk de guidelines meldplicht datalekken).

 

Boetes en maatregelen door Autoriteit Persoonsgegevens

Wanneer een ernstig datalek grote schade of impact heeft, kan de AP maatregelen en/of boetes opleggen. Denk hierbij aan het versterken van de beveiligingsmaatregelen. Daarnaast gaat de AP achterhalen hoe het datalek is ontstaan en of het datalek voorkomen had kunnen worden door de AVG na te leven. De AVG verplicht namelijk dat organisaties passende maatregelen nemen voor het beschermen van persoonsgegevens. Wanneer dit niet het geval is, mag de AP boetes opleggen.

 

Stappenplan bij het optreden van een datalek

Let op: Klik op de onderstreepte zinsdelen voor verdere uitleg

1. Zorg voor overzicht op de situatie.

2. Neem onmiddellijk maatregelen om de schade van het datalek te beperken. En schat de risico's in.

3. Bepaal of je het datalek wel of niet moet melden aan de Autoriteit Persoonsgegevens (AP). Zo ja, doe dit onmiddellijk.

4. Bepaal of je het datalek wel of niet moet melden aan de betrokken personen. Zo ja, doe dit zo snel mogelijk.

5. Registreer het datalek in jouw datalekregister.

 

'Voorkomen is altijd beter dan genezen'

 

Tips datalekken

1. Verwijder gevoelige gegevens die je niet meer nodig hebt.

2. Even werken op het netwerk van dat leuke koffiezaakje of een gast netwerk van een klant? Liever niet. Openbare netwerken zijn niet veilig en bieden een opening voor onbevoegden om toegang te krijgen tot jouw apparaat en gegevens.

3. Het versleutelen van je e-mail zorgt ervoor dat je kan voorkomen dat privacygevoelige gegevens met de verkeerde mensen worden gedeeld.

4. Installeer nooit eigen software. laat dit over aan de beheerder binnen de organisatie. De kans is namelijk groot dat hierbij ook onveilige software geïnstalleerd kan worden.

5. Beperk het aantal plekken waar je jouw gevoelige gegevens opslaat (zoals bijvoorbeeld wachtwoorden).

6. Neem deze trainingstool goed door om datalekken in de toekomst te voorkomen.

 

Toets: Toets datalekken

Start

Phishing

Wat is phishing?

Phishing is een vorm van cybercriminaliteit, waarbij criminelen als het ware vissen naar jouw persoonlijke gegevens. Het doel is hier om mensen op te lichten, zodat criminelen geld en gevoelige informatie kunnen stelen. Phishing gebeurt vaak via de telefoon (SMS of apps zoals WhatsApp) en via E-mail. Het doel van de criminelen is om de van niets-wetende gebruiker naar een valse website te lokken, door middel van een link waar de gebruiker op moet klikken. Als de gebruiker dan op die link klikt en op de valse website terecht komt, proberen de criminelen persoonlijke gegevens te stelen. Deze valse websites lijken vaak echt en zijn soms dus lastig te herkennen. Daarnaast kan er ook nog eens Malware (kwaadaardige software) op de computer van het slachtoffer worden geïnstalleerd, als hij/zij op een link klikt. Criminelen doen zich vaak voor als een betrouwbare bron. Phishing mails lijken vaak afkomstig van je bank of zelfs van een hooggeplaatst lid van de instantie waar je werkzaam bent. Deze mails of SMS’jes zijn dan echter niet afkomstig van de bron waarvan jij denkt dat ze afkomstig zijn, maar ze zijn verstuurd door criminelen.

Wat voor soorten phishing zijn er?

De verschillende soorten phishing die hieronder benoemd worden zullen niet in de toetsvragen voorkomen, maar zijn puur bedoeld om een beter beeld over phishing te vormen.

Bulk phishing: Phishing mails worden in grote getalen naar meerdere mensen gestuurd, in de hoop dat er iemand in de mail trapt. Deze vorm komt het meeste voor.
Bulk phishing: Phishing mails worden in grote getalen naar meerdere mensen gestuurd, in de hoop dat er iemand in de mail trapt. Deze vorm komt het meeste voor.
Spear phishing: Deze aanvallen zijn gericht op een specifiek individu. De aanvaller doet eerst goed onderzoek naar zijn doelwit. Hij doet zich vaak voor als een oude vriend of collega
Spear phishing: Deze aanvallen zijn gericht op een specifiek individu. De aanvaller doet eerst goed onderzoek naar zijn doelwit. Hij doet zich vaak voor als een oude vriend of collega
Whaling: De aanvaller doet zich voor als een hooggeplaatst lid van een bedrijf, zoals een directeur of grootaandeelhouder. De aanvaller probeert zo belangrijke mensen in de organisatie te bereiken en op te lichten. Dit wordt ook wel CEO-fraude genoemd.
Whaling: De aanvaller doet zich voor als een hooggeplaatst lid van een bedrijf, zoals een directeur of grootaandeelhouder. De aanvaller probeert zo belangrijke mensen in de organisatie te bereiken en op te lichten. Dit wordt ook wel CEO-fraude genoemd.
Clone phishing: Hier houdt een hacker de mailbox van zijn slachtoffer in de gaten en kijkt hij wat voor soort mails er binnenkomen. Daar maakt hij dan een clone van en in plaats van het gebruiken van een legitieme link, probeert hij het slachtoffer naar een valse website te leiden. De oorspronkelijke mail kan erg sterk worden nagemaakt.
Clone phishing: Hier houdt een hacker de mailbox van zijn slachtoffer in de gaten en kijkt hij wat voor soort mails er binnenkomen. Daar maakt hij dan een clone van en in plaats van het gebruiken van een legitieme link, probeert hij het slachtoffer naar een valse website te leiden. De oorspronkelijke mail kan erg sterk worden nagemaakt.
Smishing: Dit is phishing via de SMS. Er wordt gebruik gemaakt van een neplink waarmee het slachtoffer naar een valse website wordt gelokt.
Smishing: Dit is phishing via de SMS. Er wordt gebruik gemaakt van een neplink waarmee het slachtoffer naar een valse website wordt gelokt.
Vishing: Bij vishing maakt de aanvaller je wijs dat er iets ergs gaat gebeuren en dat je dus snel moet handelen. De aanvaller hoopt zo dat het slachtoffer minder goed nadenkt en zo snel mogelijk gegevens doorgeeft en vaak nemen emoties dan de overhand. Dit gebeurt meestal via een telefoontje of via een automatisch spraakbericht.
Vishing: Bij vishing maakt de aanvaller je wijs dat er iets ergs gaat gebeuren en dat je dus snel moet handelen. De aanvaller hoopt zo dat het slachtoffer minder goed nadenkt en zo snel mogelijk gegevens doorgeeft en vaak nemen emoties dan de overhand. Dit gebeurt meestal via een telefoontje of via een automatisch spraakbericht.

Hoe herken je phishing?

 

  1. Er worden in een phishing-mail vaak vreemde tekens en/of kleuren gebruikt;
  2. Er staan vaak spelfouten in de mail of SMS;
  3. De mail of SMS kan in een vreemde taal verstuurd zijn;
  4. De mail kan van een onbekend of vaag Email-adres afkomstig zijn;
  5. Bij phishing mails staat er vaak geen specifiek geadresseerd persoon in de aanhef van de mail. Er staat dan bijvoorbeeld: “Beste klant”, in plaats van een naam;
  6. De SMS kan van een onbekend of buitenlands nummer afkomstig zijn;
  7. De mail of SMS bevat een link waar je op moet klikken;
  8. Er wordt in de mail of in de SMS specifiek naar bepaalde persoonlijke en/of gevoelige gegevens gevraagd;
  9. Er is vaak sprake van urgentie. Je moet volgens de cybercrimineel vaak snel actie ondernemen, want anders kan het nadelige gevolgen hebben;
  10. Als je op de link klikt (NIET DOEN!) kom je op een site zonder certificaat (het slotje links boven) en zonder https verbinding (dit kan je links boven in het scherm zien);
  11. Vishing kan worden herkend door ingesproken spraakberichten die vaak urgentie behoeven of door een telefoongesprek waarin iemand u naar persoonlijke gegevens vraagt.

Wat kan je tegen phishing doen?

  1. Klik nooit zomaar op een link. Banken en bedrijven zullen je nooit vragen om via een link in de mail gevoelige informatie te delen;
  2. Mocht je in de mail een link krijgen, dan kan je altijd even kijken waar die link naar toe verwijst, door met de cursor van de muis op de link te gaan staan (niet op de link klikken). Ook kan je de link kopiëren en invoeren op de site checkjelinkje.nl. Deze site zal dan aangeven of het een legitieme link is. Vertrouw echter nooit 100% op deze website, want ze geven alleen een oordeel maar geen definitief resultaat;
  3. Kijk in de mail altijd goed naar de afzender en kijk goed of de mail de “phishing kenmerken” bevat die hierboven zijn genoemd. Kijk met een SMS goed naar het telefoonnummer en check bij het bedrijf die de SMS zou hebben gestuurd of dit nummer overeenkomt.
  4. Check op een site altijd of er een slotje linksboven staat en kijk of er een HTTPS verbinding is (S staat voor beveiligde verbinding). Kijk ook goed naar de naam van de site en kijk of hier fouten in te zien zijn;
  5. Geef nooit zomaar gevoelige informatie via mail of telefoon door;
  6. Als je met phishing te maken krijgt moet je de gemeente Breda op de hoogte stellen en de phishing melden bij de Fraudehelpdesk, zodat andere mensen beschermd kunnen worden. Waarschuw ook eventueel de organisatie waarvan u de phishing mail of SMS ontvangt.

Toets: Toets Phishing

Start

  • Het arrangement Cybersecurity Awareness Training is gemaakt met Wikiwijs van Kennisnet. Wikiwijs is hét onderwijsplatform waar je leermiddelen zoekt, maakt en deelt.

    Auteur
    BP H4
    Laatst gewijzigd
    2021-06-29 18:02:41
    Licentie

    Dit lesmateriaal is gepubliceerd onder de Creative Commons Naamsvermelding 4.0 Internationale licentie. Dit houdt in dat je onder de voorwaarde van naamsvermelding vrij bent om:

    • het werk te delen - te kopiëren, te verspreiden en door te geven via elk medium of bestandsformaat
    • het werk te bewerken - te remixen, te veranderen en afgeleide werken te maken
    • voor alle doeleinden, inclusief commerciële doeleinden.

    Meer informatie over de CC Naamsvermelding 4.0 Internationale licentie.

    Aanvullende informatie over dit lesmateriaal

    Van dit lesmateriaal is de volgende aanvullende informatie beschikbaar:

    Toelichting
    Deze Cybersecurity Awareness Training moet er voor zorgen dat de medewerkers van de gemeente Breda zich bewust worden van de gevaren van cybercriminaliteit. De training zit in elkaar door middel van een mix tussen uitleg en toets vragen. De training moet verplicht behaald worden, anders moet deze opnieuw worden gemaakt.
    Eindgebruiker
    leerling/student
    Moeilijkheidsgraad
    gemiddeld

    Bronnen

    Bron Type
    https://www.youtube.com/watch?v=R09drPLDVW4&ab_channel=OmroepBrabantOmroepBrabant
    https://www.youtube.com/watch?v=R09drPLDVW4&ab_channel=OmroepBrabantOmroepBrabant     		Video
    Wat is AVG?
    https://www.youtube.com/watch?v=yn74wGfJ-z8     		Video
    https://www.youtube.com/watch?v=krda1EhmeBA
    https://www.youtube.com/watch?v=krda1EhmeBA     		Video
    Wat is ransomware en wat doe je er tegen?
    https://www.youtube.com/watch?v=i8uRqDkqNDk     		Video
    Datalekken
    https://www.youtube.com/watch?v=89jldoPCEu0     		Video
    https://www.youtube.com/watch?v=rrOZJQAZOj8
    https://www.youtube.com/watch?v=rrOZJQAZOj8     		Video
    https://www.youtube.com/watch?v=EiXpoeER3RU
    https://www.youtube.com/watch?v=EiXpoeER3RU     		Video

  • Downloaden

    Het volledige arrangement is in de onderstaande formaten te downloaden.

    Metadata

    LTI

    Leeromgevingen die gebruik maken van LTI kunnen Wikiwijs arrangementen en toetsen afspelen en resultaten terugkoppelen. Hiervoor moet de leeromgeving wel bij Wikiwijs aangemeld zijn. Wil je gebruik maken van de LTI koppeling? Meld je aan via info@wikiwijs.nl met het verzoek om een LTI koppeling aan te gaan.

    Maak je al gebruik van LTI? Gebruik dan de onderstaande Launch URL’s.

    Arrangement

    Oefeningen en toetsen

    Toets Fraude & Corruptie

    Toets Persoonsgegevens

    Toets ransomware

    Toets datalekken

    Toets Phishing

    IMSCC package

    Wil je de Launch URL’s niet los kopiëren, maar in één keer downloaden? Download dan de IMSCC package.

    QTI

    Oefeningen en toetsen van dit arrangement kun je ook downloaden als QTI. Dit bestaat uit een ZIP bestand dat alle informatie bevat over de specifieke oefening of toets; volgorde van de vragen, afbeeldingen, te behalen punten, etc. Omgevingen met een QTI player kunnen QTI afspelen.

    Versie 2.1 (NL)

    Versie 3.0 bèta

    Voor developers

    Wikiwijs lesmateriaal kan worden gebruikt in een externe leeromgeving. Er kunnen koppelingen worden gemaakt en het lesmateriaal kan op verschillende manieren worden geëxporteerd. Meer informatie hierover kun je vinden op onze Developers Wiki.

  • Gebruik
    Weergave
  • Wikiwijs is een dienst van