Nederlander kwetsbaar voor phishing door vertrouwen in merken
Cybercriminelen versturen op grote schaal phishingmails uit naam van bekende bedrijven. Maar liefst 70 procent van de Nederlanders ontving in het afgelopen jaar zo’n nepmail, blijkt uit een onderzoek van Mimecast onder 1.000 Nederlandse consumenten.
De criminelen doen zich voor als een bekend bedrijf om vertrouwen te wekken. Hierbij maken ze in veel gevallen gebruik van een vervalst (‘gespooft’) e-mailadres, zodat de ontvanger geen argwaan krijgt. Met name banken worden vaak geïmiteerd. 36 procent van de Nederlanders ontving in het afgelopen jaar een phishingmail uit naam van een bank. Ook de merken van webwinkels (22%) en bezorgdiensten (20%) worden relatief vaak misbruikt voor phishingaanvallen.
In andere branches liggen de percentages lager. Toch gaat het in elke sector om grote aantallen consumenten. Van nutsbedrijven (13%), verzekeraars (12%), zorginstanties (9%) en lokale overheden (10%) tot streamingdiensten (15%), reisorganisaties (12%) en nieuwsmedia (10%): vrijwel alle organisaties lopen het risico dat ze worden geïmiteerd voor criminele doeleinden.
De aanvallers passen verschillende trucs toe om consumenten te misleiden. Zo ontving 50% van de respondenten een phishingmail over een gewonnen prijs. Ook geldbedragen (33%) en spectaculaire aanbiedingen (27%) worden vaak als lokkertje gebruikt. Een phishingmail kan ook een waarschuwing bevatten dat iemand direct zijn account moet controleren (30%), dat die persoon geen toegang meer heeft tot het account (25%), dat iemand probeert in te loggen op het account (23%) of dat er een probleem is met een bestelling (19%).
Reputatieschade en omzetverlies
Het vertrouwen dat Nederlanders in merken hebben, maakt hen extra kwetsbaar voor phishing. Zo opent ruim een derde van de consumenten zonder te aarzelen e-mails die afkomstig zijn van vertrouwde merken. Bijna een kwart klikt zelfs zonder twijfel op de link in een e-mail van hun favoriete merk, zo wijst het onderzoek uit. Mede hierom is het interessant voor cybercriminelen om bekende merken en bedrijven na te bootsen in hun phishingmails.
Een ruime meerderheid (61%) van de Nederlandse consumenten verwacht dat bedrijven hun klanten beschermen tegen phishingmails uit hun naam. Als dit niet afdoende gebeurt en er bijvoorbeeld geld of informatie wordt gestolen, krijgt het merkvertrouwen een deuk. En dat vertaalt zich mogelijk naar misgelopen omzet. Ongeveer de helft van de consumenten geeft geen geld meer uit aan een merk na een geslaagde phishingaanval waarbij dat merk werd misbruikt.
DMARC-adoptie verloopt traag
Een belangrijk wapen in de strijd tegen phishing is DMARC (Domain-based Messaging Authentication, Reporting and Conformance). Dit e-mailprotocol geeft bedrijven inzage in misbruik van hun e-maildomeinen en stelt hen in staat gespoofte e-mails te blokkeren. Via DMARC kan zo’n nepmail bijvoorbeeld automatisch worden geweigerd. Niet voor niets adviseert het Nationaal Cyber Security Centrum (NCSC) Nederlandse organisaties om DMARC te implementeren.
Uit eerder onderzoek van Mimecast blijkt echter dat slechts een klein deel (19%) van de Nederlandse organisaties DMARC heeft geïmplementeerd. Daarmee heeft ons land een achterstand op andere ontwikkelde economieën. Het verschil met het Verenigd Koninkrijk (21%) is nog gering, maar Duitsland (30%) en de Verenigde Staten (33%) scoren beduidend beter. Wel is 31 procent van de Nederlandse organisaties bezig met de DMARC-implementatie.
“Elk bedrijf heeft een morele plicht om zijn klanten te beschermen tegen phishingaanvallen”, vindt Sander Hofman, securityexpert bij Mimecast. “Maar het is ook een zakelijke afweging. De consument houdt bedrijven verantwoordelijk voor phishingmails uit hun naam. In het ergste geval lopen klanten weg omdat een bedrijf hier niets tegen doet. En dat is zonde, want een relatief eenvoudige maatregel als DMARC is zeer effectief tegen misbruik van e-maildomeinen.”
Merkmisbruik door cybercriminelen is een ernstig probleem. Wilt u meer weten over dit verschijnsel? Lees dan het gratis onderzoeksrapport ‘The State of Brand Protection 2021’ van Mimecast.
Meer over
Lees ook
Van social engineering tot DMARC-misbruik: TA427’s informatieverzamelkunst
Onderzoekers van Proofpoint volgen verschillende dreigingsactoren, waaronder TA427. Deze dreigingsactor is ook bekend als Emerald Sleet, APT43, THALLIUM of Kimsuky en wordt gelieerd aan Noord-Korea.
KnowBe4-onderzoek: Bijna 70% van Nederlandse werknemers slaat wachtwoorden op in browser
Onderzoek van KnowBe4, aanbieder van ’s werelds grootste platform voor security awareness en gesimuleerde phishing, stelt vast dat ruim 66% van de Nederlanders wachtwoorden opslaat in webbrowsers - groot aantal weet niet dat dit (automatisch) gebeurt
Hoe phishingbewust is jouw organisatie echt?
Het NK-Phishing is terug! Na vier succesvolle edities is de competitie waarbij medewerkers van verschillende organisaties worden getest er weer. Lukt het jouw team om de phishing mails van dit jaar te herkennen? In teams van 10 strijd jouw organisatie tegen meer dan 500 andere deelnemers voor een mooie prijs.