Cybercriminelen misbruiken digitale gewoontes van werknemers

Onderzoek onder 1.051 Nederlandse werknemers laat zien dat 83 procent dagelijks minstens één digitale handeling op de automatische piloot uitvoert. Het gaat hierbij om handelingen zoals het openen van e-mails, het inloggen op vertrouwde websites of het beantwoorden van berichten van bekende collega's. Ruim 64 procent geeft aan verzoeken sneller te vertrouwen als ze van een bekende afzender lijken te komen, terwijl bijna 40 procent aangeeft dat het steeds moeilijker wordt om echt van nep te onderscheiden.

Gedragswetenschapper Florien Cramwinckel (foto) legt uit dat we gewend zijn om gevaar te zoeken in wat afwijkt, maar dat we bij dagelijkse handelingen juist op de automatische piloot gaan. Als criminelen die routine overtuigend weten na te bootsen, verdwijnt precies het signaal waarop mensen hebben geleerd alert te zijn. Dat dit risico's met zich meebrengt, blijkt uit het feit dat ruim 60 procent van de ondervraagden een nagemaakte Microsoft Word-installatiepagina niet als nep herkende. Criminelen spelen hierop in door malware te verpakken in vertrouwde formats, zoals een PDF met een QR-code voor mobiele authenticatie of een nep-AI-tool.

Het antwoord op dit probleem is volgens Cramwinckel niet om werknemers continu te laten twijfelen, maar om op specifieke sleutelmomenten bewust te vertragen. Om werknemers hierbij te helpen, ontwikkelde zij de geheugensteun DIS ME NIET. Deze richt zich op vijf specifieke risicomomenten: Downloaden, Inloggen, Scannen van QR-codes, Mobiel of van apparaat wisselen, en Enable oftewel het inschakelen van extra rechten. Werknemers hoeven niet bij elke muisklik stil te staan, maar moeten bij deze vijf acties kort controleren of de stap verwacht werd, de omgeving klopt en het verzoek logisch is.

Volgens HP kan de verantwoordelijkheid echter niet alleen bij de individuele medewerker liggen. Systemen moeten zo ingericht worden dat één verkeerde klik niet direct leidt tot een grootschalig bedrijfsincident. Hoewel 86 procent van de ondervraagde werknemers aangeeft een phishingincident direct te melden, onderneemt vrijwel niemand uit zichzelf technische vervolgstappen, zoals het verbreken van de netwerkverbinding. Cybersecurity moet zich daarom niet alleen richten op bewustwording, maar ook op het inbouwen van technische opvangnetten die de schade bij een incident automatisch beperken.