Phishing: een waargebeurd verhaal

06:30u – Opstaan? Of blijven liggen?

De wekker sleurt me uit een vredige slaap. Een deel van me wil blijven liggen. Een ander deel in me kan niet snel genoeg uit bed. Ze overleggen even met elkaar en… er is een winnaar! Een uurtje later gaat het richting kantoor voor wat zonder twijfel een boeiende dag wordt. Boeiend, omdat er een aantal nieuwe projecten starten en ook omdat we binnenkort verhuizen. Een handvol aannemers leggen de laatste hand aan de nieuwbouw. Alles verloopt volgens plan. Ik ben laaiend enthousiast.

09:00u – Een eigenaardig telefoontje

De klok van negen heeft nauwelijks de tijd om te slaan wanneer de telefoon voor de eerste keer die dag rinkelt. Enfin, rinkelen… ik lijk wel oud. Sinds we overschakelden op geïntegreerde telefonie, zoemt het eerder en zie je op het scherm of op je smartphone een pop-up. Ik kies met welk toestel ik wil opnemen en hoor aan de andere kant de stem van m’n bankier:

“Hans”, zegt hij, “Ik bel je in verband met de mail die je gisterenavond laat nog stuurde met een betalingsopdracht voor een van je aannemers…”. Ik hoor het donderen in Keulen en zie het bliksemen boven Parijs. “Euh… een mail, zeg je?”, repliceer ik verwonderd. Ik woonde gisterenavond een fijne bijeenkomst bij van UNIZO. Ik had een bob in het gezelschap en keek dus niet op een glas. Maar ik weet zeker dat ik niet zoveel dronk dat ik me niet meer zou herinneren een mail gestuurd te hebben met een betalingsopdracht.

“Wat staat er precies in die mail?”, vraag ik m’n bankier.

“Wel, er zou 90.000€ moeten worden overgemaakt op het rekeningnummer van een van je aannemers, omdat die heeft laten weten dat ze anders niet verder kunnen werken”, hoor ik hem lezen. “Het ziet er allemaal oké uit. De documenten in bijlage zien er officieel uit, de referenties lijken te kloppen”.

Het boezemt me vertrouwen in dat een en ander er oké uitziet en dat m’n bankier toch de moeite neemt om me te polsen. Ik laat de input van mijn bankier even walsen in mijn hoofd en antwoord: “Het is zo dat vooral mijn echtgenote de werf coördineert en afspraken maakt met de aannemers. Zij zal vermoedelijk de opdracht hebben gegeven. Wil je haar eens bellen? Ik heb nu een vergadering.”

11:00u – Ik zag twee beren…

De rest van de voormiddag is zo gevuld dat ik de oproep van mijn bankier al helemaal vergeten ben, wanneer ik in de vroege namiddag een mail zie binnenkomen van de bank. “Betalingsopdracht 90.000€ ref HRD67-0219” lees ik in de subjectlijn. Ik open de mail. Mijn bankier laat weten dat hij mijn echtgenote niet heeft kunnen bereiken en vraagt of ik toch nog even wil controleren.

Ik open de ingesloten mail, die ik of mijn vrouw zou hebben verstuurd. Het lijkt oké. Ik herken de stijl van mijn echtgenote. De bijlage bevat inderdaad een document waarop ik het logo van een van mijn aannemers herken. Het ziet er allemaal oké uit. Ik neem toch nog even de tijd om de kleine lettertjes te lezen op het document en mijn oog valt op een rekeningnummer dat er nogal buitenlands uitziet. Ik maak er een punt van om mijn bouwproject met lokale aannemers uit te voeren en het lijkt me vreemd dat die een Hongaars rekeningnummer zouden gebruiken. Ik begin wat argwaan te krijgen. Ik herinner me een filmpje dat ik ooit op YouTube zag, waarin 5 in het wit geklede basketbalspelers en 5 zwartgeklede spelers een bal naar elkaar werpen. De opdracht is om het aantal worpen van de witte spelers te tellen. Na het filmpje ben je enerzijds blij dat je het juiste antwoord gaf en anderzijds met verstomming geslagen wanneer men je vraagt of je de zwarte beer zag moonwalken van rechts naar links. Het is pas bij een tweede weergave dat je inderdaad de beer ziet…

Ik voel dat ik in deze mail naar de beer moet zoeken. Wat zeg ik? Naar de beren! Mijn focus gaat van wat normaal lijkt naar wat abnormaal lijkt. Het werpt vruchten af. Ik spot enkele spellingfouten, zie dan toch enkele anomalieën in de gegevens van de aannemer en in de stijl van mijn echtgenote.

Even later bel ik de bank dat ze niks hoeven te doen en de mail mogen klasseren.

20:00u – Fake it ’till you make it

’s Avonds vertel ik het verhaal aan mijn echtgenote. We staan beiden versteld van de vaardigheden van hackers. Ze slagen er blijkbaar in om via beschikbare of onderschepte informatie een profiel van iemand te imiteren (Social Engineering) en dat profiel vervolgens in te zetten om méér data of geld te onderscheppen (phishing). Ze doen dat op een steeds meer verfijnde wijze.

Ik onthoud dat ik alert blijf voor moonwalkende beren, eerder dan voor het aantal worpen van het witte team! En jij?