Nederland aan kop met cyberaanvallen van zowel insiders als outsiders
Toegenomen cyberdreigingen vragen om een bedrijfsbrede beveiligingscultuur
3 maart 2023 -
Proofpoint, Inc presenteert zijn negende jaarlijkse State of the Phish-rapport. Dit rapport bespreekt de nieuwe en traditionele manieren die cybercriminelen gebruiken om bedrijven aan te vallen. Van de Nederlandse bedrijven die vorig jaar het doelwit waren van phishing-aanvallen via e-mail, was 90 procent het slachtoffer van ten minste één succesvolle aanval. In 36 procent van de gevallen leidde dit tot financiële schade.
Nederland staat bovenaan de lijst landen als het gaat om cyberaanvallen van zowel insiders (86 procent versus 66 procent wereldwijd gemiddelde) als outsiders (84 procent versus 68 procent wereldwijd gemiddelde). En hoewel BEC, ransomware en misbruik van bedrijfsnamen nog steeds populaire aanvalsmethoden zijn, maken cybercriminelen ook steeds vaker gebruik van minder bekende aanvalsmethoden om bedrijven te duperen.
Het 2023 State of the Phish-rapport is een diepgaand onderzoek naar cyberdreigingen op basis van data van Proofpoint. Het rapport omvat meer dan achttien miljoen gerapporteerde e-mails en 135 miljoen gesimuleerde phishing-aanvallen die gedurende een jaar zijn verzonden. Het rapport onderzoekt ook de bevindingen van 7.500 werknemers en 1.050 beveiligingsprofessionals in vijftien landen, waaronder Nederland. Het rapport onthult opmerkelijke tekortkomingen op het gebied van beveiligingsbewustzijn en cyberhygiëne.
"Hoewel traditionele vormen van phishing succesvol blijven, zijn veel hackers overgestapt op nieuwere methoden, zoals telefoongerichte aanvallen en adversary-in-the-middle (AitM) phishing proxies die multifactor-authenticatie omzeilen. Deze methoden worden al jaren gebruikt bij gerichte aanvallen, maar in 2022 werden ze op grote schaal ingezet," aldus Ryan Kalember, Executive Vice President Cybersecurity Strategy, Proofpoint. "We hebben ook een duidelijke toename gezien van geavanceerde phishingaanvallen met meerdere touchpoints, waarbij langere gesprekken tussen meerdere nepprofielen plaatsvinden. Of het nu gaat om een aan een natie gelieerde groep of een BEC-hacker, er zijn genoeg cybercriminelen die een lange adem hebben."
Enkele belangrijke bevindingen uit het onderzoek zijn:
Cyberafpersing blijft schade aanrichten
94 procent van de Nederlandse bedrijven heeft het afgelopen jaar een poging tot ransomware-aanval meegemaakt, waarvan 76 procent succesvol was. Iets meer dan de helft (52 procent) van de Nederlandse bedrijven kreeg na betaling weer toegang tot hun data.
Wereldwijd hebben de meeste bedrijven betaald om hun data terug te krijgen, en velen deden dat meer dan eens. De overgrote meerderheid (90 procent) van de door ransomware getroffen Nederlandse bedrijven had een cyberverzekering afgesloten voor ransomware-aanvallen. In 89 procent van de gevallen waren de verzekeraars bereid het losgeld geheel of gedeeltelijk te betalen. Dit verklaart ook de hoge betalingsbereidheid: maar liefst 76 procent van de getroffen bedrijven in Nederland heeft het losgeld minstens één keer betaald.
Business Email Compromise (BEC): Cyberfraude gaat wereldwijd
Business Email Compromise (BEC)-aanvallen kwamen in 2022 veel vaker voor in Nederland. Nederland en Zweden hebben met 92 procent het hoogste percentage BEC-aanvallen, tegenover een wereldwijd gemiddelde van 75 procent. Hoewel Engels de meest gebruikte taal is, beginnen niet-Engelstalige landen meer aanvallen in hun eigen taal te zien.
Insider Threats
Als gevolg van de pandemie en de economische onzekerheid is 26 procent van de Nederlanders de afgelopen twee jaar van baan veranderd of heeft ontslag genomen. Deze trend op de arbeidsmarkt maakt databescherming moeilijker voor bedrijven: 86 procent meldt dat zij te maken hebben gehad met dataverlies door toedoen van een werknemer. Degenen die op de Nederlandse markt van baan zijn veranderd, gaven in 31 procent van de gevallen toe data te hebben meegenomen.
Werknemers vallen ten prooi aan valse 'Microsoft' e-mails
In 2022 ontdekte Proofpoint bijna 1.600 aanvallen waarbij misbruik werd gemaakt van bedrijfsnamen. Microsoft was weliswaar de meest misbruikte bedrijfsnaam met meer dan 30 miljoen berichten waarin het merk of een product zoals Office of OneDrive werd gebruikt, maar andere bedrijven die regelmatig door cybercriminelen werden uitgebeeld waren onder meer Google, Amazon, DHL, Adobe en DocuSign. Opmerkelijk is dat AitM-aanvallen de gebruiker de echte inlogpagina van het bedrijf laten zien, die in veel gevallen Microsoft 365 is.
Vanwege de omvang van deze aanvallen is het alarmerend dat iets meer dan 33 procent van de Nederlandse werknemers denkt dat een e-mail veilig is als er bekende bedrijfsnamen in staan. 55 procent denkt dat een e-mailadres altijd overeenkomt met de bijbehorende website van het bedrijf. De klanten van Proofpoint gebruikten het misbruiken van bedrijfsnamen in meer dan de helft van de 10 meest gebruikte phishing-simulatiemodellen. En veel werknemers trapten erin.
Aanvallers schalen complexere e-mailaanvallen op
In het afgelopen jaar werden dagelijks honderdduizenden telephone-oriented attack delivery (TOAD)-aanvallen en phishingberichten verstuurd om multifactor-authenticatie (MFA) te omzeilen - genoeg om bijna alle bedrijven wereldwijd aan te vallen. Proofpoint volgde op een gegeven moment meer dan 600.000 TOAD-aanvallen per dag. Dit zijn e-mails die ontvangers aanzetten om te bellen naarr zogenaamde callcenters. En dit aantal is toegenomen sinds de methode eind 2021 voor het eerst opdook.
Cybercriminelen beschikken nu ook over een reeks methoden om MFA te omzeilen: veel phishing-as-a-service providers hebben al AitM-tooling opgenomen in hun kant-en-klare phishingkits.
Ruimte voor verbetering van cyberhygiëne
Cybercriminelen blijven innoveren en uit het rapport van dit jaar blijkt opnieuw dat het de meeste werknemers aan beveiligingsbewustzijn ontbreekt. Zelfs de meest elementaire cyberdreigingen worden nog steeds niet goed begrepen - meer dan een derde van de respondenten kan "malware", "phishing" en "ransomware" niet definiëren.
Daarnaast traint slechts 52 procent van de Nederlandse bedrijven met een programma voor beveiligingsbewustzijn hun volledige personeelsbestand en voert slechts 31 procent phishingsimulaties uit. Beide zijn essentiële onderdelen van een effectief bewustwordingsprogramma voor cyberdreigingen. Deze cijfers liggen iets onder de wereldwijde gemiddelden.
"Het gebrek aan beveiligingsbewustzijn en onzorgvuldig gedrag van werknemers en management tijdens onboarding en offboarding vormen een groot risico voor bedrijven en hun data," aldus Mark-Peter Mansveld, Vice President Noord-Europa, Midden-Oosten en Israël bij Proofpoint. ''E-mailaanvallen blijven favoriet en cybercriminelen gebruiken steeds vaker methoden die veel minder bekend zijn bij werknemers. Er zit dus duidelijk meerwaarde in het opbouwen van een beveiligingscultuur die organisatiebreed reikt."
