<div class="OutlineElement Ltr SCXW57950339 BCX0" style="color: #000000; background-color: #ffffff; margin: 0px; padding: 0px;">
<p class="Paragraph SCXW57950339 BCX0" paraid="1958179705" paraeid="{5[..]

Een programma voor bedreigingsanalyses opzetten in eenvoudige taal

Als het gaat om cybercrime, is het midden- en kleinbedrijf een groot doelwit. Veel organisaties in dit segment hebben minder middelen voor IT, en hun beleid voor cyberbeveiliging is vaak minder sterk ontwikkeld. Dat maakt MKB-ers kwetsbaar, en hackers weten dit. Bovendien gebruiken aanvallers kleinere bedrijven vaak als toegangspoort om in te breken bij een grotere organisatie in de leverketen. Zo kan een aanval op een kleine speler grote winsten opleveren.
<div style="color: #000000; background: white; padding: 0in; border: 1pt none #e3e3e3;">
<h4 style="margin: 15pt 0in; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none; text-align: center;">Bij 98% van de aanvallen op het MKB waren de hackers uit op geld, en 54% van de aanvallen was te herleiden tot gestolen aanmeldingsgegevens (Verizon Data Breach Investigation Report 2023)</h4>
Om na te gaan wat deze trends betekenen voor het MKB, heeft LastPass onlangs een enqu&ecirc;te uitgevoerd onder meer dan 600 managers en leiders in de IT-beveiliging van bedrijven met minder dan 3000 medewerkers.
<a href="https://www.lastpass.com/resources/reports/smb-commercial-cybersecurity-report" style="color: blue;">Uit de resultaten komt een zorgwekkend patroon naar voren</a>: managers in het MKB benaderen cyberbeveiliging proactiever, bijvoorbeeld met meer bewustzijn en investeringen in beveiligingsmaatregelen. Maar de respondenten gaven ook aan dat menselijke aspecten nog steeds ernstige zwakke plekken in de beveiliging veroorzaken, waardoor deze organisaties kwetsbaar zijn voor cybercriminelen.
Hoe kunnen MKB-ers deze zwakke plekken aanpakken? Lees verder voor een analyse en aanbevelingen van het LastPass-team voor inzicht in cyberbedreigingen.
<h2 style="color: #434343; margin: 14pt 0in 4pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Grote verschillen tussen de directie en de werkvloer</h2>
Het meest opvallende fenomeen dat uit de enqu&ecirc;te naar voren kwam, is de enorme kloof tussen acties van leidinggevenden en gedrag van medewerkers.
Leidinggevenden investeren meer aandacht en geld in cyberbeveiliging. 90% van de IT-managers en 80% van de niet-IT-managers geven aan dat er het afgelopen jaar meer aandacht was voor beveiligingsmaatregelen, en bij 82% van de organisaties werd het budget voor cyberbeveiliging verhoogd.
En 92% van de leidinggevenden en 93% van de IT-managers gelooft dat hun medewerkers de verwachtingen rondom beveiliging begrijpen. De meerderheid had ook vertrouwen in hun beveiligingsmaatregelen, en slechts 30% dacht dat hun bedrijf een hoog risico had op problemen rondom hun digitale veiligheid.
<h4 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none; text-align: center;">MKB-ers benaderen cyberbeveiliging proactiever, maar menselijke factoren veroorzaken nog steeds ernstige zwakke plekken in de beveiliging. Dat maakt deze organisaties kwetsbaar.</h4>
De uitkomsten uit de enqu&ecirc;te suggereren dat de realiteit op de werkvloer er anders uit ziet:
</div>
<div style="color: #000000; background: white; margin-right: 0in; margin-left: 0.25in; padding: 0in; border: 1pt none #e3e3e3;">
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Maar 78% van de niet-IT-managers denkt dat medewerkers de verwachtingen rondom beveiliging in hun functie begrijpen
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1 op de 5 managers geeft toe beveiligingsbeleid te omzeilen
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1 op de 10 IT-managers geeft toe beveiligingsbeleid te omzeilen
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1 op de 4 jongere medewerkers houdt zich niet altijd aan het beleid
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 36% van de medewerkers uit Generatie Z geeft toe wachtwoorden op te schrijven
</div>
<div style="color: #000000; background: white; margin-right: 0in; margin-left: 0.5in; padding: 0in; border: 1pt none #e3e3e3;">
&nbsp;
</div>
<div style="color: #000000; background: white; padding: 0in; border: 1pt none #e3e3e3;">
De enqu&ecirc;te suggereert dat financi&euml;le investeringen in de cyberbeveiliging weliswaar toenemen, maar dat kwalitatieve investeringen net zo belangrijk zijn.
<h2 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tips en best practices om de gaten in de cyberbeveiliging te dichten</h2>
De uitkomsten laten zien dat MKB-ers hun strategie voor cyberbeveiliging kunnen versterken met gerichte verbeteringen in hun beleid, voorlichting voor medewerkers en een cultuur van bewustzijn rondom cybergevaren.
<h3 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tip 1: Verbeter de voorlichting over cyberbeveiliging</h3>
Niet-IT-managers zagen een gebrek aan inzicht, waargenomen gebrek aan belang en de snelle aard van het werk als de grootste drempels voor compliance in de strijd tegen cyberbedreigingen. Dat betekent dat er gerichte voorlichtingsprogramma's nodig zijn die hier specifiek op in gaan.
Om ervoor te zorgen dat mensen meer verantwoordelijkheid nemen, moeten organisaties duidelijke communicatiestrategie&euml;n en regelmatige trainingen ontwikkelen voor alle organisatieniveaus. Dit kan helpen om ervoor te zorgen dat alle medewerkers begrijpen wat hun rol is voor een effectieve cyberbeveiliging, zodat iedereen verantwoordelijkheid neemt en alle mensen hun gedrag veranderen.
Voorlichting mag niet alleen van bovenaf komen. Er is goede communicatie voor nodig om ervoor te zorgen dat alle medewerkers het eens zijn over de beveiligingsprotocollen. Managers zouden afdelingsoverstijgende meetings moeten houden om ervoor te zorgen dat ieder onderdeel van de organisatie het beleid voor cyberbeveiliging begrijpt en zich eraan houdt. Regelmatige audits en feedbackrondes kunnen ook duidelijk maken waar dit begrip nog verbeterd moet worden.
<h3 style="margin: 15pt 0in; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tip 2: Motiveer mensen zowel positief als negatief</h3>
Uit de enqu&ecirc;te blijkt dat lang niet iedereen het beveiligingsbeleid serieus genoeg neemt, zowel in jongere generaties, maar ook in het leiderschap. Directies moeten daarom een evenwichtige aanpak opstellen met meer incentives voor compliance en sancties voor overtredingen. Met een open cultuur rondom het melden van overtredingen kunnen medewerkers actiever worden voor de bedrijfsbeveiliging.
Iedereen die lang genoeg in de beveiliging werkt, heeft meegemaakt dat mensen beleid overtreden om hun werk sneller gedaan te krijgen. Dat vraagt om eenvoudigere processen voor uitzonderingen op het beveiligingsbeleid. Met een eenvoudig en duidelijk proces om medewerkers tijdelijk toestemming te geven om een beleidsregel te omzeilen, kunnen mensen hun werk eerlijk gedaan krijgen en blijven afwijkingen de uitzondering.
<h3 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tip 3: Kies voor een beveiligingsprogramma dat uitgaat van threat intelligence</h3>
Het is mooi dat MKB-ers vertrouwen hebben in hun beveiliging, maar optimisme kan ook een vals gevoel van veiligheid veroorzaken. Het is belangrijk om te weten wat eigenlijk de &ldquo;digitale kroonjuwelen&rdquo; van een organisatie zijn, wie hier interesse in heeft en welke aanvalsmethoden het meest waarschijnlijk zijn. Een beveiligingsprogramma op basis van threat intelligence kan inzicht geven in de daadwerkelijke risico's en bedreigingen, in plaats van hier alleen maar naar te gissen.
MKB-ers zouden regelmatige risicobeoordelingen moeten uitvoeren en bedreigingen moeten monitoren, om hun beveiligingspositie steeds goed in te kunnen schatten. Door bedreigingen proactief op te sporen en strategie&euml;n klaar te hebben om te kunnen reageren bij incidenten, kunnen risico's ook al in een vroeg stadium worden opgespoord en afgeweerd.
<h3 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tip 4: Gebruik een wachtwoordbeheerder</h3>
Uit het onderzoek kwam naar voren dat MKB-ers absoluut aandacht moeten besteden aan wachtwoordbeheer. Veel MKB-ers gebruiken al een wachtwoordbeheerder en dat is positief, maar toch was bijna de helft van de lekken die de respondenten meldden te herleiden tot gecompromitteerde wachtwoorden.
Daarom zouden bedrijven het gebruik van een wachtwoordbeheerder bedrijfsbreed moeten verplichten, en dit ook moeten afdwingen. Voortdurende voorlichting over wachtwoordbeveiliging is ook essentieel om ervoor te zorgen dat medewerkers begrijpen waar het om gaat en inzien dat het wachtwoordbeleid belangrijk is.
<h3 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tip 5: Bereid u voor op bedreigingen die gebruik maken van kunstmatige intelligentie</h3>
MKB-ers die zich voorbereiden op toekomstige uitdagingen, moeten zich goed indekken tegen phishing-aanvallen, kwetsbaarheden in cloudomgevingen, en mogelijk verlies van bedrijfsgegevens door ransomware of malware. Ook de ontwikkeling op het gebied van kunstmatige intelligentie (AI) in de cyberbeveiliging, met name door intelligente phishing-aanvallen, is een belangrijk aandachtspunt.
Om mee te komen met de technologische vooruitgang op het gebied van AI en cyberbeveiliging, is het een overweging om te investeren in beveiligingstools met AI, voor geavanceerde detectie van bedreigingen en sterkere capaciteiten om te reageren bij incidenten. Ook voorlichting voor medewerkers over de meest actuele phishing-tactieken, inclusief aanvallen met AI, is onmisbaar.
<h4 style="margin: 0in; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none; text-align: center;">Ook de grootste bedrijven ter wereld met alle mogelijke resources staan nog steeds iedere dag bloot aan hoge cyberrisico's, en voor het MKB is dit helaas niet anders.</h4>
<h2 style="color: #434343; margin: 14pt 0in 4pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Kleine maatregelen kunnen een groot verschil maken</h2>
De weg naar betere cyberbeveiliging in het MKB is lang. Het idee van &ldquo;vertrouwen, maar ook verifi&euml;ren&rdquo; is voor dit segment bijzonder relevant. Natuurlijk is het belangrijk dat MKB-ers hun mensen en systemen vertrouwen, maar tegelijkertijd is het controle onmisbaar: beleid moet actueel zijn, het moet werken en de naleving moet worden afgedwongen.
&nbsp;
Het bewustzijn en de extra investeringen die naar voren kwamen uit onze MKB-enqu&ecirc;te, zijn goed nieuws. Toch is er nog veel werk om de cultuur en het beleid rondom cyberbeveiliging met elkaar in lijn te brengen, en om ervoor te zorgen dat medewerkers op de werkvloer ook daadwerkelijk zo handelen als dat de directie denkt. Met uitgebreide voorlichting, afdwingen van beleid en inzet van innovatieve technologie&euml;n kunnen MKB-ers hun digitale verdediging versterken, voor een veiligere toekomst.
</div>
&nbsp;
<a href="https://www.lastpass.com/resources/reports/smb-commercial-cybersecurity-report" style="color: blue;">Lees het volledige rapport voor meer inzicht in de uitdagingen rondom cyberbeveiliging in het MKB.*</a>
*Dit rapport is alleen beschikbaar in het Engels.

Als het gaat om cybercrime, is het midden- en kleinbedrijf een groot doelwit. Veel organisaties in dit segment hebben min[..]

Rapport van LastPass: Strategieën voor cyberbeveiliging in het MKB

Misschien hebt u de afgelopen tijd gemerkt dat we onze klanten vragen om bepaalde wijzigingen door te voeren voor hun LastPass-accounts. Onder andere vragen we onze klanten om hun de lengte en sterkte van hun hoofdwachtwoord te verbeteren om te voldoen aan nieuwe aanbevolen best practices, en om hun meervoudige verificatie opnieuw te configureren. Al deze wijzigingen zijn bedoeld om de online veiligheid van onze klanten te verbeteren. Graag delen we een paar achtergronden met u over de ontwikkelingen op het gebied van cyberbedreigingen. Zo kunt u beter begrijpen waarom we u vragen deze updates door te voeren, en waarom deze wijzigingen zo belangrijk zijn. We lichten een paar recente wijzigingen toe en leggen uit wat hierachter zit. Daarnaast leggen we uit hoe deze updates uw beveiliging versterken.

Bijgewerkte vereisten voor hoofdwachtwoorden

Waarom doen we dit? 

Als het gaat om wachtwoordbeveiliging en digitale weerbaarheid, is meer simpelweg beter. Maar meer van wat? De sterkte van een wachtwoord hangt onder andere af van het aantal tekens, hoe ingewikkeld het is, en hoe onvoorspelbaar het is. De huidige richtlijnen (NIST 800-3B) van het National Institute of Standards and Technology (NIST) vereisen dat wachtwoorden die worden aangemaakt door mensen, minstens 8 tekens bevatten. Maar de afgelopen tijd is de technologie om wachtwoorden te kraken een stuk sterker geworden, en mensen hebben de neiging om wachtwoorden aan te maken die ze goed kunnen onthouden. Dat maakt wachtwoorden voorspelbaarder. Daarom raden we aan om een veel langer wachtwoord te gebruiken.

De nieuwe vereiste voor de lengte van uw LastPass-hoofdwachtwoord is slechts één van onze initiatieven voor een betere beveiliging tegen de cyberbedreigingen van nu en die van de toekomst. Sinds 2018 was het de standaard aanbeveling van LastPass om een hoofdwachtwoord met minimaal 12 tekens te gebruiken. Maar klanten die dat wilden, konden deze standaard instelling negeren en een korter wachtwoord aanmaken. Nu dwingen we echter af dat het hoofdwachtwoord minimaal 12 tekens moet bevatten. Daarnaast hebben we het aantal PBKDF2-iteraties begin dit jaar verhoogd. Zo helpen we onze klanten proactief om sterkere en weerbaardere encryptiesleutels te maken voor de toegang tot hun LastPass-kluis en voor de versleuteling van hun gegevens.

Meer informatie over de nieuwe vereisten

Vanaf april 2023 vereisen we dat alle nieuwe klanten van LastPass een hoofdwachtwoord van minimaal 12 tekens instellen. Daarnaast werd deze vereiste ook al doorgevoerd als bestaande klanten hun hoofdwachtwoord wilden bijwerken. Vanaf januari 2024 zal LastPass de vereiste van minimaal 12 tekens voor het hoofdwachtwoord voor alle klanten doorvoeren.

Hiervoor zijn er twee scenario's mogelijk bij de aanmelding:
<ul>
 	<li>Klanten die bevestigen dat hun hoofdwachtwoord al 12 tekens of langer is, voldoen al aan het nieuwe beleid. Ze hoeven verder niets te doen.</li>
 	<li>Klanten die nog niet voldoen aan het nieuwe beleid, moeten een nieuw hoofdwachtwoord aanmaken van 12 of meer tekens.</li>
</ul>
Voor klanten die hun hoofdwachtwoord moeten bijwerken, hebben we hier een lijst met best practices. Dit zijn de richtlijnen die zich hebben bewezen om een zo sterk mogelijk wachtwoord te maken:
<ul>
 	<li>De minimum vereiste is 12 tekens, maar langer is beter</li>
 	<li>Gebruik hoofdletters, kleine letters, cijfers en speciale tekens</li>
 	<li>Maak een wachtwoord dat u kunt onthouden, maar dat niet makkelijk te raden is (bijv. een wachtwoordzin)</li>
 	<li>Zorg dat het uniek is en alleen op uzelf betrekking heeft</li>
 	<li>Gebruik uw e-mailadres (of een variatie hiervan) niet als hoofdwachtwoord</li>
 	<li>Verwerk geen persoonlijke gegevens in uw hoofdwachtwoord</li>
 	<li>Gebruik geen opeenvolgende tekens (zoals “1234”) of herhaalde tekens (zoals “aaaa”)</li>
 	<li>Gebruik uw hoofdwachtwoord alleen voor LastPass en absoluut nergens anders</li>
</ul>
Waarom heeft LastPass mij nog niet gevraagd om mijn hoofdwachtwoord te wijzigen? 

We rollen dit beleid gefaseerd uit voor al onze klanten. Als eerste ontvangen onze klanten met LastPass Free, Premium of Families een e-mail. Eind januari sturen we ook e-mails aan onze klanten met LastPass Teams of Business. Klanten van LastPass kunnen zelf kiezen hoeveel tijd er tussen hun aanmeldingen mag zitten, voordat ze hun hoofdwachtwoord opnieuw moeten invoeren. Dat verhoogt het gebruiksgemak. Doordat mensen hiervoor verschillende intervallen hebben ingesteld, kunnen we niet precies zeggen wanneer al onze klanten voldoen aan de nieuwe vereiste.

<a href="https://support.lastpass.com/s/document-item?language=en_US&amp;bundleId=lastpass&amp;topicId=LastPass/set-up-account-recovery.html&amp;_LANG=enus">Stel accountherstel in voordat u uw hoofdwachtwoord wijzigt</a>

<a href="https://support.lastpass.com/s/document-item?language=en_US&amp;bundleId=lastpass&amp;topicId=LastPass/change-master-password.html&amp;_LANG=enus">Instructies om uw hoofdwachtwoord te wijzigen</a>

Controle: staan nieuwe hoofdwachtwoorden op het dark web?

Vanaf volgende maand begint LastPass ook met directe controles, waarbij we nagaan of nieuwe of herstelde wachtwoorden voorkomen in een database van aanmeldingsgegevens, waarvan bekend is dat ze gelekt zijn. Kortom: we kijken of de gekozen wachtwoorden niet al eerder op het dark web zijn verschenen. Als cybercriminelen het wachtwoord bij een eerder lek al hebben kunnen bemachtigen, verschijnt een beveiligingswaarschuwing. Zo weten onze klanten direct dat het wachtwoord dat ze wilden instellen, niet veilig is. Ze moeten dan een ander wachtwoord instellen om verder te kunnen gaan.

Waarom doen we dit? 

Simpel: als een wachtwoord al bekend is bij cybercriminelen, kunnen ze het makkelijk kraken. Moderne software om wachtwoorden te kraken, kan onder andere gebruik maken van lijsten met bekende wachtwoorden. Zo kunnen cybercriminelen de toegangsgegevens voor een account veel sneller achterhalen. Door ervoor te zorgen dat onze klanten een wachtwoord kiezen dat niet al eerder gekraakt of gestolen is, maken we het hackers een stuk lastiger.

<a href="https://support.lastpass.com/s/document-item?language=en_US&amp;bundleId=lastpass&amp;topicId=LastPass/c_lastpass_faqs_users_about_dark_web_monitoring.html&amp;_LANG=enus">Wat is monitoring van het dark web?</a>

<a href="https://support.lastpass.com/s/document-item?language=en_US&amp;bundleId=lastpass&amp;topicId=LastPass/sd_dwm_start_monitoring.html&amp;_LANG=enus">Instructies om monitoring van het dark web in te schakelen in LastPass</a>

Hernieuwde configuratie bij meervoudige verificatie (MFA)

In mei 2023 is LastPass begonnen met het stroomlijnen van de hernieuwde MFA-registratie voor klanten van LastPass Business (zonder federatieve aanmelding), die gebruik maken van gangbare verificatie-apps als Microsoft Authenticator, Google Authenticator of LastPass Authenticator. De hernieuwde registratie voor verificatie met Grid wordt ook binnenkort uitgerold, en klanten krijgen de optie om opnieuw te registreren met Microsoft of Google.

Waarom doen we dit? 

In onze <a href="https://blog.lastpass.com/2023/03/security-incident-update-recommended-actions/">communicatie van maart 2023 over het beveiligingsincident</a>, hadden we al toegelicht dat een reset van MFA nodig is. Hiermee worden namelijk effectief eventuele restrisico's geëlimineerd, die waren ontstaan door de blootstelling van de databaseback-up van LastPass voor MFA/federatieve aanmelding.

Als u dit nog niet had gedaan, initieer dan een handmatige hernieuwde registratie van MFA voor gebruikers zonder federatieve aanmelding. In ons <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators#topic_4">Beveiligingsbericht</a> vindt u hiervoor gedetailleerde instructies.

Ter afsluiting

We voeren deze wijzigingen door als reactie op de continu veranderende cyberbedreigingen, met als doel om de veiligheid van onze klanten te vergroten. LastPass vraagt u niet zonder goede reden om uw account bij te werken. We streven er altijd naar om die reden transparant duidelijk te maken.

Volg de blogposts van LastPass Labs voor updates over toekomstige wijzigingen en de meest recente informatie over de bedreigingen voor verificatiemethoden, onze branche en onze klanten.

LastPass werkt accounts bij. Dit zijn de redenen.

Misschien hebt u de afgelopen tijd gemerkt dat we onze klanten vragen om bepaalde wijzigingen door te voeren voor hun LastPass-accounts. Onder andere vragen we onze klanten om hun de lengte en sterkte[..]

Slecht nieuws: er zijn ontzettend veel mensen die graag uw wachtwoorden in handen zouden krijgen. Wat ze ermee willen loopt uiteen, maar het is helaas nooit onschuldig. We zetten op een rij welke partijen er uit zijn op uw wachtwoorden en toegangsgegevens, waarom ze dit willen en hoe ze te werk gaan. En we leggen uit wat u kunt doen als een wachtwoord in verkeerde handen valt, om de gevolgen hiervan zo veel mogelijk te beperken.

Er zijn drie belangrijke groepen aanvallers: natiestaten, cybercriminelen en kwaadwillende insiders. De motivatie om wachtwoorden te stelen is verschillende voor iedere groep, maar het einddoel is hetzelfde: ze willen toegang tot gevoelige gegevens en/of systemen.
<h4>Natiestaten</h4>
Dit is de officiële term binnen de cyberbeveiliging (en binnen de politieke wetenschappen en internationale relaties) voor “overheden”. Ze willen wachtwoorden om toegang te krijgen tot systemen, informatie of allebei. Met die toegang willen ze bijvoorbeeld informatie stelen of de systemen permanent infiltreren. En in sommige gevallen willen ze ook gegevens vernietigen en/of systemen platleggen. Dat laatste doel kan vernietigende gevolgen hebben, vooral als de betroffen systemen en gegevens essentiële infrastructuur draaiende houden – denk maar aan een cyberaanval die de stroomvoorziening plat legt.
<h4>Cybercriminelen</h4>
De naam zegt het eigenlijk al. Bij cybercriminelen ligt de motivatie voor de hand: deze mensen zijn uit op geld. Met wachtwoorden kunnen ze op twee manieren geld verdienen. Ze kunnen de wachtwoorden direct verkopen (gemiddeld krijgen ze voor één set aanmeldingsgegevens 10 dollar het dark web), of ze kunnen ze gebruiken om toegang te verkrijgen tot accounts of systemen. Hier kan de aanpak vervolgens verschillen: ransomware, gegevensdiefstal gevolgd door afpersing, of bij financiële accounts simpelweg een directe overboeking.
<h4>Kwaadwillende insiders / infiltranten</h4>
Collega's die continu uw werk onderbreken, zijn vervelend. Maar collega's die de organisatie gericht infiltreren, zijn gevaarlijk. Dit zijn mensen die schade willen berokkenen aan een bedrijf, door misbruik te maken van hun toegang tot bepaalde netwerken en systemen. Soms willen ze uw wachtwoord om bepaalde acties uit te voeren onder uw naam, zodat het lijkt alsof u de dader bent. Dit maakt opsporing een stuk lastiger. Misschien willen ze uw wachtwoord omdat u toegang hebt tot andere systemen, zoals gevoelige financiële gegevens of industriële besturingssystemen, waarmee ze fysieke schade kunnen aanrichten.
<h3>Hoe krijgen deze partijen uw wachtwoorden in handen?</h3>
Natiestaten, internetcriminelen en infiltranten gebruiken verschillende methoden om uw wachtwoorden te verkrijgen. Er bestaat bijvoorbeeld kant-en-klare malware die ze online kunnen kopen. Soms staan er al gegevens van u te koop op het dark web van een ouder gegevenslek. De verschillende categorieën kwaadwillenden gebruiken over het algemeen net iets andere methoden om uw wachtwoorden te verkrijgen. Hieronder zetten we de verschillen op een rij.

Natiestaten hebben de meeste middelen (getrainde mensen en geld), en dus ook de meeste opties. Vaak ontwikkelen ze hun eigen specifieke malware, die misbruik maakt van nieuwe of niet gemelde kwetsbaarheden in software. Hiermee infiltreren ze apparaten of netwerken om wachtwoorden te stelen. Soms werken ze ook met “spearphishing”, phishing gericht op één specifieke persoon, die dan wordt misleid om wachtwoorden prijs te geven. Dienstverleners die hoger in de keten zitten, zijn ook een geliefd doelwit: met één geslaagde aanval op een provider van clouddiensten kan een natiestaat in een klap toegang verkrijgen tot een enorme hoeveelheid accounts en aanmeldingsgegevens.

Cybercriminelen gaan vaak meer te werk als ondernemers. Sommige groepen concentreren zich op wachtwoorddiefstal met zogeheten “infostealers” of phishingmails, om deze wachtwoorden daarna te verkopen op het dark web (zie <a href="https://blog.lastpass.com/2023/07/infostealers-the-widespread-threat-from-information-stealing-malware/">deze blogpost</a> voor meer informatie over infostealers). Sommige cybercriminelen maken gebruik van malware die is geschreven door andere groepen, die phishing-software of infostealers verkopen. Ze kopen en gebruiken deze malware min of meer zoals een legitiem bedrijf een gewone softwarelicentie aanschaft. Met dit soort “malware-as-a-service” (MaaS) kunnen ook criminelen zonder veel technische kennis een phishing- of malwarecampagne configureren en opstarten. Dit soort software werkt inmiddels met strakke interfaces, die het makkelijk maken om aanvallen te plannen.

Kwaadwillende insiders hebben een voordeel ten opzichte van natiestaten en cybercriminelen, omdat ze over het algemeen al toegang hebben tot uw kantoren en netwerken. Ze kunnen op zoek naar handgeschreven notities met wachtwoorden, of SharePoint of gedeelde mappen op uw netwerk doorzoeken op een Excel-bestand met wachtwoorden. Ook code repositories bevatten soms hard-coded wachtwoorden die ze kunnen misbruiken. Het doel: ongeoorloofde toegang verkrijgen en schade toebrengen aan hun werkgever en/of collega's.
<h3>Wat kunt u doen om de gevolgen zoveel mogelijk te beperken?</h3>
Het antwoord ligt eigenlijk voor de hand: gebruik een wachtwoordbeheerder. U hoeft dan nog maar één hoofdwachtwoord te onthouden en u kunt makkelijk sterke, unieke wachtwoorden aanmaken en opslaan voor al uw accounts. En als een wachtwoord wordt gestolen in een gegevenslek, kunt u het eenvoudig updaten. LastPass biedt bovendien gratis monitoring van het dark web. Hiermee controleren we continu of uw gegevens opduiken in een database van gelekte websites, gegevens en accounts. U krijgt direct een waarschuwing en kunt proactief in actie komen om uw gegevens te beschermen. Met unieke wachtwoorden voor ieder account houdt u de schade ook beperkt als er ergens een website of een systeem wordt gekraakt: de aanvallers kunnen uw aanmeldingsgegevens dan niet gebruiken om ook bij andere accounts binnen te komen. Het is inmiddels niet meer de vraag of uw gegevens gestolen zullen worden, maar wanneer. Daarom is het beter om goed voorbereid te zijn – en LastPass helpt u hierbij.

Wie wil uw wachtwoorden hebben – en waarom?

Slecht nieuws: er zijn ontzettend veel mensen die graag uw wachtwoorden in handen zouden krijgen. Wat ze ermee willen loopt uiteen, maar het is helaas nooit onschuldig. We zetten op een rij welke part[..]

Voor de meeste mensen is internetgebruik onvermijdelijk. Dat betekent helaas ook dat de bijbehorende risico's onvermijdelijk zijn. Het Amerikaanse Cybersecurity and Infrastructure Security Agency gaat ervan uit dat <a href="https://www.cisa.gov/be-cyber-smart/facts">één op de drie huishoudens</a> met computers geïnfecteerd zijn met malware. 65% van de Amerikanen die online zijn, ontvangen ten minste één frauduleuze aanbieding. Het helpt als u leert hoe u cyberaanvallen kunt herkennen en vermijden: zo beschermt u uzelf en uw gevoelige gegevens tegen internetcriminelen.

Virusscanners, firewalls en andere technologische maatregelen kunnen veel bedreigingen automatisch buiten de deur (of buiten uw netwerk) houden. Maar de gevaarlijkste aanvallen omzeilen deze automatische systemen en richten zich op het zwakste punt in de verdediging: de mens. Soms misleiden internetcriminelen hun doelwit via direct contact – het zogeheten “social engineering”. Anderen zetten hun val en hopen dat iemand erin trapt, zoals bij nep-apps die verkrijgbaar zijn in ongereguleerde app stores. We gaan in op beide soorten bedreigingen en zetten op een rij wat u hiertegen kunt doen. Daarnaast bespreken we ook de risico's rondom het hergebruik van wachtwoorden, en hoe u dit kunt vermijden.
<h3>Social engineering </h3>
Bij social engineering draait het om verschillende soorten oplichting, die één ding met elkaar gemeen hebben: er is direct contact met het slachtoffer. Criminelen gebruiken bijvoorbeeld e-mails, sms-berichten of telefoongesprekken om hun doelwit over te halen om gevoelige informatie te verstrekken, of om op een link te klikken die hun computer besmet met malware. Social engineering maakt altijd gebruik van de menselijke factor, maar criminelen werken met verschillende methoden. En ook de waarschuwingssignalen waaraan u kunt herkennen dat er iets niet klopt, zijn niet altijd hetzelfde. Hieronder lichten we de belangrijkste vormen van social engineering toe.

Phishing

Phishing is de meest voorkomende soort cyberaanval. Iedere dag worden er naar schatting <a href="https://www.splunk.com/en_us/blog/learn/phishing-scams-attacks.html#:~:text=3.4%20billion%20phishing%20emails%20are,compromised%20due%20to%20phishing%20attacks">3,4 miljard phishingmails</a> verzonden. Dit zijn e-mails die eruit zien alsof ze van een betrouwbare afzender afkomstig zijn. De onderwerpen lopen uiteen. Met verschillende soorten “aas” wordt de ontvanger verleid om iets met de mail te doen. De mails trekken bijvoorbeeld de aandacht door in te spelen op de actualiteit, zoals feestdagen of een natuurramp. Of ze zijn zogenaamd afkomstig van een bank of bedrijf, dat aangeeft dat er een beveiligingsprobleem is. Soms sturen fraudeurs nepfacturen voor een recente aanschaf, die de ontvanger dan moet aanvechten. De e-mails oefenen op de een of andere manier allemaal druk uit om te reageren. Ze wekken de interesse van de ontvanger of benadrukken dat actie vereist is, zogenaamd om fraude of kosten tegen te gaan.

Wat u kunt doen om uzelf te beschermen tegen phishingaanvallen

Vroeger waren phishingmails vaak goed te herkennen aan de slechte spelling. Maar door de opkomst van ChatGPT en andere kunstmatig intelligente technologie kunnen criminelen nu hele overtuigende teksten schrijven, die veel lastiger te herkennen zijn als bedrog. Daarom is het het beste om voorzichtig te zijn met alle e-mails die niet afkomstig zijn van een vertrouwde afzender. Volg deze tips:
<ul>
 	<li>Als u een mail ontvangt met een verzoek om op een link te klikken of contact op te nemen met een callcenter, controleer dan altijd de volledige gegevens van de afzender. U ontvangt bijvoorbeeld een e-mail van een bekend bedrijf, maar als u het adres controleert, blijkt dat het domein niet klopt:</li>
 	<li>Klik nooit op een link in een e-mail als u de afzender niet kent.</li>
 	<li>Als u twijfelt, neem dan contact op met het bedrijf – via een apart kanaal, dus niet via de link of het telefoonnummer in de e-mail!</li>
 	<li>Werk met een wachtwoordbeheerder. Uw wachtwoordbeheerder vult in principe uw gegevens in op bekende websites. Als deze functie niet werkt, is er dus een kans dat de website nep is.</li>
</ul>
Vishing

Vishing is een combinatie van “voice” en “phishing”: de oplichters bellen hun slachtoffer. Vaak doen ze zich voor als een vertegenwoordiger van een gerenommeerd bedrijf zoals een bank, als politieagent of bijvoorbeeld als de belastingdienst. Met gladde praatjes en gefingeerde behulpzaamheid proberen ze gevoelige informatie te krijgen, zoals creditcardnummers, burgerservicenummers, wachtwoorden of inloggegevens voor internetbankieren.

Wat u kunt doen om uzelf te beschermen tegen vishingaanvallen?
<ul>
 	<li>Laat bellers met een onbekend nummer een voicemail achterlaten.</li>
 	<li>Neem contact op met het betreffende bedrijf of de instantie en controleer of de beller en de inhoud van het gesprek legitiem zijn. Zoek het telefoonnummer op via de website van het bedrijf. Bel niet direct terug naar het nummer dat de mogelijke oplichter heeft opgegeven.</li>
</ul>
Smishing

Smishing volgt hetzelfde principe als phishing en vishing, maar het maakt gebruik van sms-berichten in plaats van e-mails of telefoongesprekken. Sommige sms-berichten bevatten links naar nepwebsites. Geliefde “afzenders” voor de oplichters zijn de politie, een pakketdienst, of bestaande bedrijven zoals banken. Vaak waarschuwt het sms-bericht u dat uw account is gehackt, en wordt u gevraagd om u aan te melden (bij een nepwebsite). De oplichters stelen vervolgens uw inloggegevens.

Een andere tactiek die veel oplichters gebruiken: ze sturen een bericht dat zogenaamd van een hogere manager is, met de vraag om “even” een cadeaukaart te kopen. Vaak claimen ze dat de manager in een meeting zit of de kaart zelf niet kan kopen, en meestal is er haast bij. Die tijdsdruk gebruiken oplichters wel vaker: het slachtoffer neemt dan niet de tijd om goed over de mogelijke bedreiging na te denken.

Smishing-aanvallen vermijden
<ul>
 	<li>Reageer niet op ongevraagde berichten en klik nooit op links.</li>
 	<li>Controleer de afzender (via een ander kanaal) of het bericht legitiem is.</li>
 	<li>Verwijder smishing-berichten en meld ze waar mogelijk bij uw telecomprovider en/of bij het bedrijf waar het bericht zogenaamd van afkomstig is.</li>
</ul>
<h3>Nep-apps van oplichters </h3>
Sommige internetcriminelen ontwikkelen nep-apps, die lijken op de apps van bekende en vertrouwde merken. Hiermee proberen ze dan informatie te stelen en/of malware op uw apparaat te zetten. De apps zien er meestal precies zo uit als het origineel, waardoor ze lastig te herkennen zijn. Ook hier kunt u echter bepaalde stappen nemen om te voorkomen dat u slachtoffer wordt:
<ul>
 	<li>Gebruik alleen officiële app stores, zoals Google Play of de App Store van Apple.</li>
 	<li>Controleer de ontwikkelaar van de app. Voor LastPass is de ontwikkelaar bijvoorbeeld LogMeIn, Inc. in de Apple App Store en GoTo Technologies in de Google Play store. Als er een andere ontwikkelaar vermeld zou staan, is dat een goede indicatie dat er iets niet in orde is met de app.</li>
 	<li>Controleer de beschrijving van de app of spelfouten en taalfouten.</li>
</ul>
<h3>Hergebruik van wachtwoord </h3>
Volgens het LastPass-rapport van 2022 over de <a href="https://www.lastpass.com/resources/ebook/psychology-of-passwords-2022">Psychologie van het Wachtwoord</a> recyclet 62% van de mensen een variatie van hetzelfde wachtwoord. En zelfs bij mensen die voorgelicht werden over de gevaren hiervan, stopte maar 31% met dit hergebruik. 25% koos voor een wachtwoordbeheerder. Het risico van hergebruik is enorm: als er één account wordt gekraakt, proberen hackers dit wachtwoord om overal binnen te komen. Het Verizon Data Breach Investigations Report van 2023 concludeerde dat hackers bij <a href="https://www.verizon.com/business/resources/reports/dbir/">86% van de geslaagde aanvallen op online toepassingen</a> gebruik maakten van gestolen aanmeldingsgegevens.

Het beste wat u kunt doen is om voor ieder account een uniek en sterk wachtwoord te gebruiken. Met een wachtwoordbeheerder is dit geen enkel probleem. En nu de technologie voor het werken zonder wachtwoorden steeds verder vordert, is het een goed idee om een wachtwoordbeheerder te kiezen die hier al klaar voor is.

Cyberbedreigingen zijn overal. Daarom is het belangrijk om de meest voorkomende soorten aanvallen te kennen en om uzelf, uw gezin en uw bedrijf met deze simpele stappen te beschermen tegen internetcriminelen en gegevenslekken.

Veel voorkomende cyberaanvallen herkennen en vermijden

Voor de meeste mensen is internetgebruik onvermijdelijk. Dat betekent helaas ook dat de bijbehorende risico's onvermijdelijk zijn. Het Amerikaanse Cybersecurity and Infrastructure Security Agency gaat[..]

LastPass Labs is de centrale content hub voor het TIME-team (Threat Intelligence, Mitigation, and Escalation) team van LastPass. Wij maken diepgaande analyses van de nieuwste ontwikkelingen op het gebied van cyberbeveiliging door middel van innovatieve technologieën een uniek perspectief op nieuwe dreigingen. 

Van éénpitters tot internationale multinationals: geen enkel bedrijf kan zonder cyberbeveiliging. Sommige bedrijven kunnen het zich veroorloven om hiervoor een speciaal budget te reserveren, maar vaak moeten bedrijven prioriteiten stellen en zo veel mogelijk doen met beperkte middelen.  Een paar basics zijn helder: ieder bedrijf heeft een goede beveiliging nodig voor e-mails, inclusief scans die verdachte berichten filteren en blokkeren. Ook moeten bedrijven hun medewerkers trainen en voorlichten over aanvallen met social engineering. En IT-afdelingen moeten gericht kwetsbaarheden beheren. Dit is een onmisbare pijler voor ieder beveiligingsbeleid en levert een directe Return on Investment. Succesvolle exploits van kwetsbaarheden zijn één van de belangrijkste oorzaken van cyberincidenten. Het onderzoeksbureau Mandiant heeft in zijn <a href="https://www.mandiant.com/resources/blog/m-trends-2023">M-Trends rapport voor 2023</a> aangegeven dat dit soort exploits een rol speelde in 36% van de systeeminbraken die het had onderzocht.

Verschillende kaders voor cyberbeveiliging, onder andere dat van het Amerikaanse National Institute of Standards and Technology (NIST), benadrukken hoe belangrijk het is om de technologische infrastructuur werkelijk te begrijpen en te weten welke apparaten zich op een netwerk bevinden (assetbeheer). Met inzicht in hun inventaris kunnen bedrijven van klein tot groot snel nagaan of een nieuwe kwetsbaarheid voor hen relevant is, en in actie komen om de benodigde patches uit te rollen. Als u niet weet dat u iets hebt, kunt u het ook niet beschermen. Daarom kunnen we niet genoeg benadrukken hoe waardevol het is om snel te weten of uw huidige omgeving kwetsbaarheden bevat, en om deze vervolgens nog sneller op te lossen.  Uit het <a href="https://www.rapid7.com/blog/post/2023/02/28/a-shifting-attack-landscape-rapid7s-2022-vulnerability-intelligence-report/">Vulnerability Intelligence Report van Rapid7 voor 2022</a> kwam naar voren dat ruim de helft van de bestudeerde kwetsbaarheden binnen zeven dagen na hun openbaarmaking werd misbruikt. Dat is 12% meer dan in 2021 en zelfs 87% meer dan in 2020.

De meeste mensen denken bij kwetsbaarheden aan grote softwareleveranciers, maar door de populariteit van open-source software is het bedreigingslandschap door kwetsbaarheden nog ingewikkelder. Volgens een <a href="https://openuk.uk/wp-content/uploads/2021/10/openuk-state-of-open_final-version.pdf">onderzoek van OpenUK</a> gebruikt 90% van de bedrijven open-source software. Hierdoor nemen de mogelijke beveiligingsrisico's in de leverketen toe, bovenop de standaard zorgen over besturingssystemen en/of eigen software. <a href="https://www.gartner.com/en/articles/7-top-trends-in-cybersecurity-for-2022">Gartner</a> voorspelt bovendien dat 45% van de organisaties overal ter wereld voor 2025 te maken zullen krijgen met een aanval op hun softwareleverketen. Open-source software is wijdverbreid, en dat zorgt voor afhankelijkheden die lastig te herkennen zijn als bedrijven hier niet extreem goed op letten. Een voorbeeld is de Apache Log4j kwetsbaarheid (CVE-2021-44228), één van de meest misbruikte kwetsbaarheden van 2022. Zelfs een jaar na de eerste openbaarmaking was Log4j nog aanwezig in 5% van de codebases die Synopsys heeft onderzocht voor zijn <a href="https://www.synopsys.com/software-integrity/resources/analyst-reports/open-source-security-risk-analysis.html?intcmp=sig-blog-ossra22">Open-Source Security and Risk Analysis Report van 2023</a>.

Door het vele thuiswerken en wijdverbreid gebruik van Bring Your Own Device, hebben hackers veel meer mogelijkheden dan vroeger om bedrijven aan te vallen. Er zijn veel toegangspunten buiten de traditionele grenzen van een bedrijfsinfrastructuur, en bedrijven moeten rekening houden met potentiële kwetsbaarheden die buiten hun directe controle liggen.  Een sterk beleid voor patches, voorlichting voor medewerkers en goede communicatie zijn onmisbaar om deze buitengrenzen van de digitale bedrijfsomgeving te versterken.
<h3>Welke stappen kunt u zetten? </h3>
<ul>
 	<li>Stel beleid en procedures op voor de omgang met kwetsbaarheden en voor het patchbeheer, in aansluiting op de best practices en de prioriteiten van uw bedrijf. Met een helder beleid dat vastlegt hoe er moet worden gereageerd op nieuwe kwetsbaarheden, wordt het sneller en eenvoudiger om de benodigde maatregelen door te voeren.</li>
 	<li>Investeer indien mogelijk in tools die de automatische detectie van assets en kwetsbaarheden ondersteunen, en/of inzicht bieden in mogelijke bedreigingen.</li>
 	<li>Ontwikkel een goede asset-inventaris van de software binnen uw bedrijf, inclusief inzicht in de mogelijke afhankelijkheden van open-source. Met Software Bills Of Material (SBOM's) kunt u nagaan welke open-source componenten essentieel zijn voor uw operationele activiteiten, zodat u snel kunt reageren als hier een nieuwe kwetsbaarheid ontstaat.</li>
 	<li>Schakel waar mogelijk automatische updates in voor software, om kwetsbaarheden zo snel mogelijk aan te pakken. Als tests vereist zijn om zeker te zijn dat een update het operationele werk niet stoort, voer deze tests dan zo snel mogelijk uit.</li>
 	<li>Het aantal kwetsbaarheden dat jaarlijks bekend wordt kan overweldigend zijn: <a href="https://www.cve.org/About/Metrics">in 2022 waren het er 25.000</a>. Stel prioriteiten bij het patchen op basis van de ernst en de vraag of cybercriminelen actief gebruik maken van een kwetsbaarheid. Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) houdt een catalogus bij van bekende misbruikte kwetsbaarheden en werkt deze lijst regelmatig bij (deze catalogus vindt u hier). De lijst is gratis beschikbaar en vormt een belangrijk uitgangspunt om prioriteiten te stellen in uw patchbeheer op basis van werkelijke bedreigingen.  Het Forum of Incident Response and Security Teams (FIRST) heeft bovendien een score ontwikkeld, die aangeeft hoe waarschijnlijk het is dat een kwetsbaarheid zal worden misbruikt: het <a href="https://www.first.org/epss/">Exploit Prediction Scoring System</a> (EPSS). Ook die kan helpen om prioriteiten te stellen.</li>
 	<li>Het kan ook nuttig zijn om een eigen methodologie te ontwikkelen om prioriteiten te stellen, zodat u snel op een passende manier kunt reageren op nieuwe kwetsbaarheden. Hierbij kunt u dan rekening houden met verschillende elementen: externe factoren zoals de CVSS-score en de vraag of een kwetsbaarheid actief misbruikt wordt, en interne factoren zoals de vraag of de betroffen assets van kritiek belang zijn voor uw bedrijfsvoering, of bijvoorbeeld een impact hebben op klanten.</li>
 	<li>Stel een helder beleid op voor het updaten van apparaten die medewerkers zelf inbrengen (BYOD) en maak deze verwachtingen ook duidelijk aan medewerkers. Communiceer nieuwe kwetsbaarheden die van belang zijn voor deze apparaten (inclusief smartphones en privécomputers), zodat medewerkers de benodigde patches kunnen installeren.</li>
</ul>
Het kan overweldigend lijken om een goed programma voor het beheer van kwetsbaarheden op te zetten, maar met deze stappen ondersteunt u ook met beperkte middelen een benadering die prioriteiten stelt op basis van de bedreiging.  Met deze risicogebaseerde aanpak kunnen bedrijven het maximale uit hun investeringen halen met behulp van het Pareto-principe: 80% van de voordelen van het beheer van kwetsbaarheden worden bereikt met de eerste 20% aan inspanningen.

Het LastPass TIME-team (Threat Intelligence, Mitigation, and Escalation) houdt zich bezig met het beschermen van onze gemeenschap door het monitoren, analyseren en mitigeren van dreigingen die zijn gericht tegen onze klanten, ons bedrijf en de beveiligingsbranche als geheel. Het heeft gezamenlijk al 50 jaar ervaring met cyberbeveiliging en dreigingsanalyse en gelooft sterk in het uitwisselen van informatie en het opbouwen van vruchtbare relaties om een effectief programma voor het verzamelen en analyseren van dreigingsinformatie te kunnen ontwikkelen. Binnen LastPass leveren we tijdige en bruikbare informatie aan onze beveiligingsteams, zodat zij onze klanten, hun data en ons bedrijf beter kunnen beschermen. Naast het uitvoeren van analyses en het informeren van onze beveiligingsteams over de nieuwste ontwikkelingen op het gebied van cyberdreigingen, werken we ook aan systemen om onze dreigingsinformatie geautomatiseerd door te geven aan de processen van onze partners, zodat nieuw ontdekte dreigingen sneller gemitigeerd kunnen worden.

Cyberbeveiliging als een quilt: patches als sleutel tot een sterke verdediging

LastPass Labs is de centrale content hub voor het TIME-team (Threat Intelligence, Mitigation, and Escalation) team van LastPass. Wij maken diepgaande analyses van de nieuwste ontwikkelinge[..]

De digitale wereld bestaat uit miljoenen websites en accounts. En als de beveiliging hiervan ook maar één zwak punt heeft, liggen cybercriminelen op de loer om daar misbruik van te maken. Hun makkelijkste doelwit? Mensen en bedrijven die met gedateerde software en technologie werken. We hebben het in deze blog al eerder gehad over <a href="https://blog.lastpass.com/2023/08/cybersecurity-as-a-quilt-why-patches-are-key-to-a-strong-defense/">goed beheer van kwetsbaarheden</a> en hoe belangrijk het is om een correcte inventaris bij te houden van digitale assets. In deze speciale blogpost voor de Maand van de Cyberbeveiliging vullen we dit aan, en kijken we hoe belangrijk het is om uw tech-stack te auditen en weer up-to-date te brengen.

Het maakt niet uit hoe goed uw gebruikers kunnen omgaan met technologie (of hoe slecht). Als uw medewerkers gedateerde resources gebruiken, wordt het risico op cybercriminaliteit aantoonbaar hoger. Wanneer u de technologie binnen uw organisatie beoordeelt en waar nodig vervangt door modernere oplossingen, zijn alle apparaten en softwaretoepassingen in uw netwerk weer up-to-date. Met de juiste tools houdt u uw bedrijf veilig. Door de jaren heen wordt de beveiliging van software en apparaten steeds minder effectief. Als u de vergelijking maakt met de analoge wereld, kunt u denken aan een kluisdeur, die alleen wordt afgesloten met een haakje en een oogje – terwijl er inmiddels magneetsloten en irisscans bestaan. Uw klanten en uw bedrijf zijn in deze vergelijking de goudreserves in die kluis – en een haakje is niet voldoende om bankovervallers buiten te houden. Hier is moderne technologie voor nodig.

Voor een gestructureerde benadering werken we met drie hoofddoelen: 1) risico's op cybercriminaliteit terugdringen, 2) technologieschulden wegwerken, en 3) uw technologische infrastructuur in kaart brengen en consolideren. Hieronder gaan we in op ieder doel.

Risico's op cybercriminaliteit terugdringen

De belangrijkste reden om uw technologie up-to-date te brengen is simpel: als u dit niet doet, loopt u een onaanvaardbaar risico op digitale inbraken, gegevenslekken, ransomware en andere ellende.  Om uzelf te beschermen tegen cybercriminelen, moet u gebruik maken van de nieuwste softwareversies en moderne tools. Versterk uw organisatie met een actuele hybride of cloud-based infrastructuur, en voer een gap analysis uit om na te gaan waar uw huidige beveiligingsmechanismen tekortschieten tegen de bedreigingen van nu. Als u inzicht hebt in de kwetsbaarheden die voor u relevant zijn en begrijpt met welke tactieken, technieken en procedures cybercriminelen uw huidige verdediging kunnen omzeilen, kunt u effectief in actie komen om uw klanten, uw gegevens en uw bedrijf te beschermen.

Technologieschulden wegwerken

Technologieschulden zijn onvermijdelijk.  Hardware en software verouderen, soms is improvisatie onvermijdelijk, en de code ontwikkelt zich. Maar als u dit soort problemen niet aanpakt, kunnen inefficiënties zich opstapelen. En oplossingen van jaren geleden worden al snel de problemen van nu. Uit <a href="https://www.outsystems.com/1/growing-threat-technical-debt/" target="_blank" rel="noopener">onderzoek van Outsystems in 2021</a> bleek dat 28% van de IT-budgetten in organisaties opgaat aan technologieschulden. Bij grote organisaties ligt dit percentage zelfs op 40%.  Met een doordachte benadering om uw tech-stack te moderniseren, krijgen bedrijven de kans om deze schuld in één keer een stuk te verlagen. Natuurlijk zijn er kosten verbonden aan updates en nieuwe systemen (zowel in de aanschaf als voor training), maar over het algemeen vergroten ze de efficiëntie en beveiliging op de lange termijn.  Uit <a href="https://stripe.com/files/reports/the-developer-coefficient.pdf">onderzoek van Stripe in 2018</a> bleek dat software-engineers gemiddeld 33% van hun tijd besteedden aan technologieschuld.  Als u uw technologie een upgrade geeft, komt er tijd vrij die uw IT-professionals vervolgens kunnen gebruiken om processen te verbeteren of uw beveiliging te versterken.

Technologische infrastructuur in kaart brengen en consolideren

Zoals gezegd hebben we al eerder geschreven over het belang van technologisch assetbeheer. Schaduw-IT brengt diverse bedreigingen met zich mee. Als u niet weet dat u bepaalde IT op uw netwerk hebt, kunt u deze ook niet beveiligen of updaten. Een audit van uw tech-stack is een essentieel onderdeel van een modernisatie, en geeft u de kans om een “single source of truth” voor al uw technologie aan te maken of bij te werken. Dit is ontzettend waardevol voor herstel na incidenten en het ondersteunt uw organisatie om snel te patchen als er nieuwe zero-day exploits opduiken. Met een betrouwbaar en gedocumenteerd register werkt iedereen met een gedeeld overzicht van uw bedrijf. In crisissituaties zorgt dit ervoor dat u snel, besluitvaardig en correct kunt handelen.  Bovendien biedt een update van uw tech-stack de gelegenheid om uw software en tools nog eens tegen het licht te houden: werken ze goed, en sluiten ze optimaal op elkaar aan om uw beveiliging te versterken en uw efficiency te verbeteren?

Het <a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_jul2023.pdf">Threat Horizons-rapport van Google Cloud</a> uit augustus 2023 gaf aan dat ruim de helft van de incidenten waar het Google-crisisteam op reageert, is te herleiden tot gelekte aanmeldingsgegevens. De aanbeveling is duidelijk: betere beveiligingsmechanismen voor het identiteitsbeheer. Tijdens een audit en update van hun tech-stack kunnen bedrijven de meest recente technologie voor identiteits- en toegangsbeheer implementeren, hun toegangsvereisten bijwerken en naleving effectief afdwingen.  Dit is essentieel om de voortdurende crisis door gelekte aanmeldingsgegevens te bestrijden. Met moderne beveiligingstools, zoals een goede zakelijke wachtwoordbeheerder, kunnen medewerkers veilig gevoelige gegevens aanmaken, beheren en opslaan. En organisaties profiteren van de nieuwste updates, zoals wachtwoordloze aanmeldingsmethoden om weerstand tegen goede wachtwoordgewoontes weg te nemen bij medewerkers.

Software-stack upgraden door audit & modernisatie

De digitale wereld bestaat uit miljoenen websites en accounts. En als de beveiliging hiervan ook maar één zwak punt heeft, liggen cybercriminelen op de loer om daar misbruik van te maken. Hun makkelij[..]

Hoewel ransomware veelal het nieuws domineert, komt een andere verraderlijke vorm van malware eigenlijk veel vaker voor. Iedereen kan erdoor worden getroffen, van particuliere thuiscomputers tot grote internationale bedrijven. Infostealers, oftewel informatie-stelende malwareprogramma's, gaan in geïnfecteerde computersystemen op zoek naar gevoelige informatie zoals wachtwoorden, cryptowallets, sessiecookies, financiële gegevens en andere persoonlijke data. De gestolen informatie wordt vervolgens doorgesluisd naar de gebruiker van de malware.

Veel infostealers zijn tegenwoordig beschikbaar als "malware-as-a-service" (MaaS). Hierbij kunnen criminelen een abonnement aanschaffen (vaak voor honderden dollars per maand) om de malware te gebruiken voor hun eigen doeleinden. Het onderhoud en de hosting van de malware blijft in handen van de softwareontwikkelaar die de malware te koop aanbiedt.  Dit verlaagt de technologische drempel voor cybercriminelen, met als gevolg dat infostealers snel in opkomst zijn als wereldwijde cyberdreiging.

Hoe komt deze malware bij de slachtoffers terecht?

Het doelwit kan op verschillende manieren worden geïnfecteerd, bijvoorbeeld via phishing-mails, een bezoek aan een geïnfecteerde website of een frauduleuze app. Zodra een computer of netwerk is geïnfecteerd, wordt de malware gestart. Deze probeert zo snel mogelijk kritieke informatie in browsers of bestandsmappen te vinden en door te sturen - liefst inclusief het hoofdwachtwoord van LastPass. De hackers gebruiken deze gegevens vervolgens om zichzelf toegang te verschaffen tot waardevolle accounts, of ze verpakken de informatie in "logs" om deze te verkopen op online markten, webforums of andere criminele sites.

De prijzen liggen momenteel rond de <a href="https://www.accenture.com/us-en/blogs/security/information-stealer-malware-on-dark-web">$10 per log</a>. Er zijn op elk willekeurig moment miljoenen logs te koop - waaruit wel blijkt hoe wijdverspreid en alledaags deze vorm van malware is geworden. Een log bevat inloggegevens en andere gevoelige informatie van een slachtoffer. De doelwitten lopen uiteen van multinationals tot eenmansbedrijven en persoonlijke accounts die van een thuiscomputer worden gestolen.

Wat doet LastPass hiertegen?

Om te beginnen heeft LastPass flink geïnvesteerd in ons programma voor Cyber Threat Intelligence, zodat we onze beveiliging verder kunnen versterken.  Hiervoor hebben we een speciaal TIME-team (Threat Intelligence, Mitigation &amp; Escalation) opgericht. Dit team versterkt onze monitorings- en waarschuwingscapaciteiten op het gebied van cyberdreigingen door gebruik te maken van open-source of zelf ontwikkelde rapportagefuncties. Bovendien monitoren we op een proactieve manier een groot aantal sites op het dark web om kwaadaardige activiteiten op te sporen. We integreren al deze informatie automatisch met onze gespecialiseerde teams voor detectie &amp; respons en kwetsbaarhedenbeheer, zodat de mitigatie na een inbreuk sneller kan verlopen. Tot slot hebben we een specifiek, doelgericht proces ontwikkeld voor het monitoren van blootgestelde persoonlijke informatie. Hierdoor kunnen we snel een waarschuwing sturen naar onze klanten die hebben gekozen voor monitoring van het dark web.

Zoals te verwachten viel, zijn hoofdwachtwoorden zeer gewild binnen de gemeenschap van infostealers, omdat deze wachtwoorden toegang geven tot de kluis van een gebruiker met alle gebruikersnamen, wachtwoorden en andere gevoelige gegevens. Er zijn tientallen infostealers op de markt, maar LastPass monitort vooral drie infostealer-families die regelmatig gegevens van LastPass-klanten te koop aanbieden:
<ul>
 	<li>Redline: Deze MaaS-stealer bestaat sinds 2020 en is een van de meest voorkomende.</li>
 	<li>Raccoon: Varianten van deze stealer zijn al beschikbaar sinds 2019.</li>
 	<li>Vidar: Deze stealer is al minstens sinds 2018 op de markt en kan ook screenshots maken.</li>
</ul>
LastPass neemt robuuste maatregelen om de inloggegevens van onze klanten te beschermen. We hebben onlangs onze monitoring van het dark web uitgebreid door ook de logs van infostealers te volgen, evenals andere mogelijke bronnen voor gegevens van LastPass-klanten. LastPass kan niet helpen om de initiële infectie te verhinderen, omdat deze vaak plaatsvindt via phishing, een bezoek aan een geïnfecteerde website of het gebruik van een kwaadaardige app op een eindgebruikersapparaat. Maar we kunnen onze klanten wel helpen door hen te waarschuwen zodra we ontdekken dat hun gegevens zijn gestolen.

Welke maatregelen kunt u nemen om uw account te beschermen?

We adviseren alle LastPass-gebruikers om deel te nemen aan ons programma voor monitoring van het dark web. Dit biedt extra zekerheid. U krijgt dan bericht van ons als uw inloggegevens onverhoopt op het dark web worden aangetroffen. En verder:
<ul>
 	<li>Gebruik multi-factor authenticatie (MFA) overal waar deze optie beschikbaar is, om uw accounts zo goed mogelijk te beschermen. Let er wel op dat u geen MFA-verzoeken accepteert of goedkeurt die u niet zelf expliciet hebt gegenereerd.</li>
 	<li>Vertrouw nooit een app die wordt aangeboden via niet-traditionele kanalen (buiten de gebruikelijke app stores).</li>
 	<li>Gebruik een antivirusprogramma en download regelmatig de updates. Beter nog: stel het programma in op automatisch updaten.</li>
 	<li>Bewaar uw hoofdwachtwoord nooit op uw computer of een ander apparaat, óók niet bij de automatische invulopties van uw webbrowser.</li>
</ul>
LastPass gaat door met het verder versterken en uitbreiden van onze monitoring- en rapportagecapaciteiten. Bovendien werken we aan een proces voor het proactief verstoren van malware die zich richt op LastPass-accounts als doelwit. Als onderdeel van ons streven naar transparantie zullen we onze klanten en de bredere cybergemeenschap op de hoogte houden van de nieuwste cybertrends, de maatregelen die we nemen om de gegevens van onze klanten veilig te houden, en de impact van onze inspanningen.

LastPass Labs is de centrale content hub voor het TIME-team (Threat Intelligence, Mitigation, and Escalation) team van LastPass. Wij maken diepgaande analyses van de nieuwste ontwikkelingen op het gebied van cyberbeveiliging door middel van innovatieve technologieën een uniek perspectief op nieuwe dreigingen.

Het LastPass TIME-team (Threat Intelligence, Mitigation, and Escalation) houdt zich bezig met het beschermen van onze gemeenschap door het monitoren, analyseren en mitigeren van dreigingen die zijn gericht tegen onze klanten, ons bedrijf en de beveiligingsbranche als geheel. Het heeft gezamenlijk al 50 jaar ervaring met cyberbeveiliging en dreigingsanalyse en gelooft sterk in het uitwisselen van informatie en het opbouwen van vruchtbare relaties om een effectief programma voor het verzamelen en analyseren van dreigingsinformatie te kunnen ontwikkelen. Binnen LastPass leveren we tijdige en bruikbare informatie aan onze beveiligingsteams, zodat zij onze klanten, hun data en ons bedrijf beter kunnen beschermen. Naast het uitvoeren van analyses en het informeren van onze beveiligingsteams over de nieuwste ontwikkelingen op het gebied van cyberdreigingen, werken we ook aan systemen om onze dreigingsinformatie geautomatiseerd door te geven aan de processen van onze partners, zodat nieuw ontdekte dreigingen sneller gemitigeerd kunnen worden.

Infostealers: de grote dreiging die uitgaat van informatie-stelende malware

Hoewel ransomware veelal het nieuws domineert, komt een andere verraderlijke vorm van malware eigenlijk veel vaker voor. Iedereen kan erdoor worden getroffen, van particuliere thuiscomputers tot grote[..]

Blog

Blog

Meest recent

Nieuws uit de branche

LastPass voor beheerders

LastPass Labs

Productupdates

Tips