Websites voor coronasteun niet altijd veilig

De Nederlandse overheid heeft al miljarden euro’s uitgegeven om bedrijven te helpen die hun inkomsten met minimaal 20% hebben zien dalen. Volgens de huidige cijfers bedraagt de gemiddelde omzetdaling in alle sectoren maar liefst 70%. Om deze financiële druk te verminderen, heeft de overheid een aantal initiatieven opgezet. Deze zijn erop gericht om de lokale economie te stimuleren en bedrijven die hun omzet hebben zien verdwijnen financieel te ondersteunen. Helaas leidt de invoering van nieuwe regelingen net zo snel tot nieuwe oplichterspraktijken die deze regelingen uitbuiten.

Op de website van de Kamer van Koophandel staat een overzicht van regelingen waarvoor mensen zich kunnen aanmelden en welke organisaties verantwoordelijk zijn voor de uitvoering van die regelingen. Uit analyse van Proofpoint blijkt dat van de elf genoemde organisaties op de website slechts één (9%) het strengste niveau van DMARC (Domain-based Message Authentication, Reporting & Conformance)-bescherming heeft geïmplementeerd. Dit protocol weerhoudt cybercriminelen ervan om de identiteit van een organisatie te vervalsen en verlaagt het risico op e-mailfraude voor klanten.

Dit betekent dat 91% van deze organisaties niet over de vereiste beveiliging beschikt om te voorkomen dat frauduleuze aanvallers zich voordoen als die organisaties. Van de elf organisaties hebben er drie (27%) zelfs helemaal geen DMARC-bescherming, waardoor ze volledig kwetsbaar zijn voor dit soort aanvallen.

“Terwijl veel mensen zich aanmelden voor of informatie zoeken over overheidssteun, liggen cybercriminelen op de loer om onwetende slachtoffers op te lichten in deze crisistijd”, zegt Jim Cox, Regional Director Benelux voor Proofpoint. “Oplichters maken regelmatig gebruik van domain spoofing om zich voor te doen als overheids- of andere gerespecteerde instantie. Online fraudeurs maken gebruik van de zwakke plekken in e-mailprotocollen om een bericht te versturen via een zogenaamd legitieme afzender. Dit maakt het bijna onmogelijk voor een doorsnee internetgebruiker om een nepafzender van een echte te onderscheiden”.

Met dit in het achterhoofd zouden alle private en publieke organisaties moeten overwegen om authenticatieprotocollen zoals DMARC te implementeren om hun verdediging tegen e-mailfraude te versterken.

Tips om oplichting te voorkomen
Hoewel oplichterij rond COVID-19 relatief nieuw is, zijn de methoden die erachter schuilgaan dat niet. Consumenten moeten waakzaam blijven en de basisprincipes van beveiliging in acht nemen:

• Raadpleeg alleen officiële bronnen voor informatie over overheidssteun. Navigeer waar mogelijk naar websites door het adres zorgvuldig in een browser te typen.
• Wees waakzaam voor berichten waarin om persoonlijke informatie of financiële gegevens wordt gevraagd.
• Negeer alle onverwachte verzoeken via e-mail, telefoon, SMS of sociale netwerken. Overheidsinstanties zullen niet via deze kanalen om zeer gevoelige informatie vragen.
• Klik niet op onbekende links, zelfs niet van afzenders die legtiem lijken. Als de informatie in een e-mail betrouwbaar lijkt, bevestig dit dan met een officiële bron.
• Let op spel- en grammaticafouten. Als een officieel uitziende e-mail of brief spelfouten bevat, is deze waarschijnlijk niet legitiem.
• Pas op voor haastige verzoeken. Banken en overheidsinstanties zullen nooit dringend vragen om informatie te overhandigen.
• Beperk de mogelijke schade van identiteitsdiefstal door unieke wachtwoorden te gebruiken voor iedere afzonderlijke dienst. Het gebruik van een wachtwoordmanager maakt dit proces eenvoudiger.

Zoals altijd is bewustwording het belangrijkste verdedigingsmiddel tegen cyberoplichters. Hoe meer mensen zich bewust zijn van aanvalsmethoden en -motieven, hoe kleiner de kans dat ze slachtoffer worden. Mensen moeten vertrouwd raken met veel voorkomende oplichterspraktijken en de bovenstaande stappen volgen voordat ze reageren op berichten over overheidssteun of finaciële regelingen.