Het is de meest gehoorde zin aan de ondernemerstafel zodra het over cybercriminaliteit gaat: wij zijn daar te klein voor. De redenering klinkt logisch, want waarom zou iemand moeite doen voor een bedrijf met dertig man? Het antwoord is simpel: niemand doet moeite. En juist daarom ben je een doelwit.
Phishing is geen maatwerk meer, het is volume. Aanvallers versturen duizenden mails tegelijk en kijken waar geklikt wordt. Wie klikt, krijgt aandacht. Bij die vervolgstap is een mkb-bedrijf aantrekkelijker dan een concern, want er is geen securityafdeling die meekijkt, de directeur regelt betalingen soms zelf, en het mailadres van de boekhouding staat gewoon op de website. Minder buit per keer, maar veel minder weerstand. Die rekensom valt in het voordeel van de aanvaller uit.
Het advies waarmee de meeste ondernemers zijn opgegroeid, luidt: let op taalfouten en rare afzenders. Dat advies is achterhaald. De phishingmail van nu is foutloos geschreven, gebruikt de huisstijl van je bank of je softwareleverancier en verwijst naar dingen die kloppen, geplukt van je eigen website of van LinkedIn. Een mail uit naam van de accountant in de week van de btw-aangifte. Een betaalverzoek van een leverancier waar je daadwerkelijk zaken mee doet.
Herkennen kan nog steeds, maar op andere signalen: het verzoek wijkt af van wat gebruikelijk is, er zit tijdsdruk achter, of iemand vraagt om iets via een ander kanaal dan normaal. Dat zijn gedragssignalen, geen taalsignalen. En gedrag herken je alleen als je erop getraind bent.
De vraag is dus niet of je medewerkers ooit zo’n mail krijgen, maar of ze hem herkennen op het moment dat het uitkomt voor de afzender en niet voor hen. Daar hoef je niet naar te gissen. Met een phishing simulatie stuur je zelf een onschuldige nepmail rond en zie je precies wat er gebeurt.
Twee cijfers doen ertoe. Hoeveel mensen klikken, dat is de confronterende. En hoeveel mensen melden de mail, dat is de belangrijke. Een team dat snel meldt, stopt een echte aanval voordat er schade is, ook als er iemand geklikt heeft. Reken overigens nergens op nul klikkers: die bestaan niet, ook niet bij bedrijven die er veel aan doen. Het doel is de trend, niet de perfectie.
De valkuil na zo’n eerste test is er één project van maken: een presentatie, een poster bij de koffieautomaat, klaar. Drie maanden later is het effect verdampt. Waakzaamheid slijt, en aanvallers vernieuwen hun trucs sneller dan een jaarlijkse sessie kan bijbenen.
Wat blijft hangen, is een korte, terugkerende vorm: security awareness training voor medewerkers van een paar minuten per week, afgewisseld met af en toe een nieuwe testmail. Zo haken nieuwe collega’s direct aan, blijft het onderwerp licht in plaats van belerend, en zie je als ondernemer in de cijfers terug of het beter gaat.
Te klein om interessant te zijn bestaat niet in een spel dat op volume draait. Te goed voorbereid om er tijd aan te verspillen, dat bestaat wel.
