Agenda. Over de gevaren van phishing en de urgentie van e- mailbeveiliging

Transcriptie

1 Over de gevaren van phishing en de urgentie van e- mailbeveiliging ECP en het Forum Standaardisatie, Den Haag, John van Huijgevoort Agenda Het (NCSC) Cybersecuritybeeld Nederland Phishing 2

2 De NCSC-missie Bijdragen aan het vergroten van de weerbaarheid van de Nederlandse samenleving in het digitale domein En daarmee bijdragen aan een veilige, open en stabiele (digitale) samenleving Door Het leveren van inzicht en het bieden van handelingsperspectief. 3 Primair Rijksoverheid Vitale sectoren Secundair Mede-overheden Bedrijfsleven, NGO s MKB Eindgebruikers, burgers Doelgroepen NCSC 4

3 Pijlers NCSC Expertise & Advies Generiek / Proactief Response op dreigingen & incidenten Specifiek / Reactief Crisisbeheersing 5 Agenda Het (NCSC) Cybersecuritybeeld Nederland Phishing 6

4 Cyber Security Beeld Nederland (CSBN) Biedt inzicht in cybersecurity-ontwikkelingen en de veiligheid van de digitale samenleving. Observatie en analyse van de nationale en internationale cybersecurity-ontwikkelingen ten behoeve van de ambtelijke en politieke leiding en beleidmakers. Geen aanbevelingen en adviezen. Verschijnt jaarlijks 7 Definitie Phishing Verzamelnaam voor digitale activiteiten die tot doel hebben persoonlijke informatie aan mensen te ontfutselen. Deze persoonlijke informatie kan worden misbruikt voor bijvoorbeeld creditcardfraude, maar ook voor wat in het Engels identity theft wordt genoemd; het stelen van iemands identiteit. 8

5 Spearphising Verschillende vormen de gerichte vorm van phishing waarbij bijvoorbeeld alleen klanten van een bepaalde organisatie worden aangeschreven. Clonephishing waarbij een daadwerkelijk door een merk verzonden bericht opnieuw wordt gebruikt. Whaling waarbij de aanvallen worden gericht op personen in hooggeplaatste functies 9 Onvoldoende bewustzijn voor gevaren van phishing Uit analyses van beveiligingsincidenten en oefeningen waarin het NCSC heeft geparticipeerd, blijkt dat phishing een succesvolle manier blijft om toegangsgegevens te achterhalen. Een succesratio van 30 procent is haalbaar. Voorwaarde daarbij is dat een goed op de organisatie gerichte en geschreven phishing wordt gebruikt. Dit maakt vooral informatiesystemen die via internet toegankelijk zijn en geen gebruikmaken van sterke (bijvoorbeeld two-factor) authenticatie kwetsbaar. 10

6 Kernbevindingen (1) Geen grote verschuivingen in dreigingen waarneembaar; aandacht derhalve onverminderd vereist. Digitale spionage en cybercriminaliteit blijven de grootste dreigingen voor overheid en bedrijfsleven. Hacktivisten, beroepscriminelen en cyberonderzoekers zijn de afgelopen periode meer zichtbaar geweest. Deel incidenten nog steeds te wijten aan simpele kwetsbaarheden die eenvoudig te voorkomen zijn. Een belangrijke oorzaak van incidenten blijft het niet tijdig repareren van kwetsbaarheden in software en websites. 11 Kernbevindingen (2) Kwaadwillenden zijn steeds sneller in staat om zwakheden te misbruiken. Toename van online apparaten en diensten resulteert in een sterke toename in complexiteit van beheersvraagstukken. Veel organisaties en internetgebruikers hebben onvoldoende kennis om zich goed te beschermen tegen digitale risico s. Actoren werken steeds meer samen en delen direct en indirect en bedoeld of onbedoeld kennis. 12

7 Weerbaarheid Geïnitieerde maatregelen. Normen, richtlijnen en standaarden. Domain Keys Identified Mail (DKIM) Sender Policy Framework (SPF) Domain-based Message Authentication, Reporting & Conformance (DMARC) Awareness campagnes. Handhaving en opsporing. Informatie uitwisseling en samenwerking. Cyberresearch. Oprichting NCSC, Cybertaskforce, IBD gemeente, etc. 28 maart Effectiviteit 2013 van de maatregelen l i d 13 Incidenten 14

8 Phishing-problematiek in.nl in drie jaar tijd verdrievoudigd 15 Global Phishing Survey: Trends and Domain Name Use in 1H

9

10

11

12

13

14 Waarschuwingen

15

16 31 Veilig op sociale netwerken 32

17 Help! Mijn gegevens zijn op internet gelekt 33 Maatregelen 34

18 Zo kunt u phishing onder andere herkennen Een onverwachte van uw eigen of een andere bank of andere organisatie. Taalkundig slecht geschreven s. De is niet aan u persoonlijk gericht. In de vraagt de beveiligingsafdeling van uw bank of andere organisatie u iets te doen. Er wordt gevraagd naar een (of meerdere) beveiligingscode(s) Er wordt gedreigd met gevolgen als u niet direct reageert. U wordt gevraagd op een link te klikken naar een vreemde website. U wordt gevraagd de te beantwoorden met persoonlijke gegevens. Uw mailprovider of spamfilter heeft een indicatie van spam gegeven. 35 Acties vanuit NCSC bij phishing melding NOTICE and TAKEDOWN (NTD) Detectie, beoordeling en actie door organisatie (slachtoffer phishing-poging) Contact opnemen met betreffende ISP/hosting provider Indienen NTD-verzoek door organisatie bij NCSC Beoordeling en afhandeling NTD-verzoek door NCSC 36

19 Phishing scorecard 37 Browser Anti-Phishing-Test December

20 Anti-Phishing-Test August

21 Contactgegevens John van Huijgevoort Telefoon: Tack Sweden Dank u Belgium Jag tackar Finland Danke Germany Gracias Spain Obrigado Dziekuje Dankschen Austria Grazie Portugal Poland Italy Thanks United States Takk Norway Toda Israel Thank You United Kingdom Dakujem Slovakia Engraziel Switzerland Bedankt Netherlands Tak Denmark Russia Arigato Japan Merci France Tesekkür ederim Turkey 42