Oktober cybersecurity maand: cybercriminaliteit binnen de belangrijke sectoren

[Kees Plas] Wij naderen het eind van de cybersecurity maand. Een goed moment om het Nederlandse bedrijfsleven eens kritisch onder de loep te nemen. Welke motieven, patronen en soorten cybercriminaliteit komen wij zoal in de belangrijkste sectoren tegen? Verschilt cybercriminaliteit per sector?

Individuen en bedrijven willen meer inzicht in de wereld van gegevensdiefstal. Advies over hoe bedrijven en individuen zich daar beter tegen kunnen wapenen, is in deze dagen welkom. Inzicht krijgen in wat er precies gebeurt wanneer er een beveiligingsincident plaatsvindt, is cruciaal om cybercriminaliteit preventief te bestrijden en de reputatie van zowel bedrijven als individuen te beschermen. Wij kijken naar cybercriminaliteit binnen diverse belangrijke sectoren.

Financiële en verzekeringssector : De financiële sector wordt geconfronteerd met enkele specifieke uitdagingen op het gebied van informatiebeveiliging. Deze sector is een waardevol doelwit voor cybercriminelen. Daardoor krijgen organisaties te maken met doelgerichte, hardnekkige aanvallen door cybercriminelen. Aanvallen op deze sector staan vooral in het teken van geld. Denk daarbij aan het direct stelen van geld (door toegang te krijgen tot interne rekeningen en applicaties) of indirecte diefstal (fraude gericht op individuele klanten). Veel van de aanvallen zijn gericht op pinautomaten, internetapplicaties en werknemers. De sector kan de risico’s beperken door pinautomaten beter te beveiligen, nauwkeurig om te gaan met aanmeldingsgegevens, veilige toepassingen te ontwikkelen en medewerkers te trainen en hen bewust te maken van de risico’s en gevolgen van cybercrime.

Gezondheidszorg : De meeste aanvallen binnen de gezondheidszorg zijn gericht op kleine en middelgrote instellingen (één tot honderd werknemers) en medische en tandheelkundige klinieken. Deze aanvallen zijn vrijwel allemaal het werk van criminele groepen die uit zijn op financieel gewin. Zij richten hun pijlen voornamelijk op kleine organisaties om de pakkans te verlagen. Ze stelen persoonlijke of betalingsgegevens voor frauduleuze doeleinden. Bij de meeste aanvallen is sprake van hacking en wordt er malware gebruikt. Vaak zijn deze aanvallen gericht op Point Of Sale-systemen (POS). Daarnaast blijkt het in de gezondheidszorg nodig om medische apparatuur en elektronische patiëntgegevens te beveiligen. Organisaties kunnen het merendeel van deze incidenten voorkomen met een aantal relatief eenvoudige maatregelen, zoals het wijzigen van de beheerderswachtwoorden voor alle POS-systemen, het installeren van een firewall, voorkomen dat medewerkers via POS-systemen op internet kunnen en te zorgen dat de POS-systemen voldoen aan de richtlijnen van de PCI DSS (Payment Card Industry Data Security Standard).

Retail : De retailsector wordt nog steeds geteisterd door een groot aantal inbreuken op de gegevensbeveiliging. Veel van deze aanvallen zijn afkomstig van groepen die handelen uit financiële motieven. Zij krijgen toegang tot het netwerk via POS-systemen die medewerkers dagelijks gebruiken. Cybercriminelen maken misbruik van zwakke, eenvoudig te raden of standaardwachtwoorden. Dit doen ze via diensten voor toegang op afstand. De meest kwetsbare organisaties in deze sector zijn franchises en andere MKB-organisaties. Zij beschikken vaak niet over het interne personeel en de expertise die nodig is om zelf hun eigen beveiliging te beheren. Daarom gebruiken ze vaak oplossingen van externe leveranciers die meestal niet de juiste beveiliging bieden. In andere gevallen maken bedrijven gebruik van een kant-en-klare oplossing zonder na te gaan of deze oplossing in hun specifieke beveiligingsbehoeften voorziet. Vaak zijn medewerkers betrokken bij beveiligingsincidenten, soms onbedoeld en soms met kwade opzet. Het komt regelmatig voor dat werknemers op een kwaadaardige e-mailbijlage klikken of een twijfelachtige website bezoeken vanaf een bedrijfscomputer. Daardoor kan malware het systeem binnendringen en krijgen cybercriminelen toegang tot andere netwerkapparatuur.

Horeca : De horeca is het meest kwetsbaar voor gegevensdiefstal. De afgelopen twee jaar vonden er binnen deze sector meer incidenten plaats dan in elke andere branche. De POS-systemen die horecaondernemers gebruiken voor betalingstransacties blijken een eenvoudig doelwit voor georganiseerde criminelen. De horecasector moet zich meer dan alle andere sectoren toeleggen op het nemen van preventieve maatregelen.

Diefstal van intellectueel eigendom binnen diverse sectoren

Over het algemeen is het uiterst moeilijk om identiteitsdiefstal te achterhalen. Hiervoor is specialistische kennis nodig. Veel incidenten blijven lange tijd onopgemerkt en vaak duurt het even voordat beveiligingslekken succesvol zijn gedicht. Bij aanvallen op intellectueel eigendom is er vaak sprake van een complot waarin mensen binnen en buiten de onderneming samenwerken. De meeste samenzweerders zijn werknemers (twee derde). Buitenstaanders maken vaak gebruik van directe en kwaadaardige technieken. Daarnaast doen ze regelmatig een beroep op mensen binnen de organisatie en ondersteunen hen met advies. De meeste gegevens worden gestolen door vastberaden cybercriminelen die hun pijlen richten op intellectueel eigendom om snel financiële, technologische of andere voordelen te behalen. Aanvallers bundelen vaak verschillende methoden totdat ze een succesvolle combinatie vinden. Veel van deze combinaties beslaan meerdere stadia en aspecten. Er is geen alleenstaande oplossing die waterdichte bescherming tegen aanvallen op intellectueel eigendom kan garanderen. De beste verdediging is een beveilingsaanpak gebaseerd op gezond verstand en feiten.

Al met al zien we dat security binnen iedere branche een onderwerp van de dag is maar dat de tendensen per branche verschilt. Voorlopig blijft security nog lang als onderwerp op de kaart.

[Over het Verizon Data Breach Investigations Report: de vijfde editie is gebaseerd op gegevens over 855 beveiligingsincidenten waarbij in totaal 174 miljoen gegevensbestanden werden gestolen. Dit is het op een na hoogste aantal sinds het Verizon RISK-team in 2004 begon met het verzamelen van incidentgegevens. Vijf partners werkten mee aan het rapport, namelijk de Amerikaanse geheime dienst, de Nederlandse Nationale High Tech Crime Unit, de Australische politie, de Ierse Irish Reporting & Information Security Service en de Police Central e-Crime Unit van de London Metropolitan Police.] 

Over de auteur: Kees Plas is Director Security Services Verizon Terremark