Het woord phishing is afgeleid van fishing, vissen: de aanvaller werpt een lokaas uit en wacht tot iemand toehapt. MITRE rekent het tot de technieken van social engineering (CAPEC-98): de aanvaller doet zich voor als een legitieme partij om informatie los te krijgen, meestal inloggegevens. Er is geen technisch lek nodig: wat wordt misbruikt, is het vertrouwen van het slachtoffer.
Hoe phishing werkt
Het bericht imiteert een bekende afzender: bank, telecomprovider, overheid, webwinkel, sociaal netwerk of hostingprovider. Het wekt urgentie (account geblokkeerd, betaling mislukt, pakket in de wacht, domein dat bijna verloopt) en bevat een link naar een nepsite die een getrouwe kopie is van de echte. Alles wat je daar invult, gaat naar de aanvaller. De belangrijkste kanalen:
- e-mail, het klassieke kanaal;
- SMS of chatberichten, dan spreek je van smishing;
- telefoon, bijvoorbeeld een nepmedewerker van de bank.
Spear phishing is een gerichte variant: het bericht is geschreven voor één persoon of één bedrijf, met echte details die het geloofwaardig maken. Een freelancer of bureau dat de sites van meerdere klanten beheert, is een geliefd doelwit.
Wat een WordPress-site riskeert
Gestolen inloggegevens hebben niet altijd rechtstreeks met WordPress te maken, maar ze leiden er wel naartoe. Met toegang tot de klantomgeving van de hostingprovider past de aanvaller bestanden, de database of de DNS aan. Met een beheerdersaccount installeert hij een besmette plugin en plaatst hij malware of een backdoor. Met je mailbox reset hij de wachtwoorden van alle gekoppelde diensten. En een wachtwoord dat hier is gestolen, wordt elders opnieuw geprobeerd: dat is het startpunt van credential stuffing.
Hoe je je ertegen beschermt
- Geef nooit een wachtwoord of bankgegevens door via een bericht of telefoon: een serieuze organisatie vraagt daar niet op die manier om.
- Beweeg met de muis over een link zonder te klikken om de echte bestemming te zien, en controleer het adres van de site letter voor letter.
- Open je klantomgevingen (hostingprovider, domeinregistrar, bank) via een bladwijzer die je zelf hebt gemaakt, nooit via een ontvangen link.
- Twijfel je, neem dan contact op met de organisatie via een kanaal dat je al kent.
- Gebruik een wachtwoordmanager: die vult een formulier niet automatisch in op een verkeerd domein, en dat is meteen een waarschuwing.
- Schakel tweefactorauthenticatie in overal waar het kan. De tweestapsverificatie van WP Masquerade Pro beschermt het inloggen op WordPress; ze beperkt de schade van een gestolen wachtwoord, maar voorkomt niet dat een code in realtime op een nepsite wordt overgetypt.
WP Masquerade filtert geen e-mails en geen links: tegen phishing blijven alertheid en goede reflexen de eerste verdediging.
Wat je doet als je erin bent getrapt
- Verander meteen het betreffende wachtwoord, en ook overal waar je het hergebruikte.
- Heb je bankgegevens doorgegeven, neem dan direct contact op met je bank om je rekening of kaart te laten blokkeren.
- Controleer de beheerdersaccounts van je sites en de recente aanmeldingen; bij de minste twijfel behandel je de site als mogelijk gehackt.
- Bewaar het bericht en doe aangifte als je schade hebt. In Nederland kun je verdachte e-mails doorsturen naar valse-email@fraudehelpdesk.nl en andere berichten, zoals SMS, melden via het meldformulier van de Fraudehelpdesk.