Een mail van een docent of een medewerker van je eigen universiteit, met een uitnodiging voor een tool die je elke week gebruikt. Je klikt zonder nadenken. Precies op dat moment rekenen de afzenders van spearphishing. De Rijksuniversiteit Groningen waarschuwde studenten en medewerkers deze week voor zo’n golf, zo schreef UKrant op 13 oktober. Het verhaal speelt in Groningen, maar je studentaccount is op elke hogeschool en universiteit een aantrekkelijk doelwit.
Wat er bij de RUG gebeurde
Volgens information security officer Fabian de Wit kregen mensen mails die van echte RUG-adressen leken te komen. Een aanvaller had via een VPN een RUG-adres nagebootst. In de mail stond een uitnodiging voor een bekende onlinetool die veel mensen aan de universiteit gebruiken. Om welke tool het ging, wilde De Wit niet zeggen.
Wie klikte, gaf de aanvallers toegang tot zijn contactpersonen. Hun systeem stuurde dezelfde mail daarna vanuit het account van het slachtoffer door naar diens contacten. Zo kreeg de volgende ontvanger een uitnodiging van een collega of medestudent die hij echt kende. De Wit schat dat er honderden mails zijn doorgestuurd, van hoogleraren tot onderzoekers. Verdere schade bleef uit, want de aanvallers kwamen niet bij andere apps of bestanden. Getroffen accounts werden direct uitgelogd en de systemen werden gescand.
Het verschil met gewone phishing
Gewone phishing is een sleepnet. Iemand stuurt dezelfde mail over je pakketje, je bank of je belastingaanslag naar duizenden adressen en hoopt dat een klein deel toehapt. Die mails komen vaak van onbekende afzenders, en je herkent ze aan een vreemd adres of een aanhef zonder naam.
Spearphishing is een harpoen. De mail is op jou gericht, gebruikt informatie die klopt (je naam, je opleiding, een docent of een tool die je echt gebruikt) en lijkt van iemand te komen die je kent. Daardoor vallen de gebruikelijke waarschuwingssignalen weg. Er is geen rare spelling en geen onbekende afzender. Wat de RUG-aanval extra lastig maakte, is de sneeuwbal. Elke klik levert een nieuw, echt account op, en dus een nog geloofwaardiger afzender voor de volgende ronde.
Dat maakt het oude advies “kijk naar de afzender” hier bijna waardeloos. Het adres was immers echt, of leek in elk geval precies op een echt adres. De betere vraag is of je deze uitnodiging verwachtte. Een collega die ineens een document deelt waar nooit over gesproken is, een medestudent die je zonder toelichting een link stuurt, een docent die buiten het vaste leerplatform om iets wil delen. Twijfel je, vraag het dan via een ander kanaal, met een appje of in de werkgroep.
Zo bescherm je je studentaccount
De Wit geeft in UKrant één gouden regel mee. Ga altijd rechtstreeks naar de officiële website of app van een dienst in plaats van op een link in een mail te klikken. Krijg je een uitnodiging voor een gedeeld document, open dan de tool zelf en kijk of het daar ook staat.
Zet daarnaast multifactorauthenticatie aan, op je studentaccount en op elk ander account dat het aanbiedt. Het helpt ook bij je eigen mail, je socials en je account bij een kamersite. Houd je laptop en telefoon up-to-date en gebruik een virusscanner.
Toch geklikt? Dit doe je meteen
Paniek is niet nodig, snelheid wel. Verander je wachtwoord en controleer of multifactorauthenticatie aan staat. Zoek in je account naar een optie als “uitloggen op alle apparaten” of “alle sessies beëindigen”, zodat een aanvaller die al binnen is eruit vliegt. Wis je browsergegevens, en heb je iets geïnstalleerd, draai dan een malwarescan. Dat zijn de stappen die De Wit noemt.
Omdat deze aanval draaide om toegang tot je contacten en het versturen van mail namens jou, is er nog een stap die vaak wordt vergeten. Kijk in de instellingen van je account welke apps en diensten toegang hebben gekregen, en trek alles in wat je niet herkent. Een nieuw wachtwoord sluit die deur niet altijd. Meld het daarna bij de IT-servicedesk van je onderwijsinstelling, zodat zij andere studenten kunnen waarschuwen. Een verdachte mail met een link of bijlage kun je ook doorsturen naar de Fraudehelpdesk, die er andere mensen voor waarschuwt.
De Wit verwacht dat zulke aanvallen in golven komen, die meestal een paar maanden aanhouden. Voor kamerzoekers is dat geen nieuw verschijnsel. Oplichters op de kamermarkt werken met dezelfde psychologie, een bekend gezicht en haast, zoals bij nepadvertenties voor kamers op sociale media. Wie leert even te twijfelen bij een mail die net iets te goed uitkomt, is op beide fronten beter beschermd.
