Bijna de helft van de werknemers vertrouwt digitale berichten meer dan vijf jaar geleden. Tegelijk controleert 55 procent niet altijd of een verzoek om geld, inloggegevens of vertrouwelijke informatie echt van de genoemde afzender komt. Dat blijkt uit onderzoek in opdracht van WatchGuard Technologies onder ruim 500 fulltime werknemers in acht landen.
Het onderzoek verscheen onder de naam Cyber Trust Index en brengt in kaart op welke signalen werknemers vertrouwen als ze een digitaal verzoek beoordelen. Herkenbare kenmerken blijken daarbij zwaar te wegen. Van de ondervraagden heeft 72 procent weleens op een link geklikt of een bijlage geopend omdat die van een bekende leek te komen.
Bekende signalen wegen zwaar
Voor 38 procent maakt een bekende afzender een digitaal verzoek betrouwbaar. Daarnaast vindt 36 procent een verzoek geloofwaardig als het vertrouwde informatie over werk of privéleven bevat, en laat 32 procent zich overtuigen door correcte bedrijfslogo’s of huisstijl. Onafhankelijke verificatie noemt 27 procent als reden om een verzoek te vertrouwen. WatchGuard wijst erop dat de genoemde kenmerken met AI steeds eenvoudiger na te bootsen zijn.
Verzoeken namens de leiding
Ook berichten die van de directie lijken te komen, worden vaak zonder controle opgevolgd. Van de werknemers zou 42 procent waarschijnlijk een dringend tekstbericht van de directeur of leidinggevende met een verzoek om betaling of gevoelige informatie vertrouwen zonder de afzender te controleren. Bij een vergelijkbaar spraakbericht ligt dat aandeel op 40 procent. In de Verenigde Staten zou 59 procent het tekstbericht vertrouwen.
Bij een ongebruikelijk of gevoelig videoverzoek vertrouwt 53 procent op het gezicht, de stem of de getoonde naam om de afzender vast te stellen. Slechts 28 procent kiest dan voor een ander communicatiekanaal of een interne procedure. Als grootste belemmering voor een goede voorbereiding op cyberdreigingen noemt 38 procent onvoldoende training of bewustzijn onder medewerkers.
Verschillen tussen landen en sectoren
Hoe vaak werknemers de afzender controleren, verschilt sterk per land. In Australië doet 69 procent dat, tegenover 22 procent in Duitsland. Binnen de sectoren scoort de zorg het hoogst, met 63 procent van de medewerkers die verzoeken verifieert. Werknemers in de financiële dienstverlening hebben het meeste vertrouwen in digitale content. Overheidsmedewerkers zijn het meest sceptisch over digitale communicatie en sms’jes van leidinggevenden, maar ook in die groep controleert minder dan de helft gevoelige verzoeken.
Rol voor MSP’s
Volgens WatchGuard kunnen MSP’s organisaties ondersteunen bij het inrichten van controles op gevoelige verzoeken. Het bedrijf noemt als voorbeeld het vastleggen hoe medewerkers betaalverzoeken, wachtwoordresets en verzoeken om vertrouwelijke gegevens via een tweede kanaal bevestigen. Ook adviseert het om te oefenen met realistische scenario’s waarin een leidinggevende wordt nagebootst, en afspraken te maken over toegestane AI-tools, gegevensverwerking en menselijke controle.
Daarnaast pleit WatchGuard voor laagdrempelige meldkanalen en gelaagde beveiliging. Organisaties zouden naast de technische beveiliging ook moeten meten of medewerkers verdachte verzoeken controleren en melden. WatchGuard verwijst hierbij naar zijn eigen oplossingen voor identiteitsbeveiliging en veilige toegang, waarbij gebruikers en hun toegangsrechten doorlopend worden gecontroleerd, aangevuld met Managed Detection and Response (MDR). Het bedrijf stelt dat deze diensten accountmisbruik en fraude met AI beperken.
Vertrouwde kenmerken bieden geen zekerheid
Corey Nachreiner, Chief Information Security Officer bij WatchGuard, geeft aan dat bekende namen, stemmen, gezichten en merken mensen helpen om snel in te schatten of ze een bericht kunnen vertrouwen. AI maakt het volgens hem steeds makkelijker om die kenmerken na te bootsen, waardoor ze geen zekerheid meer bieden over iemands identiteit. Nachreiner verwacht dat het controleren van de afzender daarmee uitgroeit tot een van de belangrijkste vaardigheden op het gebied van cybersecurity.
Het volledige rapport is te lezen via Cyber Trust Index.
