Nederlandse cybersecuritybeslissers hebben veel meer vertrouwen in het vermogen van medewerkers om phishing, voice scams en deepfakes te herkennen dan medewerkers zelf. Bij deepfakes is het verschil het grootst. Van de beslissers denkt 98 procent dat medewerkers deepfake-video’s en -audio kunnen herkennen, tegenover 54 procent van de medewerkers zelf.
Het onderzoek is uitgevoerd door Vanson Bourne in opdracht van KnowBe4 onder 4.000 respondenten wereldwijd, onder wie 50 cybersecuritybeslissers en 200 medewerkers uit Nederland. Medewerkers gaven aan hoeveel vertrouwen ze hebben in hun eigen weerbaarheid tegen verschillende vormen van social engineering. Beslissers beoordeelden hoeveel vertrouwen ze hebben in de weerbaarheid van hun medewerkers bij dezelfde aanvalstypen. De resultaten zijn gebundeld in het rapport From Agentic Risk to Human Wins.
Verschillen per aanvalstype
Bij phishingmails zegt 13 procent van de medewerkers er niet op te vertrouwen deze te kunnen herkennen. Geen enkele beslisser denkt dat medewerkers daartoe niet in staat zijn. Bij voice scams heeft 10 procent van de medewerkers onvoldoende vertrouwen in het eigen vermogen om deze te herkennen, tegenover opnieuw 0 procent van de beslissers.
Het verschil is groter bij impersonatieberichten via interne tools. Dat zijn frauduleuze berichten waarin een oplichter zich voordoet als een vertrouwde persoon of organisatie. Van de medewerkers vertrouwt 26 procent er niet op deze te herkennen, terwijl 2 procent van de beslissers denkt dat medewerkers zulke berichten niet doorzien.
De grootste onzekerheid bestaat rond deepfakes. Van de Nederlandse medewerkers heeft 43 procent er geen vertrouwen in deepfake-video’s of -audio te kunnen herkennen. Bij de beslissers denkt 2 procent dat medewerkers dat niet kunnen.
Herkenning van deepfakes in de praktijk
Martin Kraemer, CISO Advisor bij KnowBe4, noemt de kloof zorgwekkend, omdat beslissers verantwoordelijk zijn voor het inschatten en beperken van cyberrisico’s. Vooral het hoge vertrouwen in de herkenning van deepfakes vindt hij opvallend. Hij verwijst naar empirisch gedragsonderzoek en benchmarks waaruit blijkt dat mensen deepfakevideo’s in 50 tot 65 procent van de gevallen correct herkennen. Dat is volgens Kraemer nauwelijks beter dan gokken. Tijdens live videogesprekken kan dat percentage dalen tot ongeveer 25 procent.
Kraemer stelt dat organisaties het risico lopen hun weerbaarheid sterk te overschatten wanneer vrijwel alle beslissers ervan uitgaan dat medewerkers zulke dreigingen herkennen.
Rol van AI bij social engineering
KnowBe4 meldt daarnaast in zijn Phishing Threat Trends Report Volume Seven dat 86 procent van de phishingaanvallen inmiddels door AI wordt aangestuurd. Dat rapport is gebaseerd op data van meer dan 3.000 dreigingsactoren. Waar phishing en impersonatie voorheen vaak herkenbaar waren aan opvallend taalgebruik of afwijkende communicatie, kunnen aanvallers met generatieve AI berichten, stemmen en beelden steeds beter afstemmen op hun doelwit, stelt het bedrijf.
Perceptie regelmatig toetsen
Kraemer adviseert organisaties om regelmatig te toetsen of het beeld van beslissers overeenkomt met hoe medewerkers hun eigen weerbaarheid ervaren. Door die perceptiekloof klein te houden, kunnen training, awareness, verificatieprocedures en andere beveiligingsmaatregelen volgens hem beter aansluiten op de risico’s en onzekerheden die medewerkers in de praktijk tegenkomen.
Het volledige rapport is te lezen via From Agentic Risk to Human Wins.
