Veilig op het internet/Phishing

Phishing is het oplichten van mensen door een vertrouwde website te kopiëren, en nietsvermoedende personen persoonlijke en vertrouwelijke gegevens, zoals hun kredietkaartnummer en de bijhorende geheime code, te laten ingeven. De slachtoffers kunnen naar de valse website gelokt worden door een e-mail met een link naar de website.

Bij phishing wordt dikwijls gebruik gemaakt van URL-spoofing, dit is het nabootsen van de URL van bijvoorbeeld een bank, zodat de gebruiker denkt de echte site te bezoeken, terwijl de URL die van de bedrieger is. Phishing kan hiervan gebruik maken door een echte domeinnaam na te bootsen met gelijkaardige buitenlandse tekens, zodat de gebruiker niet merkt dat het adres niet klopt.

'Medewerkers energiebedrijven trappen in phishing' Uit een experiment met drie energiebedrijven blijkt dat een kwart van de medewerkers trapt in gerichte phishing-aanvallen. Volgens de onderzoekers wordt phishing in een groot deel van de aanvallen op bedrijven gebruikt als middel om toegang te krijgen. Onder de medewerkers die in de 'aanval' trapten, waren technici, hoge functionarissen en medewerkers die in de control room van een energiebedrijf werkten. (nl) Medewerkers energiebedrijven trappen in phishing. tweakers.net (2013-01-21).

Gevaren

Firefox phishing-waarschuwing

Een voorbeeld (Duits)

Niet alleen kan met phishing naar kredietkaarten gehengeld worden, ook wachtwoorden van sites (zoals voor e-mail of van een banksite) zijn populair. Met deze informatie kan de vreemde onder een andere naam e-mails versturen. Met voldoende persoonlijke gegevens kan een fraudeur zich voordoen als iemand anders; we spreken dan van identiteitsdiefstal of ID-diefstal. De nepmailtjes kunnen ook gaan over het aanbod een grote financiële transactie te doen of niet-bestaande producten en diensten af te nemen. Denk daarbij aan de berichten over Nigeriaanse e-mailfraudeurs (Nigerian scams).

Gevaar voorkomen

Herken phishingmails

• De brief is onpersoonlijk, en start met algemene groeten (geen vermelding van uw naam);
• Een officieel aandoend "From"-veld (dit kan eenvoudig vervalst worden);
• De e-mails betreffen meestal een zeer dringend verzoek om persoonlijke informatie door te geven. En u moet vooral snel reageren. Hierbij wordt ingespeeld op uw angsten, bijvoorbeeld om iets te missen, zoals een tijdelijke actie. Of dat uw account niet meer actief zal zijn als u niet snel inlogt, zoals bijvoorbeeld uw Hotmail-account.
• In de e-mail wordt vermeld dat uw gegevens verloren gingen, en dat u ze dringend opnieuw moet ingeven (het is erg onwaarschijnlijk dat uw bank of bijv. eBay uw gegevens kwijtraken);
• De e-mail is opgesteld in gebrekkig Engels/Nederlands;
• Vanuit de e-mail wordt via een pop-up naar de site doorgelinkt (pop-ups zijn onveilig en zullen daardoor nooit gebruikt worden).
• Meestal staan er in zulke e-mails dingen die erg onwaarschijnlijk zijn, bijvoorbeeld gouden horloges voor erg weinig geld. Als het te mooi is om waar te zijn... dan is het dat ook bijna altijd!
• Kijk op de officiële website of iets waar is. Als bijvoorbeeld alle e-mailgegevens van Hotmail verloren zouden zijn gegaan, dan staat dat op de site van Hotmail. Staat dat er niet, trap er dan niet in!

Gezond verstand

• Besef dat u wel eens phishing-mails kunt krijgen, en dat vreemden maar al te graag persoonlijke info van u krijgen.
• Vertrouw een e-mail nooit omdat die er officieel uitziet of de URL van een bekende organisatie aanbiedt.
• Geef NOOIT persoonlijke (financiële) gegevens; zoals bankrekeningnummer, pincode, inloggegevens, burgerservicenummer of creditcardgegevens. Als u zeker weet dat u met uw eigen bank te maken heeft, bijvoorbeeld omdat u zelf telefonisch contact hebt opgenomen met het vertrouwde telefoonnummer, dan kunt u wel uw bankrekeningnummer noemen en als controle (als daar om wordt gevraagd) uw naam, adres en geboortedatum. Een bank zal echter nooit vragen om een pincode of inloggegevens!
• Ook een QR-code kan bedoeld zijn voor phishing. Check daarom een QR-code altijd en scan hem alleen als hij absoluut betrouwbaar is. Zie Valse QR-codes op parkeerautomaten (van Radar) en Valse Digid-brief in omloop (van Radar).
• Phishing gebeurt niet alleen via mail, maar ook telefonisch en aan de deur.
  • Iemand aan de deur die om kostbaarheden, uw bankpas of iets anders vraagt, is niet te vertrouwen, zelfs niet in politie-uniform. Laat ze nooit binnen, ook niet als ze dreigen met een bevel of zo. Bel altijd terug naar een vertrouwd telefoonnummer (NIET het nummer dat de beller opgeeft, maar van de echte bank of politie) en verifieer of het klopt. Een bank zal nooit vragen om een bankpas (ze vragen hooguit om uw oude bankpas te vernietigen als u een nieuwe hebt ontvangen), de politie vraagt niet naar sieraden (tenzij ze gestolen zijn).
  • Als een dierbare (zoals kind, beste vriendin, broer, echtgenoot) via een app of ander bericht dringend om geld vraagt: ga er niet op in. Bel de persoon eerst op zijn/haar OUDE nummer (ook al wordt in het bericht melding gemaakt van een nieuw telefoonnummer) en verifieer het bericht, en het banknummer. Bel anders iemand die in nauw contact met uw dierbare staat, bijvoorbeeld een huisgenoot, en verifieer het bericht. Maak nooit geld over zonder dat u op een andere manier bevestiging heeft gekregen dat het bericht inderdaad van uw dierbare afkomstig is. Spreek uit voorzorg een code af die in een dergelijk bericht moet staan om de eerste twijfel weg te nemen (en dan nog: verifieer het bericht, zo'n code kan ook zijn afgeperst).

Technische hulpmiddelen

• Phishing-mails zijn spam, een spamfilter kan dan ook deze e-mails voorkomen (zie cursusdeel spam);
• Stel uw e-mailaccount zo in, dat u uw e-mails niet in HTML bekijkt. In HMTL is het erg eenvoudig een tekst aan te maken die lijkt alsof het een link naar een grote, bekende site is, maar in feite is het een link naar een site van de verzender van de mail. Ook kunt u uw muis boven de link houden en linksonderin kijken naar welke website die leidt.

Herken phishing

Hieronder staat een typische SPAM-mail, verstuurd naar het Wikipedia-antwoordkanaal.

Titel: Last warning from Paypal PayPal Dear Member, Paypal is constantly working to ensure security by regulary screening the accounts in our system. We recently reviewed your account,and we need more information to help us provide you with secure service.Until we collect this information,your access to sensitive account features will be limited.We would like to restore your acces as soon as possible,and we apologize for the inconvenience. Why is my account access limited? Your account access has been limited for the following reason(s): August 10,2006:We would like to ensure that your account was not accessed by an unauthorized third party.Because protecting the security of your account is our primary concern,we have limited access to sensitive Paypal account features.We understand that this may be an inconvenience but please understand that this temporary limitation is for your protection. Case ID Number:PP-072-838-482 You must click the link below and enter your information to review your account Click here to visit the Resolution Center and complete the Steps to Remove Limitations

Externe links

• antiphishing.org