Van Deep Sea tot Big Lake: essentie van security gaat verloren door overvloed aan fancy marketingtermen

Weet jij al wat ‘Deep Sea Phishing’ betekent? Als je de benaming niet kent, ben je zeker niet alleen. Het is een voorbeeld van één van de vele weinig­zeg­gende termen die cyber­se­cu­ri­ty­pro­vi­ders de laatste tijd hebben gelan­ceerd. Terwijl crimi­nelen dagelijks op zoek gaan naar nieuwe aanvals­tech­nieken, is de secu­ri­ty­markt zelf aan het vertroe­belen en verliezen bedrijven de focus op wat echt telt.

Wie Deep Sea Phishing op Google intypt, zal allerlei defi­ni­ties tegen­komen. Helaas zien we niet meteen een analogie met de realiteit. Wellicht sluit de term aan bij verschil­lende andere vormen van phishing die uit de pen van creatieve marke­teers zijn gevloeid. Zo verwijst ‘Spear Phishing’ naar doel­ge­richte aanvallen met phishing om toegang te krijgen tot de accounts van een bepaald persoon. En is ‘Whale Phishing’ een praktijk waarbij een belang­rijk doelwit wordt geviseerd, zoals de CEO van een bedrijf.

Het klinkt allemaal mooi, maar deze termen leiden ons voor­na­me­lijk af van de essentie. De meest geavan­ceerde aanvallen zijn slechts enkele zand­kor­rel­tjes in een veel grotere zandstorm. In werke­lijk­heid zijn Spear Phishing en Whale Phishing tech­nieken die vooral bij ‘Advanced Persis­tent Threat’-groepen populair zijn. Deze orga­ni­sa­ties krijgen vaak finan­ciële steun van overheden met de bedoeling om aan spionage, exfil­tratie of beïn­vloe­ding te doen. De grote meer­der­heid van de cyber­aan­vallen is echter nog steeds het gevolg van klassieke phishing, waarbij een groot net wordt uitgerold en crimi­nelen afwachten wie er voorbij komt zwemmen.

Security niet prioritair

Dagelijks horen we nieuwe afkor­tingen en termen in de secu­ri­ty­markt, maar de meeste zijn gewoon ondui­de­lijk. Ze dienen om zo snel mogelijk een product of dienst 1=„„, te verkopen, waardoor klanten hun interesse verliezen. Zeker de kleine en middel­grote onder­ne­mingen schuiven security nog al te vaak voor zich uit, terwijl net zij het vaakst in de phishing-netten van cyber­cri­mi­nelen verstrikt geraken. Voor hen is security niet altijd prio­ri­teit, vooral niet nu ze andere kopzorgen hebben zoals de naweeën van de pandemie, de inflatie of de aanstor­mende ener­gie­crisis. Ze hebben ook niet de kennis of de middelen om veel met security te doen. Pas als het misgaat, beseffen ze hoe belang­rijk het is.

In de nabije toekomst zullen er zeker nieuwe uitda­gingen op ons afkomen. En dan is het essen­tieel dat we onze cyber­se­cu­ri­ty­maat­re­gelen op orde hebben. Als we dan toch met mooie woorden goochelen: de grootste dreiging is niet Deep Sea, maar een zeemon­ster dat zich in een Big Lake verschuilt.

Kwantumcomputing

De meeste bedrijven hebben intussen de gewoonte om back-ups van hun belang­rijkste data te maken. Aangezien ook cyber­cri­mi­nelen weten dat de meest waar­de­volle infor­matie in zo’n back-up prio­ri­teit krijgt, moet je deze data met goede encryptie beschermen. Toch kan het encryp­teren van data op termijn niet meer volstaan. Terwijl crimi­nelen er nu nog niks mee kunnen doen, verza­melen ze versleu­telde gegevens in een Big Data Lake. Als de moge­lijk­heden van kwan­tum­com­pu­ting straks voor een breder publiek toegan­ke­lijk worden, zouden ze die data in slechts enkele minuten alsnog kunnen ontgrendelen.

De angst voor het zeemon­ster genaamd kwan­tum­com­pu­ting is best reëel, want criminele orga­ni­sa­ties hebben intussen een aardig spaar­potje opgebouwd om in deze tech­no­logie te inves­teren. Alles wat ze nu niet kunnen gebruiken, kan over enkele jaren zomaar een schat aan infor­matie opleveren. Of hoe bedrijven die denken dat ze veilig zijn, maar waarvan de back-up gestolen is, weldra heel kwetsbaar worden en hun business plots kunnen zien stil­vallen. Wanneer het zal gebeuren, valt onmo­ge­lijk te voor­spellen. Maar zoals altijd moeten verde­di­gers goed voor­be­reid zijn om snel te kunnen reageren.

Deel ervaringen en leer van elkaar

In plaats van te verzanden in het gebruik van fancy termi­no­logie, steken we onze energie daarom beter in educatie en commu­ni­catie. Het is immers veel belang­rijker dat orga­ni­sa­ties van elkaar leren hoe ze het slacht­offer van een aanval geworden zijn en hoe cyber­cri­mi­nelen tewerk gaan. Gelukkig beginnen de gesprekken op dat vlak stilaan op gang te komen, iets wat ook gesti­mu­leerd wordt door VeeamON Tour Belgium. In verge­lij­king met drie jaar geleden zien we dat meer bedrijven tijdens zo’n event het podium durven betreden om hun verhaal te delen nadat ze het slacht­offer van een cyber­aanval zijn geworden.

De effecten van deze nieuwe toewij­ding zullen zich op lange termijn zeker laten gelden. Net zoals een cyber­aanval was ook kanker als ziekte ooit taboe. Tot kanker­pa­ti­ënten hun getui­ge­nissen zijn beginnen delen, waardoor andere mensen er zich nu beter bewust van zijn en sneller naar de dokter gaan. In veel gevallen kan er zo doel­tref­fend worden inge­grepen voor het te laat is. We leren meestal niet van wat goed gaat, maar onthouden eerder de negatieve erva­ringen. Ook de kleine en middel­grote bedrijven gaan mee in de trend naar meer trans­pa­rantie en beseffen dankzij dit soort evene­menten dat zo’n aanval ook hen kan overkomen en dat cyber­se­cu­rity bovenaan de bedrijfs­agenda hoort te staan.

Uitein­de­lijk heeft security niet veel nodig. Phishing is als belang­rijkste techniek behoor­lijk eenvoudig en dus hoeft ook de oplossing niet complex te zijn. Vertrek daarom niet vanuit een product of marke­ting­claim, maar ga terug naar de basis en bekijk wat jouw risico’s zijn. We moeten security loskop­pelen van IT en beseffen dat het de hele orga­ni­satie aanbe­langt, inclusief alle processen en mensen die deel uitmaken van de business. Uitein­de­lijk is de human firewall de beste verde­di­ging, zelfs als we dan toch ooit te maken zouden krijgen met Deep Sea Phishing …