KWALTEIT: OK

Het antwoord: AI-gestuurde cyberaanvallen zijn niet langer een toekomstscenario, maar een realiteit die ook het Nederlandse MKB direct raakt. Criminelen gebruiken generatieve AI om phishingmails, deepfake-video’s en malware te maken die nauwelijks meer van echt te onderscheiden zijn, en dat tegen een fractie van de kosten en tijd van vroeger. Het gevolg: de kans dat jouw bedrijf wordt aangevallen is groter dan ooit, maar met de juiste processen en tools kun je de schade beperken.

Wat er aan de hand is

Sinds de lancering van ChatGPT in 2022 hebben cybercriminelen AI omarmd om hun operaties op te schalen. Waar phishingmails vroeger vaak vol spelfouten en vreemde zinsconstructies zaten, produceren AI-modellen nu vloeiende, overtuigende berichten in elke taal. Het gaat niet alleen om tekst: deepfake-video’s en -audio worden ingezet om medewerkers te misleiden, bijvoorbeeld door een ‘directeur’ te laten bellen met een dringend verzoek om een betaling. Ook malware wordt met AI aangepast om detectie te omzeilen, en criminelen gebruiken AI om automatisch kwetsbaarheden in netwerken te vinden, losgeldnota’s te genereren en gestolen data te analyseren op de meest waardevolle informatie.

Interpol waarschuwt dat scamcentra in Zuidoost-Azië goedkope AI-tools gebruiken om snel meer slachtoffers te bereiken en van locatie te wisselen. De Verenigde Arabische Emiraten meldden onlangs een reeks AI-gesteunde aanvallen op vitale sectoren te hebben verijdeld. Het probleem is dat deze aanvallen niet eens heel geavanceerd hoeven te zijn: door de enorme schaal waarop ze worden uitgevoerd, is het een kwestie van geluk dat ze een onbeschermd systeem of een nietsvermoedende medewerker treffen. Anthropic, het bedrijf achter de AI-assistent Claude, claimt dat zijn nieuwe model Mythos duizenden kritieke kwetsbaarheden vond in besturingssystemen en browsers. Die zijn inmiddels gepatcht, maar het toont aan dat AI niet alleen een wapen is voor aanvallers, maar ook voor verdedigers – mits je het inzet.

Wat dit betekent

Voor het Nederlandse MKB betekent deze ontwikkeling dat de dreiging dichterbij komt en professioneler wordt. Waar je vroeger kon vertrouwen op gezond verstand om een phishingmail te herkennen, is dat nu niet meer genoeg. Een AI-gegenereerde mail kan perfect Nederlands spreken, verwijzen naar echte collega’s of klanten, en een urgentie creëren die precies past bij jouw bedrijf. De kosten voor een aanval zijn gedaald: voor een paar tientjes per maand huur je een AI-tool die duizenden overtuigende mails per dag produceert. Dit raakt niet alleen de IT-afdeling, maar iedereen die toegang heeft tot bedrijfsgegevens, betalingen of klantinformatie. De impact kan variëren van een gestolen wachtwoord tot een volledige bedrijfsstillegging door ransomware.

Hoe je dit kunt toepassen

Als je een webshop runt en dagelijks betalingen verwerkt, is het risico op een gerichte phishingaanval groot. Overweeg om een eenvoudige, vaste procedure in te voeren voor alle betalingsverzoeken: elke wijziging van bankrekeningnummer of een spoedbetaling moet altijd telefonisch worden bevestigd met een vooraf afgesproken codewoord. Dit kost weinig tijd, maar voorkomt dat een deepfake-stem van je ‘boekhouder’ een betaling kan laten uitvoeren.

Als je een team van vijf tot vijftig medewerkers aanstuurt, kun je een wekelijkse ‘phishing-simulatie’ overwegen. Gebruik een tool zoals KnowBe4 of Phished om nep-phishingmails naar je team te sturen. Wie erin trapt, krijgt direct een korte uitleg en een herkansing. Dit is geen schaamte, maar training: uit onderzoek blijkt dat medewerkers na een paar simulaties significant beter worden in het herkennen van verdachte berichten. Begin met één simulatie per maand en bouw op naar wekelijks.

Als je werkt met gevoelige klantgegevens, bijvoorbeeld in de zorg of financiële dienstverlening, is het verstandig om een ‘tweedelijnscontrole’ in te bouwen voor alle inkomende verzoeken om data of betalingen. Laat medewerkers nooit reageren op een e-mail met een verzoek om wachtwoordwijziging of het delen van een bestand, zonder dat ze het verzoek via een ander kanaal (telefoon, chat) hebben geverifieerd. Dit klinkt omslachtig, maar een eenmalige datalek kost je al snel tienduizenden euro’s aan boetes en herstel.

Als je een klein team hebt zonder IT-afdeling, kun je gebruikmaken van gratis of goedkope AI-tools die zelf phishing proberen te detecteren. Denk aan de ingebouwde beveiliging in Microsoft 365 of Google Workspace, die AI gebruiken om verdachte patronen te herkennen. Zet de beveiligingsinstellingen op ‘streng’ en controleer wekelijks het dashboard op geblokkeerde berichten. Dit is geen garantie, maar het verhoogt de drempel voor een aanvaller aanzienlijk.

Als je een bedrijf hebt dat afhankelijk is van externe leveranciers of software, is het belangrijk om ook hen te betrekken bij je beveiliging. Vraag je belangrijkste leveranciers of zij AI gebruiken om hun eigen systemen te beschermen en of ze een incidentenplan hebben. Een aanval op een leverancier kan via een gekraakte API of een phishingmail bij jou terechtkomen. Overweeg om in contracten een clausule op te nemen over meldplicht bij cyberincidenten.

Bron: Technologyreview