Criminelen gebruiken AI-tools om phishingmails, deepfakes en malware sneller, goedkoper en overtuigender te maken dan ooit. Voor Nederlandse MKB’ers betekent dit dat de kans op een gerichte of grootschalige aanval toeneemt, maar ook dat je met een paar eenvoudige checks veel schade kunt voorkomen.
Wat er aan de hand is
Sinds de lancering van ChatGPT in 2022 gebruiken cybercriminelen generatieve AI om hun aanvallen te versterken. Dat meldt MIT Technology Review op basis van onderzoek en waarschuwingen van onder meer Interpol. Waar phishingmails vroeger vaak vol spelfouten zaten, kunnen AI-modellen nu vloeiende, overtuigende berichten produceren. Criminelen zetten AI in voor het schrijven van phishingmails, het maken van hyperrealistische deepfake-video’s, het aanpassen van malware zodat deze moeilijker te detecteren is, en het automatisch zoeken naar kwetsbaarheden in netwerken en computersystemen. Ook kunnen ze AI gebruiken om snel losgeldberichten te genereren en gestolen data te analyseren op waardevolle informatie. Interpol waarschuwt dat bijvoorbeeld scamcentra in Zuidoost-Azië goedkope AI-tools inzetten om meer slachtoffers tegelijk te bereiken en snel naar nieuwe locaties te verhuizen. De Verenigde Arabische Emiraten claimden recent een reeks AI-gesteunde aanvallen op vitale sectoren te hebben verijdeld. Het probleem wordt groter naarmate AI-systemen beter worden. AI-bedrijf Anthropic meldde dat zijn model Mythos duizenden kritieke kwetsbaarheden vond, waaronder in elk groot besturingssysteem en elke webbrowser. Die zijn inmiddels gepatcht, maar het toont aan hoe krachtig AI kan zijn in handen van kwaadwillenden.
Wat dit betekent
Voor Nederlandse MKB’ers is de belangrijkste verandering dat de drempel voor cybercriminelen lager is geworden. Vroeger had je voor een gerichte aanval technische kennis nodig; nu kan iemand met een AI-tool en een kwaadwillend plan binnen enkele minuten een overtuigende phishingcampagne opzetten. De schaal waarop dit gebeurt, neemt explosief toe. Omdat AI miljoenen berichten kan genereren, hoeft een aanval niet eens heel geraffineerd te zijn. Het volstaat dat één medewerker op het verkeerde moment op een link klikt. Vooral kleinere bedrijven zijn kwetsbaar, omdat ze vaak minder beveiligingsmiddelen hebben dan grote organisaties. De kans dat een MKB’er wordt getroffen door een AI-gesteunde phishingmail, deepfake-oplichting of malware neemt daardoor aanzienlijk toe. Het is geen kwestie van óf, maar van wanneer je ermee te maken krijgt.
Hoe je dit kunt toepassen
Als je een webshop runt en regelmatig betalingsverzoeken ontvangt van leveranciers, overweeg dan om een vast protocol in te stellen voor het verifiëren van betaalgegevens. AI kan namelijk perfecte vervalste facturen of e-mails maken die lijken te komen van een vertrouwde partij. Een mogelijkheid is om altijd telefonisch contact op te nemen met de afzender voordat je een betaling doet, vooral bij wijzigingen van rekeningnummers. Je zou ook kunnen afspreken dat betalingsverzoeken boven een bepaald bedrag altijd door twee personen moeten worden goedgekeurd.
Als je een team aanstuurt en medewerkers regelmatig e-mails met bijlagen of links krijgen, kun je een eenvoudige interne training opzetten over het herkennen van AI-gegenereerde phishing. Een optie is om maandelijks een nep-phishingmail te sturen en te kijken wie erop klikt. Bespreek de resultaten zonder verwijten, maar als leermoment. Overweeg om een duidelijke richtlijn te maken: bij twijfel altijd de afzender bellen via een bekend telefoonnummer, niet via het nummer in de e-mail.
Als je in de zorg werkt en gevoelige patiëntgegevens verwerkt, is het verstandig om extra voorzichtig te zijn met spraak- of video-oproepen. AI kan tegenwoordig overtuigende deepfake-stemmen en -gezichten genereren. Een concrete suggestie is om een wachtwoord af te spreken voor vertrouwelijke gesprekken, of om altijd een tweede verificatiestap in te bouwen voordat je informatie deelt. Je zou ook kunnen overwegen om alleen via beveiligde, goedgekeurde communicatiekanalen te werken.
Als je een eenmanszaak hebt en zelf je IT-beheer doet, kun je met een paar eenvoudige stappen al veel risico verminderen. Een mogelijkheid is om tweefactorauthenticatie in te schakelen op al je zakelijke accounts, vooral e-mail en boekhouding. Overweeg ook om regelmatig back-ups te maken van belangrijke bestanden, op een locatie die niet direct met je netwerk verbonden is. Je zou kunnen beginnen met een gratis tool zoals Have I Been Pwned om te controleren of je e-mailadres in een datalek voorkomt.
Als je een productiebedrijf runt met geautomatiseerde systemen, wees je ervan bewust dat AI ook kan worden gebruikt om kwetsbaarheden in je netwerk te vinden. Een praktische stap is om je IT-leverancier te vragen of ze regelmatig kwetsbaarheidsscans uitvoeren en of ze patches tijdig installeren. Overweeg om een apart netwerk te creëren voor je productiemachines, zodat een eventuele aanval op je kantoor niet direct je productie stillegt.
Bron: MIT Technology Review