Een dringende mail ontvangen die afkomstig lijkt van je manager of een bestuurder, met de vraag of je even een rekening wilt betalen of iets kunt kopen voor het bedrijf. Met die vorm van oplichting, de zogeheten CEO-fraude, krijgen ook UM-medewerkers regelmatig te maken. “Meestal krijgen zij de vraag om cadeaubonnen van webshops als Amazon te kopen, die bestemd zouden zijn voor bijvoorbeeld aankomende studenten”, vertelt Jules Silvertand, die bij het Corporate Information Office verantwoordelijk is voor het digitale beveiligingsbeleid van de Universiteit Maastricht. “Het is veel gerichter dan een ‘algemene’ spammail die naar veel mensen tegelijk verstuurd wordt. De oplichters doen vooronderzoek, zoeken bijvoorbeeld uit wie waarschijnlijk de leidinggevende van een bepaalde medewerker is, en bouwen eerst een mailconversatie op voordat ze om het geld vragen.”
Niet pluis
Deze vorm van fraude is niet nieuw, maar de afgelopen tijd zag men aan de UM een toename in het aantal pogingen. “Normaal gaat het om een handvol gevallen per maand, maar nu soms wel vier per week”, zegt Silvertand. Vaak loopt het goed af: veel mails worden al automatisch als spam gelabeld en bij de berichten die er toch tussendoor glippen, hebben de meeste medewerkers snel in de gaten dat er iets niet pluis is. Maar onlangs trapte er iemand in. “Voor zover bekend was dat de eerste keer dit jaar. Het ging om een bedrag van een paar duizend euro. Dat geld krijg je niet meer terug. Overigens zien wij zo iemand echt als slachtoffer, niet als naïef. Vaak gebeurt het juist bij de meest toegewijde mensen, die meteen tot actie overgaan als de leidinggevende iets vraagt.”
Hoe zorg je ervoor dat je niet in de val trapt? Let allereerst altijd goed op het mailadres van de afzender, adviseert Silvertand. “Kijk of het eindigt op @maastrichtuniversity.nl. Zo niet, bijvoorbeeld als het om een Gmail-adres gaat, gebruik dan het juiste mailadres van je baas om te antwoorden. Bij twijfel kun je je baas daarnaast altijd via een ander kanaal proberen te bereiken, bijvoorbeeld telefonisch. Of laat een collega meekijken.”
Over-alert
Sowieso luidt het devies: meld verdachte mailtjes altijd bij de ICTS-servicedesk. “Ook als het overduidelijk om oplichters gaat. Die lui blijven namelijk altijd nieuwe teksten maken. Aan de hand hiervan kunnen we de spam-filters voor onze mailsystemen aanscherpen.” Dat geldt ook voor andere vormen van oplichting of phishing (het digitaal ‘hengelen’ naar gevoelige gegevens). “Wees bijvoorbeeld ook alert bij berichten waarin staat dat een collega een bestand met je wil delen via platforms als OneDrive of SharePoint, zeker als het iemand is waarvan je normaal nooit zulke bestanden ontvangt.”
In het geval van twijfel kan ICTS controleren of het om een spambericht of een legitieme mail gaat. “Dat laatste maken we ook een aantal keer per maand mee”, zegt Silvertand. Zo wantrouwen medewerkers soms ‘echte’ mails van DocuSign, die verstuurd worden voor het ondertekenen van belangrijke documenten zoals contracten. “Sommige mensen zijn over-alert. Logisch, want vaak is het ook lastig om echt van nep te onderscheiden. Je kunt beter het zekere voor het onzekere nemen.”
Deepfakes
Ten slotte: moeten we naast nepmails van de baas ook bevreesd zijn voor neptelefoontjes of -videovergaderingen? Dankzij AI-technologieën wordt het steeds makkelijker om zogeheten deepfakes te maken, waarbij de oplichter klinkt en eruitziet als een ander persoon. Er zijn inmiddels al gevallen van deepfake-fraude bekend bij grote, internationale bedrijven. “Aan de universiteit hebben we zoiets nog nooit gezien”, zegt Silvertand. “Maar we houden de ontwikkelingen zeker in de gaten.”