Cyberpediadoor Brain
NLDEENESFRIT

Een bezoeker zonder badge begeleiden

Iemand zonder badge in het pand kan een inbraak voorbereiden of een besmet apparaat aansluiten. De beleefde reflex: begeleid die persoon naar de receptie.

In 30 seconden

Waar het gebeurt
In een gang, bij een deur, in een vergaderzaal of een kantoortuin, wanneer iemand alleen rondloopt zonder zichtbare badge.
Wat de aanvaller wil
Binnenkomen en een apparaat aansluiten3.
De reflex
Vraag vriendelijk wie de persoon komt bezoeken, begeleid hem of haar naar de receptie zonder de persoon alleen te laten en waarschuw daarna de receptie of de beveiliging.
Als het al gebeurd is
Als u een onbekende alleen hebt gelaten of vragen hebt beantwoord, meld dat dan bij de receptie, de beveiliging of het it-team.

Waar gaat het over

Iemand die zonder zichtbare badge door de kantoren loopt, is niet per se een indringer: het kan een verdwaalde bezoeker zijn of een nieuwe collega. Het kan ook iemand zijn die rekent op de beleefdheid van medewerkers om verder te komen dan de receptie.

Deze fiche legt uit waarom deze situatie onder social engineering valt en wat een medewerker zonder confrontatie kan doen: de persoon vriendelijk aanspreken, naar de receptie begeleiden en de receptie of de beveiliging waarschuwen.

Directe vragen

Waarom is een gewone bezoeker zonder badge een probleem voor de cyberbeveiliging?

Het NIST definieert social engineering als het misleiden van een persoon om gevoelige informatie, onbevoegde toegang of fraude te verkrijgen, door zijn of haar vertrouwen te winnen1. Iemand zonder badge kan op zoek zijn naar toegang die via het vertrouwen van een medewerker wordt verkregen.

Wat kan iemand doen die het pand is binnengekomen?

De hier aangehaalde bronnen beschrijven vooral het toevoegen van hardware. MITRE beschrijft aanvallers die fysiek accessoires, netwerkapparatuur of andere apparaten in een systeem of netwerk brengen om daar toegang te krijgen3. De genoemde functies lopen uiteen van het passief afluisteren van het netwerk tot het injecteren van toetsaanslagen en het toevoegen van een draadloos toegangspunt3.

Is het een theoretisch risico?

MITRE merkt op dat openbare verwijzingen naar gebruik door aanvallersgroepen zeldzaam zijn, maar dat veel auditteams de techniek gebruiken voor de eerste toegang3. Er wordt één geval genoemd: de groep DarkVishnya sloot fysiek een Bash Bunny, een Raspberry Pi, netbooks en goedkope laptops aan op de omgeving van een organisatie om toegang te krijgen tot het lokale netwerk3.

Moet u wantrouwig zijn tegenover iemand die betrouwbaar lijkt?

Ja, maar beleefd. CISA beschrijft een aanvaller die onschuldig en respectabel overkomt en zich kan voordoen als nieuwe werknemer, reparateur of onderzoeker, en zelfs legitimatiebewijzen toont om die identiteit te staven2. Schijn bewijst dus niets2. Alleen een controle bij de receptie of bij de verwachte persoon geeft zekerheid.

Wat zegt u concreet?

Een eenvoudige zin volstaat, bijvoorbeeld: "Goedendag, kan ik u helpen? Bij wie moet u zijn? Ik breng u naar de receptie." De toon blijft die van een gunst, niet van een controle. Het doel is de persoon niet alleen te laten en de controle over te laten aan de receptie.

1Hoe het werkt1 min

Een bezoeker met een afspraak meldt zich bij de receptie, waar zijn identiteit en de persoon die hij komt bezoeken kunnen worden gecontroleerd. Iemand zonder badge op de verdiepingen heeft die stap omzeild, bewust of onbewust. De medewerker kan niet bepalen om welk geval het gaat en hoeft dat ook niet te doen: de receptie beschikt over de gegevens daarvoor.

CISA wijst erop dat elk lid van de gemeenschap, vrienden, gezinnen, collega's of buren, een eerste verdedigingslinie is voor de openbare veiligheid6.

Het it-risico komt daarna. Een apparaat dat in het bedrijf wordt aangesloten, kan functies toevoegen die een gewoon opslagmedium niet biedt3. Verwisselbare media blijven ook een manier om malware te verspreiden: MITRE beschrijft malware die op een medium is gekopieerd en bij het aansluiten wordt uitgevoerd via de functie Autorun, ook op netwerken die niet met internet verbonden zijn4. In dezelfde tekst staat dat mobiele apparaten, zelfs usb-oplaadkabels, kunnen dienen om een computer te infecteren4.

2Wat u doet1 min
  • Spreek de persoon snel en vriendelijk aan en vraag wie hij of zij komt bezoeken.
  • Begeleid de persoon tot aan de receptie in plaats van alleen de weg te wijzen, en laat hem of haar onderweg niet alleen.
  • Waarschuw de receptie of de beveiliging over wat er is gebeurd, ook als alles normaal lijkt.
  • Beweert de persoon bij een bekende organisatie te horen, dan loopt de controle via de receptie of via een contactpersoon die u al kent. CISA raadt aan de identiteit rechtstreeks bij de organisatie na te gaan en op uw hoede te zijn voor ongevraagde bezoeken van mensen die vragen stellen over werknemers of interne informatie2.
  • Beantwoord geen vragen over de organisatie van het bedrijf, de teams of het netwerk zolang u niet zeker bent van het gezag van uw gesprekspartner2.
3De valkuilen2 min

De valse leverancier. CISA noemt de reparateur onder de rollen die een aanvaller kan spelen2. MITRE merkt van zijn kant op dat organisaties externe leveranciers vaak ruime toegang geven tot hun interne systemen, bijvoorbeeld voor airconditioning, liften of fysieke beveiliging, en dat deze vertrouwensrelatie soms minder wordt gecontroleerd dan gewone toegang5. Zegt iemand leverancier te zijn, dan loopt de controle via de receptie, niet via het uiterlijk.

Informatie die zich opstapelt. Een aanvaller die bij één persoon onvoldoende informatie krijgt, kan een ander in dezelfde organisatie benaderen en zich daarbij baseren op wat de eerste heeft gezegd om geloofwaardiger over te komen2. Een onschuldig antwoord in een gang kan dienen voor het volgende gesprek.

Het ongemak. Bang zijn een bezoeker te beledigen is begrijpelijk. De formulering die helpt: aanbieden de persoon te begeleiden, wat een gastvrij gebaar blijft. Het NIST beschrijft social engineering als het winnen van het vertrouwen van de persoon1.

Meelopen achter iemand. Iemand achter u laten binnenkomen bij een deur met badgelezer bespaart die persoon de stop bij de receptie. De regel blijft dezelfde: iemand zonder badge en zonder begeleider wordt naar de receptie gestuurd.

Urgentie of getoond gezag. CISA wijst er, met het oog op e-mails, op dat een vals gevoel van urgentie dient om iemand te laten handelen zonder na te denken2. Dezelfde voorzichtigheid geldt van aangezicht tot aangezicht: de receptie controleert, hoe haastig de persoon ook doet.

Fiche

Identificatie
CP-542
Vleugel
5. Kantoorleven en reflexen
Brain-competentie
Social engineering doorzien (outsmart_social_engineering)
Brain-reflex
cr-047
Schema
G5 · Beslisboom voor de reflex
Talen
de, en, es, fr, it, nl
Bronnen
6 bronnen gecontroleerd op 3 november 2026
Bronnen6 bronnen
  1. NIST, “social engineering - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/social_engineering (geraadpleegd op 3 november 2026)
  2. CISA, “Avoiding Social Engineering and Phishing Attacks”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1091/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1199/ (geraadpleegd op 3 november 2026)
  6. CISA, “Physical Security | Cybersecurity and Infrastructure Security Agency CISA”. https://www.cisa.gov/topics/physical-security (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Een bezoeker zonder badge begeleiden”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/bezoeker-zonder-badge-naar-de-receptie-begeleiden/

BibTeX 
@misc{brain_cp542_nl_2026,
  author = {Brain},
  title = {Een bezoeker zonder badge begeleiden},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/bezoeker-zonder-badge-naar-de-receptie-begeleiden/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0