--- id: CP-021 slug: pretexting-geloofwaardig-autoriteitsscenario lang: nl title: Pretexting, of de kunst van het valse voorwendsel description: "Een nep-helpdesk die belt of schrijft om een wachtwoord los te krijgen: hoe pretexting werkt en hoe u het ontmantelt." canonical_url: https://startbrain.io/cyberpedia/nl/articles/pretexting-geloofwaardig-autoriteitsscenario/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/pretexting-geloofwaardig-autoriteitsscenario.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Pretexting, of de kunst van het valse voorwendsel”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/pretexting-geloofwaardig-autoriteitsscenario/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-040 schema: G5 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/pretexting-geloofwaardig-autoriteitsscenario/ fr: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ en: https://startbrain.io/cyberpedia/en/articles/pretexting-credible-authority-scenario/ de: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ es: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ it: https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/001/ accessed: "2026-11-03" - "n": 5 title: Scattered Spider publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 8 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Pretexting, of de kunst van het valse voorwendsel Een onbekende belt, schrijft of stuurt een bericht en doet zich voor als iemand die vragen mag stellen: de IT-helpdesk, een leverancier, een bank, een nieuwe collega. Hacken hoeft niet, als de gesprekspartner zelf een wachtwoord, een code of interne informatie geeft. CISA beschrijft dit patroon: de aanvaller kan zich uitgeven voor een nieuwe medewerker, een reparateur of een onderzoeker, valse identiteitsbewijzen aanbieden en de verkregen antwoorden vervolgens met elkaar vergelijken [1]. Deze techniek berust op een vals voorwendsel, vandaar de naam pretexting. MITRE rekent haar tot de technieken voor het verzamelen van informatie via phishing: het doel is dat het slachtoffer gegevens prijsgeeft, vaak inloggegevens, en niet dat het schadelijke software uitvoert [2]. ## In 30 seconden - Waar het gebeurt: per telefoon [3], per sms [5], per Teams-bericht [7] of per e-mail [2]. - Wat de aanvaller wil: inloggegevens of andere bruikbare informatie [2], soms een eenmalige code [2]. - De reflex: geef niets aan degene die contact opnam en controleer zijn identiteit rechtstreeks bij de organisatie waarvan hij zegt te zijn [1]. - Als het al gebeurd is: waarschuw meteen de bevoegde personen in het bedrijf en wijzig de prijsgegeven wachtwoorden [1]. ## Directe vragen ### Wat is pretexting? Het is een vorm van social engineering: de aanvaller gebruikt menselijk contact om informatie over een organisatie of haar systemen te verkrijgen of aan te tasten [1]. Het voorwendsel (een storing die verholpen moet worden, een account dat gecontroleerd moet worden, een betaling die voldaan moet worden) geeft een aannemelijke reden om iets te vragen. ### Waarom lijkt het bericht zo geloofwaardig? Omdat de aanvaller zich vooraf heeft ingelezen. MITRE merkt op dat deze benaderingen informatie hergebruiken uit eerdere verkenning, bijvoorbeeld op sociale netwerken of op de websites van het beoogde bedrijf, om aannemelijk lokaas te maken [4]. Bij Scattered Spider noemt CISA informatie uit sociale media, open bronnen, commerciële inlichtingentools en gelekte databases [5]. ### Wie wordt er getroffen? Iedereen, maar de IT-ondersteuning in het bijzonder. Microsoft ziet dat de groep Octo Tempest vaak technische beheerders aanpakt, zoals medewerkers van support en helpdesk, wier rechten toegang tot accounts kunnen openen [6]. ### Wat vraagt de aanvaller? De verzoeken in de bronnen zijn concreet: inloggegevens, een eenmalige code, het opnieuw instellen van een wachtwoord, het overzetten van een tweede authenticatiefactor naar een apparaat dat de aanvaller beheert, of het installeren van een hulpmiddel voor toegang op afstand [3][5][7]. ### Wat moet ik doen als ik al heb geantwoord? CISA raadt aan het incident te melden aan de bevoegde personen binnen de organisatie, waaronder netwerkbeheerders, die op ongebruikelijke activiteit kunnen letten, en de prijsgegeven wachtwoorden onmiddellijk te wijzigen, op elk account waar hetzelfde wachtwoord werd gebruikt [1]. ## In de huid van de aanvaller De aanvaller begint met het verzamelen van namen, functies en procedures. Een nepprofiel op een sociaal netwerk kan als ingang dienen: MITRE beschrijft fictieve accounts die medewerkers vacatures aanbieden, wat een aannemelijke reden geeft om vragen te stellen over afdelingen, regels en de IT-omgeving [4]. Identiteiten van medewerkers kunnen ook uit eerdere lekken komen: MITRE meldt dat Scattered Spider informatie uit eerdere datalekken gebruikte om namen van medewerkers te vinden voor zijn manoeuvres [7]. Dan volgt de enscenering. Een aanvaller die bij één persoon te weinig informatie krijgt, benadert een ander in dezelfde organisatie en leunt op het eerste antwoord om legitiem over te komen [1]. De telefoontjes van Scattered Spider verlopen vaak in meerdere stappen: de eerste dienen om te leren hoe de helpdesk een wachtwoordreset afhandelt, de volgende om de gegevens van de beoogde medewerker te verzamelen [5]. Tot slot de druk. MITRE wijst op het zich voordoen als vertrouwde bron en het versturen van meerdere berichten die dringend lijken [2], en bij voice phishing op het gevoel van urgentie of alarm dat bij de ontvanger wordt opgewekt [3]. ## Wat u op het scherm ziet De vormen die in de bronnen zijn waargenomen, zijn de volgende. - Een telefoontje van een zogenaamde technicus die vraagt een hulpmiddel voor onderhoud op afstand te installeren. MITRE noemt telefoontjes van Scattered Spider waarin de beller zich uitgaf voor IT-personeel om slachtoffers zo'n hulpmiddel te laten downloaden [3]. - Een bericht in Microsoft Teams van een nep-interne helpdesk, door MITRE vastgesteld bij Scattered Spider [7]. - Een e-mail waarvan de afzender zich voordoet als een derde, wat zowel de ontvanger als de automatische beveiligingstools kan misleiden [2]. - Een bericht dat uitnodigt een telefoonnummer terug te bellen, waar de aanvaller vertrouwelijke informatie probeert te achterhalen [2]. CISA noemt ook de klassieke waarschuwingssignalen: een afzenderadres dat lijkt op dat van een echt bedrijf maar waarvan enkele tekens zijn gewijzigd of weggelaten, een algemene aanhef, links waarvan het adres niet overeenkomt met de tekst, fouten of een onsamenhangende opmaak, een ongevraagde bijlage met valse urgentie [1]. Die signalen volstaan niet altijd: een goed geschreven, goed voorbereid verzoek kan er geen enkele bevatten. Hier volgt een geneutraliseerde illustratie, beschreven naar de domeinnamen die CISA noemt (de naam van het beoogde bedrijf gevolgd door "helpdesk" of een single sign-on-dienst) [5]: ```text Illustratie, geneutraliseerd adres: naam-van-het-bedrijf-helpdesk[.]invalid [Geparafraseerd bericht: de "helpdesk" vraagt in te loggen op deze site om het account te controleren.] ``` ## Onder de motorkap Drie mechanismen werken samen. Eerst het verzamelen van informatie (organigram, namen, procedures), dat het decor van het voorwendsel levert [4][5]. Dan het zich voordoen als een ander: een medewerker, een technicus of een nieuwe collega. Microsoft meldt dat Octo Tempest aan de telefoon het taalgebruik van de nagebootste personen nabootst, hun persoonlijke gegevens kent en zich heeft uitgegeven voor nieuwe medewerkers om op te gaan in de procedures bij indiensttreding [6]. Ten slotte gezag en urgentie, die aanzetten tot snel antwoorden. De telefoon maakt misleiding makkelijker. CISA benadrukt dat internettelefonie het eenvoudig maakt de identificatie van de beller te vervalsen, wat inspeelt op het misplaatste vertrouwen van het publiek in de veiligheid van de telefoon [1]. Wanneer de aanvaller zich bij de helpdesk voordoet als medewerker, is het doel een wachtwoord te laten resetten of de multifactorauthenticatie te laten overzetten naar een apparaat dat hij beheert [5]. Microsoft beschrijft zelfs gevallen waarin hij de procedure omzeilt door het account van een reeds gecompromitteerde leidinggevende te gebruiken om zijn verzoeken goed te keuren [6]. Interne bevestigingen zijn dus alleen iets waard als het kanaal zelf veilig is. ## Incidentanalyses ### Begin 2022: Octo Tempest en SIM-swaps Volgens Microsoft werd de groep Octo Tempest voor het eerst waargenomen begin 2022. Zij richtte zich op mobiele telefoonaanbieders en bedrijven die bedrijfsprocessen uitbesteden, om nummeroverdrachten uit te lokken, de SIM-swaps. In 2022 haalde zij voordeel uit deze inbraken door SIM-swaps te verkopen aan andere criminelen en door de accounts van zeer vermogende personen over te nemen om hun cryptovaluta te stelen [6]. ### 25 oktober 2023: Microsoft beschrijft de methoden van Octo Tempest In zijn bericht van 25 oktober 2023 legt Microsoft uit dat deze groep de helpdesk van een organisatie belt om het wachtwoord van een gebruiker te laten resetten of een authenticatiefactor te laten toevoegen [6]. Zodra de groep het telefoonnummer van een medewerker beheert, kan zij ook een zelfbedieningsreset van het account starten [6]. ### 16 november 2023 en 29 juli 2025: het gezamenlijke advies over Scattered Spider Het gezamenlijke advies van CISA, de FBI en partnerorganisaties werd gepubliceerd op 16 november 2023 en daarna bijgewerkt op 21 november 2023 en op 29 juli 2025 [5]. Het beschrijft een groep die grote bedrijven en hun uitbestede IT-helpdesks viseert [5]. De leden gaven zich per telefoon of sms uit voor IT- of supportpersoneel om inloggegevens te bemachtigen, en voor medewerkers om de support te overtuigen een wachtwoord te resetten en de tweede factor over te zetten [5]. Het advies beveelt phishingbestendige multifactorauthenticatie aan, beschermd tegen notificatiebombardement en SIM-swapping [5]. ## Wat u doet De reflex komt hierop neer: u antwoordt niet aan degene die contact opnam, u controleert via een ander kanaal. - Wees op uw hoede bij een ongevraagd telefoontje, bezoek of bericht met vragen over medewerkers of de interne organisatie. Als de onbekende zegt een legitieme organisatie te vertegenwoordigen, controleer dan zijn identiteit rechtstreeks bij die organisatie [1]. - Geef geen informatie over uzelf of over het bedrijf, structuur en netwerken inbegrepen, tenzij u zeker weet dat de persoon die mag weten [1]. - Twijfelt u aan een verzoek per e-mail, neem dan rechtstreeks contact op met de organisatie, zonder de contactgegevens uit het bericht of van de site bij het verzoek te gebruiken: zoek ze op in eerdere correspondentie [1]. - Meld de poging, ook als u niets hebt prijsgegeven. De Britse NCSC beveelt een cultuur aan waarin men meldt zonder angst voor verwijten, omdat medewerkers die sancties vrezen hun fouten niet melden [8]. Aan de kant van de organisatie wijst MITRE erop dat gebruikers kunnen worden getraind om deze technieken te herkennen en te melden, en om bellers te wantrouwen door hun identiteit te controleren [3]. ## Bronnen 1. CISA, “Avoiding Social Engineering and Phishing Attacks”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/004/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/001/ (geraadpleegd op 3 november 2026) 5. CISA, “Scattered Spider”, 16 november 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (geraadpleegd op 3 november 2026) 6. Microsoft, “Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction”, 25 oktober 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G1015/ (geraadpleegd op 3 november 2026) 8. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/pretexting-geloofwaardig-autoriteitsscenario/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.