Brain Security · Bewustwording rond cybersecurity en AI
Catalogus
De volledig aanpasbare cybercompetitie: verloop op maat, boss fights en een openbaar klassement.
Ontdekken→
Kast
De arcadekast voor cyberbewustwording. Online te configureren, kant-en-klaar geleverd.
Ontdekken→
Game
De uitlaatklep van de CISO’s: één gebaar, ~2 minuten, en in de microfoon schreeuwen verveelvoudigt de punten.
Ontdekken→
Competitie
De volledig configureerbare reflexcompetitie: minigames op tijd, thema cyber, AI of gemengd, arcademodus.
Ontdekken→
Ervaring
Het deepfake-fotohokje: geef uw webcam vrij, zie uzelf live door een AI getransformeerd en kijk nooit meer hetzelfde naar een beeld.
Ontdekken→
Encyclopedie
De visuele cyberencyclopedie, gegenereerd door AI: verken elk onderwerp tot in het oneindige.
Ontdekken→
Bot
De bot die sensibiliseert in uw messaging: microlessen die vanzelf binnenkomen, ondertekend door Jack.
Ontdekken→
Opleiding
Het cyber-leertraject als voortgangskaart: korte hoofdstukken en een ingebedde arcadequiz, zonder een account aan te maken.
Ontdekken→
Simulatie
De phishingsimulator die uw teams traint op echte aanvallen, van de valse e-mail tot de geprepareerde QR-code, in een beheerst kader dat nooit een wachtwoord opvangt.
Ontdekken→
Coming soon
De gereedschapskist van de CISO, binnenkort beschikbaar.
De verhalende game die cybersecurity al spelend aanleert: tien hoofdstukken, een levelkaart, zonder iets te installeren.
Ontdekken→
Ontdek hoe quishing spamfilters omzeilt door de aanval naar de smartphone te verplaatsen, en leer hoe u uw teams effectief beschermt.
Stelt u zich het volgende scenario voor: uw organisatie beschikt over de modernste e-mailgateways op de markt, een geavanceerde EDR-oplossing op elk eindpunt en verplichte meervoudige authenticatie. Toch worden op een maandagochtend de inloggegevens van een financieel controller buitgemaakt, zonder dat er ook maar één technisch alarm afgaat. De aanvalsvector was geen uitvoerbare bijlage en geen verdachte link in de lopende tekst. Het was een eenvoudig zwart-wit vierkantje in een onschuldig ogend PDF-bestand, met het verzoek om beveiligde toegang te vernieuwen.
Quishing, een samentrekking van QR-code en phishing, vormt vandaag de dag een aanzienlijke operationele breuklijn voor security teams. Door het slachtoffer te verleiden een grafische code te scannen met een persoonlijke smartphone, doorbreekt de aanvaller de perimeter die door IT is opgebouwd en verlaat deze doelbewust de controlezone van uw monitoringtools.
Kort samengevat: Quishing maakt gebruik van een QR-code om een kwaadaardige URL te verbergen in een afbeelding. Traditionele e-mailgateways analyseren doorgaans alleen platte tekst, waardoor de code ongehinderd de inbox bereikt zonder te worden tegengehouden door spamfilters.
Bij een traditionele aanval inspecteert de Secure Email Gateway (SEG) de hyperlinks in het bericht, controleert deze reputaties via threat intelligence en plaatst bijlagen in een sandbox. Bij quishing is de valstrik onzichtbaar voor deze primaire controlemechanismen. De URL bestaat niet als een leesbare tekstreeks in het bericht: deze is grafisch gecodeerd in een matrix van pixels, vaak ingebed in een PNG-afbeelding of opgeslagen in een PDF-document.
Om een dergelijke dreiging te detecteren, moeten filtersystemen optische tekenherkenning (OCR) toepassen of elke afbeelding direct ontleden om het tweedimensionale patroon te decoderen. Deze verwerking vereist aanzienlijke rekenkracht en veroorzaakt vertragingen die veel infrastructuren zich op grote schaal simpelweg niet kunnen veroorloven.
Bovendien passen aanvallers hun technieken voortdurend aan door het contrast licht te wijzigen, logo's in het midden van de QR-code te plaatsen of conditionele omleidingen te gebruiken die alleen werken wanneer het verzoek afkomstig is van een mobiele browser. De e-mailgateway laat het bericht daarom te goeder trouw door.
Kort samengevat: Door het gebruik van de smartphonecamera af te dwingen, omzeilt de aanvaller de EDR op het werkstation en maakt deze misbruik van een persoonlijke omgeving zonder zakelijke DNS-filtering of netwerkbeveiliging.
Het werkelijke gevaar van quishing schuilt in deze contextwissel, ook wel een cross-device aanval genoemd. Terwijl de medewerker e-mail leest op een werkstation dat wordt beschermd door strikt securitybeleid, vraagt het bericht expliciet om een smartphone te gebruiken: bijvoorbeeld om een authenticatie-app te synchroniseren, een wachtwoord te resetten of een administratief dossier bij te werken.
Zodra de medewerker de camera van een eigen toestel (BYOD) op het computerscherm richt:
Deze vector blijft overigens niet beperkt tot digitale inboxen. Aanvallers maken ook gebruik van de fysieke wereld. We zien regelmatig kwaadaardige QR-codes op laadpalen bij bedrijfsparkings, op brieven die zogenaamd door HR zijn verzonden, of op posters in koffiehoeken die oproepen om in te loggen op een nieuw personeelsportaal.
| Strategic Dimension | Detailed CISO Recommendation |
|---|---|
| Verdwijnt de EDR-isolatie | de persoonlijke smartphone beschikt doorgaans niet over een telemetrie-agent of zakelijke URL-filtering. (De cross-device valkuil: van zakelijke pc naar persoonlijke…) |
| Hanteer een heldere interne gedragsregel | leg formeel vast in het IT-beveiligingsbeleid dat interne afdelingen (zoals IT, HR of Finance) nooit zullen vragen om een QR-code te scannen voor… (Hoe beschermt u uw teams doeltreffend tegen QR-code phishing?) |
| Wordt de netwerkbeveiliging omzeild | de verbinding verloopt via het 4G- of 5G-netwerk van de mobiele provider, waardoor de zakelijke proxy en DNS-blokkadelijsten buitenspel staan. (De cross-device valkuil: van zakelijke pc naar persoonlijke…) |
| Implementeer mobiele bescherming | beheer zakelijke smartphones via Mobile Device Management (MDM) met ingebouwde inspectie voor links die vanuit de camera worden geopend. (Hoe beschermt u uw teams doeltreffend tegen QR-code phishing?) |
Tegen een dreiging die klassieke technische barrières omzeilt, biedt alleen actieve menselijke waakzaamheid en structurele weerbaarheid een duurzaam antwoord. U kunt medewerkers fysiek niet verbieden hun smartphone te gebruiken, maar u kunt die automatische reflex wel ombuigen naar een kritisch controlemoment.
Om een robuuste verdediging tegen quishing op te bouwen, zijn meerdere concrete maatregelen noodzakelijk:
Moderne cybersecurity draait niet om het rigoureus verbieden van handige technologieën, maar om het ontwikkelen van het juiste inschattingsvermogen bij medewerkers, zodat zij niet de onbedoelde toegangspoort vormen voor een ernstig beveiligingsincident.
Wilt u de weerbaarheid van uw organisatie testen tegen moderne social engineering-technieken? Neem contact met ons op om samen een gerichte trainingsstrategie op te zetten die aansluit op uw operationele risico's.
