Brain Security · Bewustwording rond cybersecurity en AI
Catalogus
De volledig aanpasbare cybercompetitie: verloop op maat, boss fights en een openbaar klassement.
Ontdekken→
Kast
De arcadekast voor cyberbewustwording. Online te configureren, kant-en-klaar geleverd.
Ontdekken→
Game
De uitlaatklep van de CISO’s: één gebaar, ~2 minuten, en in de microfoon schreeuwen verveelvoudigt de punten.
Ontdekken→
Competitie
De volledig configureerbare reflexcompetitie: minigames op tijd, thema cyber, AI of gemengd, arcademodus.
Ontdekken→
Ervaring
Het deepfake-fotohokje: geef uw webcam vrij, zie uzelf live door een AI getransformeerd en kijk nooit meer hetzelfde naar een beeld.
Ontdekken→
Encyclopedie
De visuele cyberencyclopedie, gegenereerd door AI: verken elk onderwerp tot in het oneindige.
Ontdekken→
Bot
De bot die sensibiliseert in uw messaging: microlessen die vanzelf binnenkomen, ondertekend door Jack.
Ontdekken→
Opleiding
Het cyber-leertraject als voortgangskaart: korte hoofdstukken en een ingebedde arcadequiz, zonder een account aan te maken.
Ontdekken→
Simulatie
De phishingsimulator die uw teams traint op echte aanvallen, van de valse e-mail tot de geprepareerde QR-code, in een beheerst kader dat nooit een wachtwoord opvangt.
Ontdekken→
Coming soon
De gereedschapskist van de CISO, binnenkort beschikbaar.
De verhalende game die cybersecurity al spelend aanleert: tien hoofdstukken, een levelkaart, zonder iets te installeren.
Ontdekken→
Ontdek hoe u typosquatting en homoglyfe domeinen herkent. Train medewerkers in het lezen van URL structuren om phishing effectief te weren.
Het scenario voltrekt zich wekelijks in Security Operations Centers. Een medewerker met haast ontvangt een dringende melding die afkomstig lijkt van de eigen IT-servicedesk, klikt op de link, voert inloggegevens in en keurt het verzoek voor meervoudige verificatie goed. Op het scherm leek de pagina identiek aan het vertrouwde inlogsysteem van de organisatie. In werkelijkheid bevatte het domein een afwijking die met het blote oog nauwelijks opvalt, waardoor een gewone ochtendroutine uitmondde in een ernstig beveiligingsincident.
Voor CISO's en securitymanagers ligt de uitdaging niet langer louter bij het technisch filteren van e-mailverkeer. Antispamfilters en Secure Email Gateways vangen het leeuwendeel van generieke dreigingen af, maar aanvallers investeren steeds vaker in misleidende domeinnamen die specifiek zijn ontworpen om het menselijk oog te misleiden. Een duurzame verdediging vereist dat elke medewerker leert kijken als een scherpe controleur, in staat om de werkelijke architectuur van een URL te doorgronden voordat er vertrouwen wordt geschonken.
Kort samengevat: Om een frauduleus domein te ontmaskeren, controleert u het hoofddomein direct links van de allereerste schuine streep, let u scherp op lettercombinaties zoals "rn" in plaats van "m", en herkent u niet-westerse tekens via de automatische Punycode-conversie in de browserbalk.
Domeinmisbruik leunt op de automatische visuele aannames van ons brein. Wanneer we een bekend woord scannen, leest het brein zelden letter voor letter, maar herkent het een globaal woordbeeld. Cybercriminelen buiten deze cognitieve shortcut uit via twee hoofdtechnieken:
Kort samengevat: Aanvallers stapelen betrouwbaar ogende subdomeinen op om het echte doel te verhullen, met bekende merknamen vooraan in de URL. De vaste vuistregel is om vanaf de eerste enkele schuine streep naar links te kijken om het werkelijke hoofddomein te vinden.
Een andere veelgebruikte manipulatie betreft de hiërarchie van subdomeinen. Een aanvaller registreert een ogenschijnlijk onschuldig of willekeurig domein, bijvoorbeeld "beveiligde-omgeving.be" of "veilig-inlogportaal.nl", en configureert vervolgens subdomeinen met de naam van legitieme systemen.
De medewerker ziet in de adresbalk een constructie zoals: https://login.microsoft.com.beveiligde-omgeving.be/auth.
Een ongetrainde lezer kijkt intuïtief van links naar rechts, herkent "login.microsoft.com" en concludeert ten onrechte dat de pagina veilig is. Om deze misleiding te doorbreken, helpt een vaste methodiek die binnen de hele organisatie gedeeld moet worden:
| Strategic Dimension | Detailed CISO Recommendation |
|---|---|
| Klassieke typosquatting | Deze aanpak maakt gebruik van veelvoorkomende typefouten, het weglaten van een letter, het omdraaien van klinkers of medeklinkers, of het toevoegen… (Hoe herkent u een gemanipuleerd domein via typosquatting of…) |
| Zoek de eerste enkele schuine streep | Bepaal de positie van de eerste forward slash ("/") na het voorvoegsel "https://". (Waarom trappen gebruikers zo eenvoudig in complexe subdomeinen?) |
| Homoglyfe aanvallen (IDN homograph attack) | Deze methode benut internationale tekensets (Internationalized Domain Names) om Latijnse letters te vervangen door identiek ogende symbolen uit… (Hoe herkent u een gemanipuleerd domein via typosquatting of…) |
| Kijk direct naar links | Het daadwerkelijke hoofddomein bevindt zich direct links voor deze slash, inclusief de extensie (zoals .nl, .be of .com). (Waarom trappen gebruikers zo eenvoudig in complexe subdomeinen?) |
Theoretische kennis beklijft pas wanneer deze wordt omgezet in vaste operationele routines. Om de impact van social engineering te beperken, moeten een aantal eenvoudige gewoontes worden verankerd in het dagelijkse digitale handelen.
De eenvoudigste remedie tegen gemanipuleerde links is het vermijden van doorklikken vanuit e-mails of chatberichten voor bedrijfskritische platformen. Stimuleer medewerkers om een vaste map met gecontroleerde favorieten in te richten in hun browser. Of het nu gaat om het HR-portaal, het ERP-systeem, banktoepassingen of beheerconsoles, toegang dient altijd te verlopen via deze vertrouwde snelkoppelingen of via handmatige invoer van het bekende domein.
Om URL-analyse echt onderdeel te maken van het spiergeheugen van medewerkers, werkt een interactieve opzet aanzienlijk beter dan statische instructies. Door teams op een speelse manier te confronteren met realistische praktijkvoorbeelden ontstaat een gezonde opmerkzaamheid.
Dit is het principe achter de Cyber Cup, een teamcompetitie met cybersecurityquizzen in een herkenbare arcadestijl. Met korte speelrondes van 3 minuten en een realtime scorebord kunnen medewerkers in self-service (waarbij 5 gratis toegangen beschikbaar zijn zonder creditcard) direct hun oog voor verdachte URL's en phishingtactieken scherpen, terwijl teamgeest en cyberbewustzijn hand in hand gaan.
Typosquatting en homoglyfe aanvallen blijven een populair wapen in het arsenaal van kwaadwillenden, simpelweg omdat de kosten voor registratie verwaarloosbaar zijn ten opzichte van de potentiële buit bij een geslaagde inbraak. Zodra medewerkers echter leren om een URL systematisch te ontleden, verliest deze aanvalstechniek grotendeels haar effectiviteit.
Door robuuste technische maatregelen (zoals FIDO2-authenticatie die van nature bestand is tegen phishing) te combineren met prikkelende, terugkerende trainingsmomenten, ontstaat een sterke menselijke verdedigingslinie. Wilt u weten hoe u uw teams meetbaar weerbaarder maakt met innovatieve formats die aansluiten op uw securitybeleid? Bespreek uw uitdagingen met ons om de mogelijkheden voor uw organisatie te verkennen.
