Brain Security · Bewustwording rond cybersecurity en AI
Catalogus
De volledig aanpasbare cybercompetitie: verloop op maat, boss fights en een openbaar klassement.
Ontdekken→
Kast
De arcadekast voor cyberbewustwording. Online te configureren, kant-en-klaar geleverd.
Ontdekken→
Game
De uitlaatklep van de CISO’s: één gebaar, ~2 minuten, en in de microfoon schreeuwen verveelvoudigt de punten.
Ontdekken→
Competitie
De volledig configureerbare reflexcompetitie: minigames op tijd, thema cyber, AI of gemengd, arcademodus.
Ontdekken→
Ervaring
Het deepfake-fotohokje: geef uw webcam vrij, zie uzelf live door een AI getransformeerd en kijk nooit meer hetzelfde naar een beeld.
Ontdekken→
Encyclopedie
De visuele cyberencyclopedie, gegenereerd door AI: verken elk onderwerp tot in het oneindige.
Ontdekken→
Bot
De bot die sensibiliseert in uw messaging: microlessen die vanzelf binnenkomen, ondertekend door Jack.
Ontdekken→
Opleiding
Het cyber-leertraject als voortgangskaart: korte hoofdstukken en een ingebedde arcadequiz, zonder een account aan te maken.
Ontdekken→
Simulatie
De phishingsimulator die uw teams traint op echte aanvallen, van de valse e-mail tot de geprepareerde QR-code, in een beheerst kader dat nooit een wachtwoord opvangt.
Ontdekken→
Coming soon
De gereedschapskist van de CISO, binnenkort beschikbaar.
De verhalende game die cybersecurity al spelend aanleert: tien hoofdstukken, een levelkaart, zonder iets te installeren.
Ontdekken→
Ontdek geavanceerde vishing-technieken gericht op de IT-helpdesk, MFA-manipulatie en hoe u uw teams beschermt met gerichte training.
Het scenario herhaalt zich wekelijks binnen talloze organisaties: een medewerker van de IT-servicedesk neemt de telefoon op. Aan de andere kant klinkt een gehaaste stem die zich voordoet als een directielid of accountmanager, zogenaamd gestrand op de luchthaven net voor een cruciale onderhandeling. De VPN-toegang is geblokkeerd, de multi-factor authenticatie (MFA) app weigert dienst, en er is met spoed een nieuw wachtwoord nodig om geen miljoenencontract mis te lopen. Onder druk van deze combinatie van urgentie en hiërarchische autoriteit omzeilt de behulpzame servicedeskmedewerker maar al te vaak de geldende beveiligingsprocedures.
Vishing (een samentrekking van "voice" en "phishing") vormt vandaag de dag een van de meest doeltreffende aanvalsvectoren op informatiesystemen. In tegenstelling tot frauduleuze e-mails die grotendeels door spam- en securityfilters worden tegengehouden, richt een direct telefoongesprek zich op de meest onvoorspelbare factor binnen uw organisatie: de menselijke psychologie. Nu aanvallers hun methodes verfijnen met geavanceerde spraaktechnologieën, is het doorgronden van deze manipulatietechnieken een absolute prioriteit voor elke CISO of security officer.
In het kort: Aanvallers combineren gerichte OSINT-verkenning, misbruik van hiërarchische autoriteit, het opwekken van kunstmatige hoogdringendheid en vleierij om medewerkers of IT-ondersteuners ertoe te bewegen beveiligingsmaatregelen te omzeilen, MFA-prompts goed te keuren of inloggegevens te resetten.
Om hun doel te bereiken, bellen cybercriminelen zelden zomaar een willekeurig nummer. Vishing steunt op een uiterst berekend proces van social engineering, opgebouwd uit verschillende psychologische stappen:
In het kort: De IT-helpdesk beschikt over uitgebreide beheerdersrechten en heeft een sterke servicegerichte cultuur. Aanvallers maken misbruik van deze behulpzaamheid om MFA te omzeilen via push-moeheid of door een directe reset van authenticatietokens af te dwingen.
De helpdesk is de ideale toegangspoort voor criminele organisaties. Supportmedewerkers zijn getraind om snel en klantgericht oplossingen te bieden, en worden niet zelden afgerekend op de doorlooptijd van hun tickets. Wanneer een overtuigende beller beweert zijn zakelijke smartphone te zijn kwijtgeraakt, is de verleiding groot om snel een nieuw authenticatie-apparaat te registreren zonder een extra videoverificatie of een officiële terugbelprocedure toe te passen.
Multi-factor authenticatie is niet langer een waterdichte barrière zodra de menselijke schakel aan de telefoon bezwijkt. Criminelen gebruiken vishing vaak in combinatie met "MFA fatigue" (het herhaaldelijk versturen van pushberichten). Terwijl de gebruiker overspoeld wordt met verificatieverzoeken op diens telefoon, belt de aanvaller met het verhaal dat hij van het interne securityteam is: "Wij zien verdachte activiteit op uw account, keur alstublieft de volgende melding goed om de aanval direct af te slaan". Zodra het slachtoffer klikt, heeft de aanvaller toegang tot het bedrijfsnetwerk.
| Assessed Domain | Target Practice Defined in Guide | Related Chapter | Priority |
|---|---|---|---|
| Voorbereidende OSINT (Open Source Intelligence) | De aanvaller analyseert LinkedIn, openbare socialemediaprofielen en de bedrijfswebsite. Zo worden namen van leidinggevenden, interne vaktermen… | Welke manipulatietechnieken worden gebruikt bij een… | P1 · Critical |
| Verplichte out-of-band terugbelprocedures | Hanteer een ijzeren regel voor risicovolle handelingen zoals wachtwoordresets, het koppelen van nieuwe MFA-apparaten of het wijzigen van… | Welke organisatorische tegenmaatregelen beschermen tegen… | P1 · High |
| Het geloofwaardige voorwendsel (pretexting) | De fraudeur neemt een overtuigende rol aan. Dit varieert van een nieuwe collega die verdwaald is op diens eerste werkdag tot een externe auditor die… | Welke manipulatietechnieken worden gebruikt bij een… | P2 · Core |
| Het recht op gezonde twijfel | Geen enkele werknemer mag berispt worden wanneer deze weigert een spoedverzoek van een vermeend directielid uit te voeren zonder verificatie… | Welke organisatorische tegenmaatregelen beschermen tegen… | P2 · Ongoing |
De opkomst van generatieve AI-tools heeft social engineering via de telefoon naar een gevaarlijk nieuw niveau getild. Aan de hand van een kort audiofragment van enkele seconden (afkomstig van YouTube, een podcast of een openbare toespraak) kan de stem van een CEO of manager met verbluffend realisme worden gekloond, inclusief intonatie, ademhaling en het exacte timbre.
Tegenover dit soort deepfakes volstaan theoretische waarschuwingen niet meer om de alertheid van uw personeel aan te scherpen. Om tastbaar te maken hoe eenvoudig een stem of gezicht digitaal kan worden nagemaakt, heeft Brain Security Deepfake Studio ontwikkeld: een educatieve studio die gratis online te gebruiken is zonder account. Door tijdens interactieve sessies zelf met deze technologie te experimenteren, ontdekken uw teams wat er achter de schermen gebeurt en leren zij dat een vertrouwde stem aan de telefoon geen garantie meer is voor authenticiteit.
Technologische filters alleen volstaan niet tegen aanvallen die steunen op psychologische manipulatie. De weerbaarheid van uw organisatie hangt af van strikte protocollen en alerte gedragsreflexen:
De beveiliging van uw systemen rust op de waakzaamheid van uw personeel wanneer de telefoon overgaat. Wilt u de menselijke weerbaarheid binnen uw organisatie meten en een trainingsprogramma opzetten dat naadloos aansluit op uw reële risicoprofiel? Maak een afspraak om uw uitdagingen te bespreken met onze experts op het gebied van social engineering.
