Social engineering blijft een effectieve manier om grote geldbedragen te ontvreemden, zelfs bij de meest oplettende organisaties. De gemeente Helmond kreeg hier onlangs op pijnlijke wijze mee te maken. Op 15 november ontdekten zij dat een betaling van maar liefst €93.000 niet bij de juiste ontvanger was aangekomen. Wat bleek? De gemeente was het slachtoffer geworden van een geraffineerde phishing-actie. Hoe kon dit gebeuren, en welke lessen kunnen we hieruit trekken?
Wat ging er mis?
In dit voorbeeld begon het met een aanmaning. Een leverancier stelde dat een factuur niet was betaald, terwijl de administratie van de gemeente anders beweerde. Een nadere blik bracht de waarheid aan het licht: het bedrag was wel betaald, maar naar een verkeerd rekeningnummer.
Een frauduleuze e-mail lag aan de basis van deze fout. De oplichters hadden zichzelf namelijk voorgedaan als de leverancier en verzochten de crediteurenadministratie om een bankrekeningwijziging. Helaas werd deze wijziging goedgekeurd zonder de noodzakelijke controle. Een afwijkend e-mailadres, dat tot nader onderzoek had moeten leiden, werd over het hoofd gezien. Ook de zogeheten ‘vier-ogen’-controle binnen de gemeente kon de fout niet opvangen.
Phishing en vervalsing
Deze vorm van fraude begon bij de leverancier, waar de criminelen via een succesvolle phishingactie toegang kregen tot vertrouwelijke gegevens zoals facturen en contractinformatie. Met deze gegevens werd een vervalste factuur gecreëerd, compleet met logo en contactgegevens van de leverancier. Op 18 september ontving de gemeente deze vervalste factuur met een verzoek om betaling naar een nieuw rekeningnummer. Dit verzoek werd op 20 september gehonoreerd, zonder de extra controle die normaal gesproken vereist is.
De nasleep
Pas toen de aanmaning binnenkwam, werd de phishingpoging opgemerkt. De gemeente zette direct meerdere acties in gang:
- Het opstellen van een tijdslijn voor onderzoek en aangifte.
- Contact opnemen met de bank om te proberen het geld terug te halen.
- Een veiligheidsonderzoek naar de betrokken systemen.
- Het aanscherpen van werkprocessen en financiële controles.
Hoewel er geen systeemfouten of bewijs van een hack in de systemen werd gevonden, erkende de gemeente dat menselijke fouten een cruciale rol hebben gespeeld.
Preventie en toekomstplannen
De gemeente Helmond geeft aan dat zij dagelijks wordt geconfronteerd met phishingmails en fraudepogingen. Ondanks bestaande maatregelen en afspraken, slaagde deze phishingpoging door een combinatie van menselijke vergissingen. Dit incident heeft het team zwaar geraakt, maar het vormt voor de gemeente ook een aanleiding om processen verder aan te scherpen. Er wordt extra ingezet op:
- Evaluatie en verbetering van werkprocessen: Helmond verscherpt de controleprocedures en overweegt een versnelde verplichtstelling van e-facturatie boven een bepaald bedrag.
- Bewustwording: Training en bewustwording van medewerkers blijven cruciaal in het voorkomen van menselijke fouten.
- Technologische oplossingen: De gemeente investeert in betere beveiliging van systemen en processen.
NIEMAND IS ONFEILBAAR
Het incident in Helmond laat zien hoe geraffineerd cybercriminelen te werk gaan en hoe zelfs goed beveiligde organisaties vatbaar kunnen zijn voor slimme social engineering tactieken. Het onderstreept de noodzaak van een combinatie van technische maatregelen, strikte werkprocessen en voortdurende aandacht voor bewustwording rondom cybersecurity.
Bij IRIS one ondersteunen we organisaties in het versterken van hun cyberveiligheid. Van robuuste technische oplossingen tot trainingen voor medewerkers: wij helpen bedrijven om weerbaar te zijn tegen de toenemende dreiging van cybercriminaliteit. Neem vandaag nog contact met ons op om te ontdekken hoe jouw organisatie veiliger kan werken!
Bron: ditishelmond.nl
