Hoe herken je Phishingmail?

We doen een stapje terug en bekijken eerst hoe je überhaupt een phishingmail kunt herkennen:

• De grammatica klopt meestal niet helemaal. Het kan dan gaan om zinnen die niet lekker lopen, of om spellingsfouten. Meestal krijg je het gevoel alsof de tekst door Google translate gehaald is;
• De aanhef klopt niet of is te algemeen;
• De naam van de afzender klopt niet. Door over de naam te hoveren met je muis kun je zien welke werkelijke afzender onder de naam staat;
• Eventuele links in de e-mail verwijzen naar iets anders dan dat de tekst suggereert. Door over de link te hoveren met je muis kun je zien waar de link naar toe verwijst;
• De e-mails zijn vaak heel dringend en dwingend geschreven, puur om de lezer aan te sporen om direct te handelen zonder erover na te denken of op zoek te gaan naar aanvullende informatie;
• De e-mail gaat over iets waar je niets mee te maken hebt en bevat een bijlage die malicieus is. Je ontvangt bijvoorbeeld een mail van Apple terwijl je niet in het bezit bent van een Apple product.

Phishingmail op je smartphone

Terugkomend op de vraag “Stel je ontvangt een phishingmail. Kun je deze dan herkennen wanneer je hem opent op je smartphone?”, dan is het antwoord daarop dat dit zeer lastig is. Het is namelijk moeilijk om te controleren op een smartphone of je een phishingmail ontvangen hebt omdat het niet mogelijk is om te hoveren over de afzender of links. En dit zijn nou net de meest essentiële punten waaraan je kunt zien of een e-mail ‘echt’ is en het geen phishingmail betreft. E-mails openen en lezen op je smartphone kan daarom risico’s met zich meebrengen, vooral omdat mensen tegenwoordig ontzettend veel applicaties met gevoelige informatie op hun mobiel hebben.

Phishingmails via je werkmail

Omdat de meeste mensen veel applicaties met gevoelige informatie op hun mobiel hebben staan, installeren veel bedrijven extra security regels op het moment dat medewerkers hun werkmail op hun smartphone willen ontvangen. Hierdoor zijn ze in staat om in geval van virussen en andere security breaches het toestel uit het netwerk te halen en af te sluiten op afstand.

Problemen voorkomen?

Security testen is hot! Maar niet altijd even eenvoudig… Zo zijn wij testers ons ervan bewust dat het lastig is om alle software op security te testen. Daarom wordt een security tester/ethical hacker niet alleen betrokken op het moment dat een applicatie gereleased wordt, maar vaak daarvoor al tijdens het design proces. Zo kan een tester met verstand van security, architecten en developers helpen. Voorbeelden daarvan zijn design reviews en secure coding. Wat wel van toepassing is voor iedereen binnen een team/SCRUM team, is bijvoorbeeld het creëren van awareness rondom software security waaronder phishingmails. Klik niet zomaar ergens op, vooral als je er niets mee te maken hebt. Wat je kunt doen, is testen hoe security-bewust jouw eigen omgeving is. Stuur eens een mailtje met een link erin en kijk eens hoeveel mensen, zonder zich af te vragen wat het is, op de link klikken. Dit is het begin van preventie tegen hacking. Het creëren van deze awareness is een belangrijke taak van de security tester. Een developer kan al rekening houden met security aspecten in de te ontwikkelen applicatie door bijvoorbeeld ‘security by design’ toe te passen. Dit kan ervoor zorgen dat mailtjes die verstuurd worden vanuit de applicatie, goed opgezet zijn en niet voor phishing gebruikt kunnen worden.

What’s next?

We hebben het in deze blog over e-mails op onze smartphones gehad en de risico’s die deze met zich mee kunnen brengen. Maar wat kan verder nog een risico vormen als het gaat om smartphones en gevoelige informatie? In mijn volgende blog vertel ik jullie meer over de GPS locatie en de camera functie.