De strijd tegen phishing: waarom samenwerking cruciaal is

Wie draagt de verantwoordelijkheid wanneer een phishingaanval slaagt en iemand in de val trapt? Hoe kunnen banken, betaalproviders en andere spelers in de keten samenwerken om fraudeurs buitenspel te zetten? En hoe verandert AI de manier waarop phishing wordt gepleegd en de manier waarop we ons ertegen wapenen?

Eén ding wordt al snel duidelijk tijdens het gesprek: phishing bestrijden is geen verantwoordelijkheid van één partij, maar een uitdaging voor de hele keten.

Phishing is een businessmodel geworden

De tijd dat phishing het werk was van een individu dat lukraak wat berichten verstuurde, ligt achter ons. Volgens Gert-Jan moeten we vandaag rekening houden met georganiseerde criminele organisaties die hun phishingactiviteiten bijna als een echt bedrijf runnen.

Op grote schaal worden berichten uitgestuurd om potentiële slachtoffers te vinden. Een groot deel van dat proces is geautomatiseerd. Pas wanneer iemand op een link klikt of reageert, komt een slachtoffer verder in wat Gert-Jan omschrijft als een phishingfunnel.

Ook daarna gaan fraudeurs bijzonder professioneel te werk. De enorme hoeveelheid berichten die ze versturen, levert hen veel data op over wat wel en niet werkt. Die kennis gebruiken ze om hun aanpak voortdurend bij te sturen. Net zoals bedrijven hun marketing optimaliseren, doen phishingbendes aan A/B-testing: succesvolle berichten worden verfijnd om bij een volgende poging nóg betere resultaten te behalen.

Dat professionalisme maakt dat phishingberichten steeds moeilijker te herkennen zijn.

Iedereen kan slachtoffer worden

De verantwoordelijkheid uitsluitend bij het slachtoffer leggen, is volgens Gert-Jan te kort door de bocht.

Uiteraard blijft waakzaamheid belangrijk. Consumenten moeten goed kijken naar wat er van hen gevraagd wordt en op tijd kunnen stoppen wanneer iets niet klopt. Maar ook technologie- en betaalproviders hebben de verantwoordelijkheid om zo duidelijk mogelijk te maken wat er tijdens een betaling gebeurt.

Daar komt nog bij dat fraudeurs hun slachtoffers steeds gerichter kunnen benaderen. Ze beschikken vaak over veel meer dan alleen een telefoonnummer of e-mailadres. Persoonlijke gegevens die elders werden buitgemaakt, kunnen worden gebruikt om een geloofwaardig verhaal op te bouwen en vertrouwen te winnen.

Het idee dat phishing alleen een bepaalde, minder oplettende groep treft, klopt dan ook niet. Iedereen kan op het verkeerde moment met de juiste boodschap worden benaderd.

Ook wie een phishingpoging tijdig herkent, kan trouwens helpen. Door verdachte berichten te melden bij bijvoorbeeld Safeonweb of de betrokken bank, krijgen organisaties waardevolle informatie over de technieken die op dat moment circuleren, waarmee beveiligingssystemen vervolgens weer kunnen worden verbeterd.

Maak phishing minder rendabel

Als phishing zo professioneel georganiseerd is, moeten we ook anders nadenken over de bestrijding ervan.

Gert-Jan maakt in het gesprek een interessante vergelijking: ook phishingbendes maken uiteindelijk een economische afweging. Slachtoffers zoeken en overtuigen kost tijd en geld. Daar moet voor hen voldoende opbrengst tegenover staan.

De uitdaging voor banken, betaalproviders en technologiebedrijven is daarom niet alleen om individuele phishingpogingen tegen te houden, maar ook om het businessmodel achter phishing zo moeilijk en onrendabel mogelijk te maken.

Dat betekent zoveel mogelijk drempels creëren voor de fraudeur, zonder extra complexiteit voor de consument te creëren. Dat evenwicht kan geen enkele speler in de keten alleen realiseren. Net daarom is goed samenwerken essentieel.

Geen enkele partij ziet de volledige puzzel

Achter één online betaling gaan immers verschillende partijen schuil. Wat voor een consument één eenvoudige handeling lijkt, bestaat achter de schermen uit een hele keten.

Elke partij in die keten beschikt over andere informatie. De partij die de factuur verstuurt, kent de context van die factuur. Een payment provider ziet andere elementen van de betaling. Een betaalschema zoals Bancontact beschikt weer over andere transactiegegevens.

Maar geen enkele partij ziet op zichzelf het volledige plaatje.

Volgens Gert-Jan ligt daar een belangrijke sleutel om phishing adequater te bestrijden. Door relevante informatie en signalen over de grenzen van organisaties heen te delen, kunnen verschillende partijen samen meer context creëren.

Zo kan er beter worden ingespeeld op phishingpraktijken die op dat moment circuleren.

Phishing bestrijden is dan ook niet alleen een kwestie van betere beveiliging binnen elke afzonderlijke organisatie. Hoe beter de verschillende schakels in de keten samenwerken, hoe sterker het geheel wordt.

POM, Bancontact en itsme® bundelen de krachten

Die gedachte zit ook achter de samenwerking tussen POM, Bancontact en itsme®.

Samen zorgen we ervoor dat facturen rechtstreeks kunnen worden bezorgd in de Bancontact Pay-app. Zo kunnen facturen als het ware aanmeren in een veilige haven, waar de consument ze in een vertrouwde omgeving kan ontvangen en betalen.

Dat creëert een veilige en rechtstreekse route van factuur tot betaling en zet fraudeurs buitenspel, terwijl het proces voor de consument eenvoudig blijft.

Het is een mooi voorbeeld van wat er mogelijk wordt wanneer verschillende partijen in de keten hun technologie en expertise samenbrengen: meer veiligheid zonder extra frictie voor de eindgebruiker.

AI verandert het speelveld aan beide kanten

Intussen staat ook de technologie achter phishing niet stil. Vooral AI kan de professionalisering en automatisering ervan verder versnellen.

Gert-Jan haalt in de POMcast een opvallend voorbeeld aan van een social-engineeringcompetitie op DEF CON. Waar deelnemers vroeger zelf telefonisch informatie probeerden los te krijgen, konden vorig jaar ook AI-systemen deelnemen. AI die zelfstandig belt en probeert iemand te overtuigen: het toont hoe snel de technologie evolueert.

Voor phishingbendes betekent dit dat opnieuw een deel van hun proces geautomatiseerd kan worden. Taken waarvoor vandaag nog menselijke tussenkomst nodig is, kunnen in de toekomst mogelijk steeds vaker door AI worden uitgevoerd.

Maar die evolutie werkt gelukkig in twee richtingen.

Ook technologie- en betaalproviders kunnen AI gebruiken om fraude beter te detecteren, nieuwe patronen te herkennen en na te denken over nieuwe verdedigingsmechanismen. De vraag wordt dus hoe beide kanten die technologie zullen inzetten en hoe snel de mogelijkheden blijven evolueren.

Gert-Jan ziet regelgeving daarbij vandaag niet noodzakelijk als een rem. Technologiebedrijven beschikken volgens hem over heel wat mogelijkheden om phishing te bestrijden.

De strijd tegen phishing win je samen

Phishing is dus geen zwart-witverhaal. De consument heeft een rol te spelen, maar hetzelfde geldt voor banken, betaalproviders, technologiebedrijven en alle andere partijen die deel uitmaken van de keten.

Tegelijk worden de tegenstanders steeds professioneler. Ze automatiseren, experimenteren en gebruiken nieuwe technologie om hun aanpak voortdurend te verfijnen.

Daarom ligt een belangrijk deel van het antwoord in samenwerking: relevante signalen delen, technologie en expertise combineren en veilige routes creëren waarin fraudeurs geen kans krijgen om tussenbeide te komen.

___

➡️ Bekijk of beluister de volledige POMcast-aflevering op YouTube, Spotify of Apple Podcasts.