Cyercrime in Nederland: het gaat goed!

We lijken onze e-crime onder controle te hebben, aldus Ronald Prins, ceo en cto van beveiligingsbedrijf Fox-IT. 35 miljoen euro was de schade in zowel 2011 als 2012, oftewel 2 euro per bankierende Nederlander.

Stabiele cijfers dus, van de Nederlandse Vereniging van Banken, op het gebied van malware op onze pc’s, laptops etc. Goed nieuws?

Ja dus, qua cijfers. We zijn in staat om e-crime te dempen. En nee, omdat criminelen zichzelf opnieuw uitvinden, met nieuwe mogelijkheden en kansen. En omdat cybercrime ook wel een mooi exportproduct is. Wat in Nederland niet meer kan, kan nog wel in andere landen (m.n. Britse, Duitse, Zweedse en Deense markt) en vice versa. En criminelen zijn innovatief met leuke producten en diensten als ‘new cash out’, ‘ransomware’ en ‘direct hits’. Aan de namen zal het niet liggen, je denkt bijna van ‘Doe mij ook maar!’

New cash out en ransomware
New cash out zorgt ervoor dat uw geld via zogenaamde katvangers (drugsverslaafden, daklozen, mensen met schulden) weggesluisd wordt naar het buitenland. Het werkt bijvoorbeeld ook door via iDeal uw gekochte Bitcoins weg te trekken uit Nederland en deze via uw eigen crimineel opgezette Bitcoin Exchange elders in te wisselen.

U kunt via malware-toepassingen natuurlijk ook gewoon geld afpersen: ransomware oftewel afpersings-malware genoemd. Dit is feitelijke e-crime, vaak buiten het zicht van banken en deze fraude telt dus ook niet mee in die 35 miljoen euro waar ik eerder over sprak.

Banken safe?
Zijn banken dan safe? Nee, want er gaan ook meer directe aanvallen plaatsvinden, zo voorspelt Prins. Op banken en op derden. Als de Amerikaanse veiligheidsdienst NSA het kan, waarom hackers dan niet? Waarom lukt dit steeds beter? Ook bij banken? Omdat banken steeds meer gewone middelen gebruiken die overal verkrijgbaar zijn, zodat er met hardware, software in de boevenhuiskamer goed geoefend kan worden.

Wat weten bedrijven eigenlijk van cyberveiligheid in Nederland? Ze weten veel van firewalls, authenticiteit, tokens: preventie dus. Als de muren om Fort Knox. Minder aandacht is er echter voor detectie vooraf, intelligentie over bijvoorbeeld bedreigingen en over een respons daarop: hoe reageren we op cybercrime?

Hoe gaan bedrijven met cybercrime om? Prins schetst vijf niveaus waarop het Nederlandse bedrijfsleven omgaat met cybercrime: strategisch, focused, tactisch, ad-hoc en reactief. Binnen onderzoeksprogramma Shopping2020 wordt veel aandacht gegeven aan veiligheid. Dat proberen we op strategisch niveau te doen. Dat is in ieder geval onze ambitie. Banken versus veiligheid zitten op het niveau focused en komen soms zelfs niet verder dan tactisch.

Certificering
Ook bij Thuiswinkel.org hebben we veiligheid al jaren omarmd. Ook wij proberen dat strategisch aan te vliegen. Maar de werkelijkheid is dat we in de uitvoering al blij mogen zijn als we focused zijn. Veilgheid maakt inmiddels integraal onderdeel uit van de certificering van ons keurmerk. Veel webwinkels komen echter nog niet verder dan een operational c.q. ad-hoc of zelfs reactief niveau.