Phishingtest Vlaamse overheid loopt uit de hand

Een test waarbij de Vlaamse overheid wilde nagaan of ambtenaren in een poging tot internetfraude trappen is deze week uit de hand gelopen. Veel ambtenaren belden met de politie en met Thalys, het bedrijf waar de phishingmail van afkomstig leek.

De Vlaamse overheid stuurde de nep-phishingmail deze week naar 20.000 ambtenaren. De mail werd zogenaamd uit naam van Thalys gestuurd, met de mededeling dat ze nog een openstaande rekening hadden. Thalys zou een bedrag van 19.000 euro afboeken van de creditcard voor een treinreis naar Parijs die geboekt zou zijn. De ontvanger kreeg bij de 'phishingpoging' drie dagen om te annuleren, waarbij ze hun creditcardgegevens moesten invoeren.

Veel geschrokken ambtenaren namen daarop contact met Thalys op, terwijl anderen naar de politie stapten. De Vlaamse overheid had echter verzuimd Thalys en de politie in te lichten. "We hadden de mail zo realistisch mogelijk gemaakt en het logo van Thalys gebruikt. Maar eigenlijk hadden we daar hun toestemming niet voor", zegt Frank Geets van het Agentschap voor Facilitair Management van de Vlaamse overheid aan VTM Nieuws. Hij erkent dat de overheid 'uit de bocht gevlogen is' en biedt zijn excuses aan. In een opvolgende mail zijn de ambtenaren ervan op de hoogte gebracht dat het om een test ging.

Reacties (187)

[blazez]

Kom maar vast op met die minnetjes, maar ik verbaas me werkelijk waar over allerlei reacties op dit artikel. Sommige op het onbeschofte af. Erg jammer.
Ok, stom dat ze de politie en thallys niet ingelicht hebben, maar verder lijkt me dit echt een perfecte test.
En een faal of zelfs een "epic fail" omdat gebruikers gaan nabellen om te vragen of een vreemde betaling wel klopt? Of gebruikers die de politie bellen om een mogelijke phishing mail te melden????
Het had pas een faal geweest als er niemand gebeld had, als niemand alarm geslagen had en als veel medewerkers gewoon de cc gegevens doorgegeven hadden. Dat was pas een faal geweest.

Niet alle eind gebruikers zijn zo "slim" als de gemiddelde tweaker hier. Dat blijkt iedere keer maar weer uit het feit dat er zoveel geld gaat naar phishing mails en oplichters. Er zijn heel erg veel gebruikers die klakkeloos betalen zonder alarm te slaan.
Dus een dikke duim voor de mensen die alarm geslagen hebben. Uiteraard kan het wellicht anders. Volgende keer wellicht eerst je helpdesk bellen, je eigen beheerders bellen. Maar in ieder geval blijf vragen als je iets niet vertrouwd. Desnoods naar de politie of naar het bedrijf dat de mail lijkt verstuurd te hebben.

[gooos]

Prima geslaagde test hoewel het wel netjes was geweest om Thalys vooraf om toestemming te vragen om de phishing test zogenaamd vanuit "hun" naam te mogen verzenden.

Volgens mij is de allerbelangrijkste les van deze test dat de Vlaamse / Belgische overheid de medewerkers in de eigen organisaties beter moeten inlichten over de juiste interne procedures om dit soort verdachte activiteiten te melden. Dan zouden ze niet gelijk de politie en/of Thalys hebben gebeld. (Vraag me dan wel of of ze het telefoon nummer van Thalys uit de mail hebben gehaald of van de website!?)

Ik werk zelf voor een grote internationale organisatie voor een grote internationale klant en ik moet elk jaar zowel onze eigen interne Data Information Security & Privacy training alsmede de Data Information Security & Privacy training van de klant *verplicht* doorlopen. Door de jaarljkse regelmaat blijf je goed op de hoogte bent van de juiste richtlijnen en procedures om dit soort activiteiten intern te melden.

Lijkt me goed leermoment voor de Vlaamse / Belgische overheid als ze dat proces eens onder de loep nemen om te kijken hoe ze hun organisatie (nog) beter kunnen onderwijzen op dit gebied

[edit] Typo bijgewerkt.

[Reactie gewijzigd door gooos op 26 juli 2024 09:55]

[cobis taba]

Waarom in hemelsnaam niet het bedrijf bellen waar de nepmail over gaat? Al was het maar omdat je wilt checken dat er echt niets open staat. Wat kan jouw interne ICT afdeling er verder mee? Prima als je het daar ook wilt melden maar JUIST de organisatie waar nepmail vandaan komt moet dit weten toch?

[.oisyn]

Waarom in hemelsnaam niet het bedrijf bellen waar de nepmail over gaat

Niemand zegt dat het bedrijf niet op de hoogte gebracht moet worden. De vraag is of het de verantwoordelijkheid is van het personeel dat die mail ontvangt om dat te doen. Ligt er natuurlijk wel aan waarnaartoe de mail gestuurd is, maar ik gok gewoon mailadressen van de overheid zelf. Je betaalt je personeel niet om in werktijd allerlei randzaken te doen die compleet geen betrekking hebbeb op het dagelijkse werk. Als ze een phishing mail ontvangen dan zou IT het eerste aanspreekpunt moeten zijn, die hebben dan overzicht van of het vaker gebeurt, en zij zouden het bedrijf kunnen informeren / escaleren naar een andere partij binnen de overheid die dat opvolgt.

[Reactie gewijzigd door .oisyn op 26 juli 2024 09:55]

[ZwolschBalletje]

[...]
Als ze een phishing mail ontvangen dan zou IT het eerste aanspreekpunt moeten zijn, die hebben dan overzicht van of het vaker gebeurt, en zij zouden het bedrijf kunnen informeren / escaleren naar een andere partij binnen de overheid die dat opvolgt.

Denkfout: als ze een phishing mail herkennen dan zou IT inderdaad het eerste aanspreekpunt kunnen (moeten?) zijn. Als de poging tot phishing niet herkend wordt, ligt een telefoontje naar het betreffende bedrijf voor de hand. Als je meerdere aanmaningen per maand ontvangt, vis daar de poging tot phishing dan maar eens uit. Dan is het handiger om ze gewoon allemaal na te bellen, daarmee is het risico (ongewenst betalen) net zo goed afgedekt.

[Reactie gewijzigd door ZwolschBalletje op 26 juli 2024 09:55]

[.oisyn]

Als de poging tot phishing niet herkend wordt, ligt een telefoontje naar het betreffende bedrijf voor de hand.

Maar niet naar de politie, wat doet vermoeden dat het weldegelijk herkend wordt.

[Deralte]

Tenzij men denkt dat het over identiteitsfraude gaat. "Iemand heeft in mijn naam een reis naar parijs geboekt en nu moet ik betalen"

[-AzErTy-]

Ik vind dat Thalys de overheid gewoon keihard moet vervolgen. Deze nonsense is gewoon negatieve reclame, misbruik van hun logo om nog maar te zwijgen van de overlast en de kost voor telefonisten en mails etc.

En dit is de overheid
*Schaamt zich Belg te zijn...

[Ayporos]

Je snapt hopelijk toch wel dat enige boete/vergelding/compensatie die de overheid aan dit bedrijf zou moeten afdragen betaald wordt van jou belastingcentjes en niet afgaat van de salarissen van de betreffende personen die dit bedacht en/of uitgevoerd hebben?...

En dat is nou de pracht van overheidsfails... de burger betaald.

[Yoshi]

Ook it moet dit weten, dan kunnen ze bepaalde filters net toespitsen en beter maken met het oog op phising

[RagingRaven]

(Vraag me dan wel of of ze het telefoon nummer van Thalys uit de mail hebben gehaald of van de website!?

Dat is inderdaad een goed punt en ik vraag me inderdaad af of ze bij het opstellen van deze nepmail dit scenario mee hebben genomen.
Dat zou namelijk nog een ander risico met zich mee kunnen nemen dat men op de juiste manier niet direct ingaat op de inhoud van de nepmail, maar vervolgens wel de 'fout' maken om het verkeerde telefoonnummer te bellen waar dan netjes verteld wordt dat alles klopt en dat men gewoon door kan gaan met invullen van de creditcard gegevens.

Interessant.

[bbob]

De mail lijkt me juist slecht. Bij een bedrag van 19.000 euro worden veel mensen wakker. Een bedrag van zeg 190 euro was veel realistischer geweest en had mensen anders doen reageren.
De overheid weet het begrip a/b testen dus nog niet. Ze zouden verschillende mails kunnen sturen met verschillende bedragen en kijken wat vo0or een verschil er in reactie geweest zou zijn.

[RagingRaven]

huh? waar heb ik het over de inhoud van de mail of zeg ik dat ik het een goede (of slechte) mail vind?

Ik heb het alleen over het telefoonnummer en reageer op de opmerking/vraag van gooos over dit telefoonnummer?

Reactie op verkeerde persoon toevallig?

Maar om toch even te reageren, zoals meerdere reacties al aangeven zou het zomaar kunnen dat bij het bepalen van het bedrag is uitgegaan van een corporate creditcard / abonnement, waarbij dus de hele ambtenaarij gebruik maakt van de/hetzelfde creditcard/abonnement, dan zou in dat geval het bedrag wellicht helemaal niet zo vreemd zijn.

[stresstak]

creditcard / abonnement, waarbij dus de hele ambtenaarij gebruik maakt van de/hetzelfde creditcard/abonnement, dan zou in dat geval het bedrag wellicht helemaal niet zo vreemd zijn.

Laat het dan lekker afschrijven.

[RagingRaven]

Zou ook kunnen, ik vind het ook geen heel logische manier van betalen, maar volgens verschillende andere reacties, gebeurt dit blijkbaar toch

[trogdor]

Julie hebben allebei een valide punt, hoewel het geen reacties op elkaar zijn.

[jpsch]

Als ik moet bellen neem ik altijd het telefoonnummer van de stamkaart van betreffende leverancier.

[Crazy Harry]

Juiste interne procedures om dit soort activiteiten te melden

Ik zou daar echt lak aan hebben als gebruiker. Als ik een dergelijke mail binnenkrijg, neem ik direct contact op met de organisatie waar de mail vanaf lijkt te komen.
Ik ga niet het risico nemen dat er iemand tussenzit die het niet belangrijk genoeg acht, en/of er geen tijd voor heeft.
Ik laat het dan wel weer aan de betreffende organisatie over om zelf de politie in te schakelen.

[gooos]

Die interne processes stellen dat het juist eerst intern gemeld moet worden bij een gespecialiseerd security team. Zij pakken de boel dan voor je op en nemen de diverse stappen (o.a. richting derden) waarbij in sommige gevallen weer de input van de medewerker gevraagd wordt. Dit stelt de medewerkers in staat om zelf gewoon door te kunnen gaan met hun normale werkzaamheden.

Prioriteit is het bundelen van meldingen en daar de juiste stappen bij ondernemen om de ernst in te kunnen schatten. Denk bij de stappen bijvoorbeeld aan het bijwerken van het spamfilter om verdere verspreiding te voorkomen want veelal vinden dit soort mails zich een weg naar je organisatie in batches.
Indien de aard van de spam/phishing mails dusdanig is dan kunnen ze zelf natuurlijk ook een waarschuwing uitsturen naar alle medewerkers.

Ik praat hier over bedrijven van ~48.500 (wij) en >100.000 (de klant) werknemers wereldwijd, dus ik ben me ook wel bewust dat dat een andere orde van grootte is dan de meeste bedrijven en dat daardoor wellicht procedures op dit gebied een ander karakter hebben.

[monojack]

Het is een schande dat de Vlaamse overheid denkt zich niet aan de wet te moeten houden. De wet verbiedt dit soort grappen. Het is al ver gekomen als we wetteloosheid van onze regeringen toelaten. De verantwoordelijke zou op staande voet ontslaan moeten worden.

[.oisyn]

Welke Belgische / Europese wetten zijn hier dan precies overtreden?

[monojack]

Schriftvervalsing. Je mag je niet uitgeven voor iemand anders ook al is dit met de beste bedoelingen

Volgens juristen is de testmail die de Vlaamse overheid naar 20.000 ambtenaren stuurde strafbaar. Dat mag zeker niet wanneer je je uit geeft voor iemand anders. Zelfs als je niet de bedoeling hebt om daar iemand mee te schaden, kan je er toch voor berecht worden.

De Standaard

[eymey]

Ik kan niet anders dan het helemaal met je eens zijn.

Dat van te voren de betreffende bedrijven niet even zijn ingelicht is misschien de enige fail van deze test.

Voor de rest lijkt het me alleen maar een groot succes dat zo veel ambtenaren zo oplettend zijn.

[RaJitsu]

Maar niet iets waar je briljant voor hoeft te zijn om te bedenken. Het is gewoon stom om een test op deze manier in te richten. Dat mag toch best gezegd worden? Verder ligt er nu eenmaal een voor veel Nederlanders gemeenschappelijke achtergrond waarin we de Belgen belachelijk maken. Neem het niet zo serieus...

Dat de test op zich niet verkeerd is, zullen de meesten het wel mee eens zijn. Echter is een gebrek aan inzicht wat iets dergelijks teweeg kan brengen natuurlijk ook vrij schrijnend. Het gaat dan dus niet alleen om het gebrek aan inzicht om een test goed in te richten, maar ook het rekening houden met het bezetten van diensten waarvan de beschikbaarheid zeer belangrijk zouden kunnen zijn. Zaken als politie, brandweer en medische diensten lijken me evident. Maar ook bijv. het op het laatste moment moeten regelen van een reis kan een zaak zijn waar mensen veel aan verliezen wanneer dit niet kan.

[bdevriendt]

Ik hoop dat niemand de brandweer belt als hij een phishing mail ontvangt ?

Ik zie niet in op welke manier deze test voor een bezetting van diensten kan gezorgd hebben. Er is nergens schade aangericht, alle systemen zijn blijven draaien en ik vermoed dat iedereen ook wel gewoon aan zijn bureau blijven zitten is.

Dit soort testen kan niet genoeg gedaan worden, en zouden in alle bedrijven moeten uitgevoerd worden. We zitten al 20 jaar op internet, waarvan toch zeker 10 jaar voor de grote massa, en nog altijd zijn er mensen die zonder verpinken hun gegevens in de eerste de beste website invullen, of elke mail die ze ontvangen zomaar openen en links aanklikken.

[RaJitsu]

De politie is gebeld en dus beziggehouden met deze test waar ze dus capaciteit aan verloren hebben; tijd die ze aan nuttigere zaken kunnen besteden. Het vooraf inlichten van de politie zodat ze daar voorbereidingen voor konden treffen was op zijn plaats geweest. Een aangifte moèt immers opgenomen worden, dus het is wel handig om te weten wanneer iets een nep-aangifte is zodat er procedures in plaats gesteld kunnen worden om de reguliere werkzaamheden zo veel mogelijk te ontzien.

Ik zei het sowieso in algemene zin. Ook omtrent de Brandweer dus. Denk aan een veiligheidstest waarbij je wil testen hoe alert en adequaat mensen zijn op bijv. rookontwikkeling of het inschatten van een vreemde geur.

[Verwijderd]

Maar niet iets waar je briljant voor hoeft te zijn om te bedenken. Het is gewoon stom om een test op deze manier in te richten. Dat mag toch best gezegd worden? Verder ligt er nu eenmaal een voor veel Nederlanders gemeenschappelijke achtergrond waarin we de Belgen belachelijk maken.

Ja, dat is een sociologische waarheid, inderdaad. Mensen verbergen wel vaker de eigen tekortkomingen door de aandacht te verleggen naar de tekortkomingen van de ander. Bekende psychologische truuk die aan de basis ligt van het al even bekende Hollandse superioriteitsgevoel. Als er geen Belgen zouden zijn waren het misschien wel de Friezen of nog een andere bevolkingsgroep om het boe-geroep van de Hollandse onrijpe geest op te vangen.

Neem het niet zo serieus....

Welnee. We weten wie het zegt tenslotte, en we weten al lang hoe het komt. Geef het nog een generatie of drie, vier, en we worden misschien wel goede buren.

[RaJitsu]

Het is heus niet zo dat Belgen vanuit het rationele oog in beleidsmatig opzicht als een minderwaardig volk worden gezien. Vanuit een rationeel opzicht kan ik me niet voorstellen dat je ook maar de minste steun voor een dergelijk idee zult vinden uit het meest opportunistisch ingerichte onderzoek op zowel kwalitatieve als kwantitatieve basis.
Het betreft puur satire, volksgedragen grapjes.

Je zegt:

We weten wie het zegt

Ik had liever gehad dat je had gezegd dat je weet in welke context het gezegd wordt, dat vraag ik me nu alleen maar af. Hetgeen jij omschrijft als een superioriteitsgevoel zou ik kunnen labelen als een minderwaardigheidscomplex.

Ik bedoel, het werkt ook de andere kant op.Jullie hebben bijv. een hoop over onze spaarzaamheid te zeggen (gierig, zuinig). En eigenlijk is dat nog serieuzer, omdat dit voor een deel op waarheid gebaseerd is en iets is waar niet alleen de Belgen het over hebben. Zelfs Nederlanders roepen dit over zichzelf, dat ze nergens voor willen betalen.

Volken die op elkaar lijken maken elkaar altijd belachelijk. De Duitsers en de Oostenrijkers, de Engelsen en de Ieren, de Surinamers en de Antillianen, de Marokkanen en de Tunesiërs, etc. Dat het bij dit soort beleidsfalen dan effe genoemd wordt, til je echt te zwaar aan. Lighten up, niemand die daadwerkelijk gelooft dat Belgen dommer zijn. Moet je eens kijken wat voor inzichten allochtonen over zich heen krijgen, met moslims in het bijzonder. En dit zijn werkelijk gemeende ideeën itt de Belgen-gerelateerde grapjes.

[Verwijderd]

Ik had liever gehad dat je had gezegd dat je weet in welke context het gezegd wordt, dat vraag ik me nu alleen maar af. Hetgeen jij omschrijft als een superioriteitsgevoel zou ik kunnen labelen als een minderwaardigheidscomplex.

Welnee, zo simpel is het echt niet. Lees je eens wat in.

Ik bedoel, het werkt ook de andere kant op.Jullie hebben bijv. een hoop over onze spaarzaamheid te zeggen (gierig, zuinig). En eigenlijk is dat nog serieuzer, omdat dit voor een deel op waarheid gebaseerd is en iets is waar niet alleen de Belgen het over hebben. Zelfs Nederlanders roepen dit over zichzelf, dat ze nergens voor willen betalen.

Volken die op elkaar lijken maken elkaar altijd belachelijk. De Duitsers en de Oostenrijkers, de Engelsen en de Ieren, de Surinamers en de Antillianen, de Marokkanen en de Tunesiërs, etc. Dat het bij dit soort beleidsfalen dan effe genoemd wordt, til je echt te zwaar aan. Lighten up, niemand die daadwerkelijk gelooft dat Belgen dommer zijn. Moet je eens kijken wat voor inzichten allochtonen over zich heen krijgen, met moslims in het bijzonder. En dit zijn werkelijk gemeende ideeën itt de Belgen-gerelateerde grapjes.

Ik ga er niet verder op in, je bent duidelijk niet onderlegd in de materie en verzint ter plekke allerlei verbanden en conclusies die er ofwel niet zijn ofwel nog minstens een paar bladzijden verdere uitleg vereisen. Ander keertje misschien.

[Kenju]

Eigenlijk ben je er nooit op in gegaan behalve het doen van wat lege aantijgingen die duidelijk uit een minderwaardigheidscomplex voort komen.

Je kan jezelf niet tot een autoriteit of degene met een moreel overwicht benoemen in een discussie op basis van niets. Zeg dan gewoon niets als je je te goed voelt. Feitelijk had je dit in eerste instantie al niet moeten doen wanneer je niets te melden had en niet de welwillendheid had op zijn minst je eigen ideeën te onderbouwen en in tweede instantie had je een tegenreactie moeten weglaten als je niet bereid was je aantijgingen verdedigen en de door RaJitsu genoemde zaken te falsifiëren.

De manier waarop je in de discussie de frontpage op eenzelfde manier gebruikt als het forum zegt overigens ook iets over je mogelijkheden om überhaupt zaken in context te zien en te gebruiken. Geldt ook voor waar het hier inhoudelijk over gaat inzake welk je geen argument wist aan te dragen.

[Verwijderd]

...die duidelijk uit een minderwaardigheidscomplex voort komen.

Dat is leuk geprobeerd, maar het werkt helaas niet (en bovendien, het cliché is al wat oud, verzin eens wat nieuws). Je tegenstander onderuithalen door hem allerlei emotionele en psychologische onzin aan te praten (of dat althans te proberen) verraadt natuurlijk meteen dat je qua tegenargumentatie niet veel in huis hebt. Echte argumenten hoef je namelijk geen kracht bij te zetten door je tegenstander met roddelbladpsychologie om de oren te slaan in de hoop dat hij zwakker komt te staan. Sterker nog, het verraadt alleen maar zwakheid aan jouw kant.

Alleen al de gedachte dat je na een klein aantal forumberichten van een totaal onbekende zoiets complex als een minderwaardigheidscomplex meent te kunnen onderscheiden kan ik alleen maar afdoen als een uiting van superioriteitsgevoel. Als je dat echt zou kunnen zou je overigens vast een gigantische prijs in de psychologie in de wacht kunnen slepen. Je haalt op z'n minst het nieuws met zo'n wonderlijke kwaliteit.

Met andere woorden: probeer het eens vanuit je zelf met argumenten gebaseerd op het feitelijke, niet vanuit het voorgeprogrammeerde collectieve bewustzijn met z'n "3+1 gratis" clichés.

Je kan jezelf niet tot een autoriteit of degene met een moreel overwicht benoemen in een discussie op basis van niets. Zeg dan gewoon niets als je je te goed voelt. Feitelijk had je dit in eerste instantie al niet moeten doen wanneer je niets te melden had en niet de welwillendheid had op zijn minst je eigen ideeën te onderbouwen en in tweede instantie had je een tegenreactie moeten weglaten als je niet bereid was je aantijgingen verdedigen en de door RaJitsu genoemde zaken te falsifiëren.

Ik ben een grotere autoriteit op dit gebied dan iemand die zich louter op de afgezaagde clichés kan beroepen, zoveel is zeker.

Tot hier en niet verder. Ik heb 15 jaar studie achter de rug wat dit betreft en wil er - zeker niet in dit forum - geen energie meer aan verspillen. Been there, done that, got the T-shirt.

[Kenju]

Ha, ik heb 40 jaar studie erop zitten, en 16 promoties op alle hoogaangeschreven universiteiten plus 1400 door peers louter positief beoordeelde publicaties op mijn naam staan, dus.... Snap je wat ik bedoel? Het moment waarop je met je achtergrond probeert legitimiteit te krijgen heb je een discussie sowieso verloren. Zeker als je daarnaast geen argument aandraagt. Dus niet alleen gebaseerd op geen enkel argument jezelf een autoriteit noemen of je als dusdanig bewijzen, maar ook nog eens op basis van het noemen van een gegeven dat onmogelijk te controleren valt.

Maar je mag me je echte naam ook wel dm-en, ben benieuwd wat je aan publicaties op je naam het staan. Immers neem ik aan dat je met 15 jaar studie iig een keer gepromoveerd hebt en iets ter publicatie ingediend hebt? Overigens is dat nog steeds niets waard in een discussie aangezien je dan wel degelijk een argument zult moeten overleggen.

[koelpasta]

Maak jij zelf de sitatie niet complexer door die vlag als icoon te hanteren? Ik bedoel, je probeert jezelf blijkbaar duidelijk te onderscheiden op basis van je land van herkomst.

[xFeverr]

Met een 'ander keertje misschien' reactie komen we nog minder ver. Dit is een kans om te vertellen wat je er van vind, dus grijp hem dan ook zou ik zeggen.

[RaJitsu]

Ik heb geen discussie-inhoudelijke variabele genoemd en daarmee dus ook geen oordeel daarover gegeven, laat staan een verband gelegd tussen verschillende variabelen. Ik heb het puur en alleen over het scheve inzicht gehad, dat overduidelijk voort komt uit een minderwaardigheidscomplex. Daar heb je de bevestiging wel voor gegeven, vreemd genoeg in combinatie met een onbewezen superioriteitsgevoel als het om dit onderwerp gaat.

Een superioriteitsgevoel van de Nederlanders over de Belgen is er nooit geweest. Ook niet in de tijd dat we die moppen vaak maakten (die net zo vaak over Turken, Marokkanen en in iets mindere mate Surinamers gingen, mensen die tegenwoordig welgemeende denigrerende opmerkingen (niet bedoeld als grap dus, maar gewoon serieus) te verwerken krijgen op basis van simplistische maatschappelijke inzichten in tegenstelling tot de Belgen).

Dat er zo nu een dan een bekende Belg niet kon aarden in Nederland of vice versa en dat gegooid werd op de 'dikke nekken' aard van de Nederlanders heeft niets te maken met dat superioriteitsidee, maar een cultuurverschil (bijv. Wesley Sonck waarvan men in België dacht dat het iemand was met een aardig Nederlandse mentaliteit die vervolgens moeite had met de randstedelijke mentaliteit).

Ondanks dat we vanuit een breder perspectief op elkaar lijken en aan de oppervlakte veel Nederlanders en Belgen dat idee ook hebben, zijn er ook gewoon duidelijke verschillen in verschillende opzichten die ervoor zorgen dat onze volkeren zich anders ontwikkeld hebben.

[Verwijderd]

dat overduidelijk voort komt uit een minderwaardigheidscomplex.

Nog eentje. Neem me niet kwalijk dat ik hiervan even in de lach moest schieten. Jullie krijgen het echt met de geboorte mee, is het niet?

Een superioriteitsgevoel van de Nederlanders over de Belgen is er nooit geweest.

Nu je 't zegt, ik heb er in mijn hele levensloop nog nooooit iets van gemerkt.

Dat er zo nu een dan een bekende Belg niet kon aarden in Nederland

Waarom zou je je beperken tot bekende Belgen? Waarom zeg je dit niet in z'n algemeenheid? Neem er gewoon de statistieken eens bij, die laten je het hele plaatje zien.

of vice versa en dat gegooid werd op de 'dikke nekken' aard van de Nederlanders heeft niets te maken met dat superioriteitsidee, maar een cultuurverschil (bijv. Wesley Sonck waarvan men in België dacht dat het iemand was met een aardig Nederlandse mentaliteit die vervolgens moeite had met de randstedelijke mentaliteit).

Ondanks dat we vanuit een breder perspectief op elkaar lijken en aan de oppervlakte veel Nederlanders en Belgen dat idee ook hebben, zijn er ook gewoon duidelijke verschillen in verschillende opzichten die ervoor zorgen dat onze volkeren zich anders ontwikkeld hebben.

Dat weten we al bijna tweehonderd jaar. Dacht je dat we van elkaar gescheiden zijn voor de verschillen in het klimaat?

[RaJitsu]

Lekker beargumenteerd weer. Moet makkelijk zijn, ik dat leventje van je waarin je lekker tegen anderen in roept en op basis daarvan jezelf moreel superieur vind.

[stresstak]

Dat van te voren de betreffende bedrijven niet even zijn ingelicht is misschien de enige fail van deze test.

En het onwaarschijnlijke bedrag.
Verder is iedereen pas veilig als hij of zij op zijn sterfbed eerlijk meent te kunnen verklaren nooit ergens ingetuind te zijn. Om vervolgens tevreden aan zijn laatste 'fail' te kunnen beginnen. Uiteindelijk hebben we eens verloren.

[MClaeys]

Klopt, dit lijkt me een goede test dat meer bedrijven zouden moeten doen. Af en toe, puur als test. Ze mogen de mail dan zelfs nog iets beter maken zodat het nog moeilijker te doorprikken.
Je werknemers hierop trainen is er de beste bescherming tegen, en het zal hen ook privé behoeden voor zulke fratsen dus mooi meegenomen.
Hieruit is duidelijk geworden dat ze eigenlijk hun interne policy moeten aanpassen en dat phishing eigenlijk bij een interne dienst moet gemeld worden (eventueel een mailbox hiervoor waar ze zulke mails naartoe moeten zenden). Ik denk dat dat eigenlijk bij vele bedrijven wel het geval is dat ze daar niet echt een goede policy over hebben (of dat de werknemers het niet weten).

Al hadden ze wel de nodige diensten moeten waarschuwen.

[Reactie gewijzigd door MClaeys op 26 juli 2024 09:55]

[Verwijderd]

Doet me denken aan de testen die men bij ons (internationaal bedrijf wat afgelopen jaar nog gehacked is geweest ) doet.
Het resultaat is nu dat 'verdachte' verzoekjes per mail van het hoger management en bijvoorbeeld de salarisadministratie nu steevast gevolgd worden door een mail waarin men moet uitleggen dat het toch echt een intern verzoek is.
Doel dramatisch voorbij geschoten dan?

[stresstak]

Het resultaat is nu dat 'verdachte' verzoekjes per mail van het hoger management en bijvoorbeeld de salarisadministratie nu steevast gevolgd worden door een mail waarin men moet uitleggen dat het toch echt een intern verzoek is.

Het is als een brandoefening zonder rook en sprinklers. Niks aan de hand. Negeren.

[Verwijderd]

Dat is nu juist het issue. Iedereen negeert nu mails die wel valide zijn

[stresstak]

Dat is nu juist het issue. Iedereen negeert nu mails die wel valide zijn

Jammer dan, maar veiligheid voor alles. Als je eigen overheid phishingmails verstuurt, dan is het einde zoek; in dit geval gevonden. Stuur maar een fax.

[MClaeys]

Dan is het nut alweer weg. Hebben ze bij die testen dan wel stilgestaan bij het opleiden van het personeel om dergelijke echte mails te herkennen tegenover de valse? Want anders kan je testen zoveel je wil, dan schiet het zijn doel voorbij.

[dupy]

Allereerst: een goede testcase en een manier om de vinger aan de pols te houden.
N.a.v. jouw reaktie toch wat gezocht naar de 'onbeschofte' reacties. Misschien te vlug gekeken, maar ben er geen enkele tegengekomen......

[dupy]

Allereerst: een prima testcase en goede manier om de vinger aan de pols te houden.

N.a.v. jouw opmerking op zoek gegaan naar de 'onbeschofte' reacties. Ben ze niet tegengekomen.

[monojack]

Het gaat hier over een strafbaar feit. Jij pleit hier dus voor een wetteloosheid die exclusief voorbehouden zou zijn voor de overheid. Ook de Vlaamse overheid hoort zich aan de wet te houden. En die verbied het rondsturen van valse mails ook als deze met goede bedoelingen werden opgesteld.

Het probleem met onze Vlaamse overheid is dat ze de ene blunder na de andere begaan. En wie draait daar voor op? De belastingbetaler draait hier voor op of dacht je dat de politie gratis werkt? De politie heeft het al druk genoeg met andere taken en nu worden ze ook nog eens overbelast met dit soort geintjes.

[firest0rm]

het gaat niet om het feit dat ze een test doen maar meer de manier waarop.

ik bedoel stel je voor dat ze zon soort type test doen op water filter systemen.

en stoppen ze een chemisch goedje erin zonder rekening te houden met het feit dat het wellicht mis kan gaan en men dus ziek word.

dit soort testen moet je van te voren goed inrichten voordat je er überhaupt aan begint.

[SED]

Een first post die reageert op andere bijdragers. Bijzonder.
Maar ook je stelling dat er onbeshcofte reacties staan is niet waar te maken. Sommige zijn zoals gebruikelijk wat kort door de bocht maar wel degleijk on topic.

De conclusie hier is zon beetje dat deze test nogal ondoordacht naar en erg grote groep gebruikers is gezonden. Dat lijkt me terecht. Het werkelijke slachtoffer hier is Thalys die zwart gemaakt is door slordig werk van een domme actie. Het lijkt em zo dat er iemand daar een fikse duw krijgt.

[cobis taba]

Even off-topic, je weet dat de first post hier niet de eerste post is maar op basis van beoordelingen bovenaan komt? Dus dan is het logisch dat hij op anderen kan reageren

En dat het naar een grote groep ging is prima. Zolang ze even de Thalys hadden geïnformeerd was dit prima geweest. De Universiteit Groningen heeft dit een tijd terug ook gedaan en daar was het een groot succes. Of nuja, nogal veel medewerkers hadden hun gegevens ingevuld...

[stresstak]

Even off-topic, je weet dat de first post hier niet de eerste post is maar op basis van beoordelingen bovenaan komt?

Ik kan niet instellen dat reacties op tijd gesorteerd staan.? Oh, dat wist ik niet.

[Jan Ham]

Kijk naar de post tijd. Absoluut niet dat hij/zij als eerste een comment geplaatst heeft. Je weet dat al enige tijd comments/comment threads naarboven geplaatst worden wanneer ze hoger gewaardeerd worden?

[SmokingCrop]

Goed inderdaad dat Thalys weet als er phisingmails in de naam van Thalys de ronde doet.
Kunnen ze de gebruikers waarschuwen op hun website, moest dit tenminste een echte phising zijn..
____________________________________
De ambtenaren hadden overigens een boekje over Phising mails een paar weken voordien gekregen

[Reactie gewijzigd door SmokingCrop op 26 juli 2024 09:55]

[Douweegbertje]

Sorry, maar je doet er wel heel makkelijk over, net als @gooos.

Laten we wel even stellen dat het hier om ~20.000 mensen gaat, waar jij een phishingmail naar toestuurt. Even gewoon puur kijkend naar alle regelgeving e.d. ben je dan enorm dom bezig. Als iemand bezwaar maakt ben je simpelweg strafbaar bezig. Leuk, een 'test' (wellicht discutabele maar je werkt je zelf wel in de problemen)
Er zijn heel veel manieren om zo'n test uit te voeren, denk hierbij aan een fictief bedrijf waarbij jouw eigen credentials op staan. Zo kun je zelf ook nog een monitoren hoeveel gebruikers goed bezig zijn om navraag te doen bijvoorbeeld. In elk geval ga je geen echt bedrijf misbruiken (want je jat hun resources gewoon; lees: telefoon/e-mail vragen etc), hun merknaam en copyright etc.

Dit is gewoon kei en kei dom. Je hoeft hier absoluut niets te verdedigen, behalve de acties van de gebruikers die je wel als positief kan zien (bellen naar politie / Thalys).

[Verwijderd]

Ik verlang naar de dag dat ik zo'n test mail krijg.
En natuurlijk zal ik contact opnemen met het bedrijf dat "gespooft" word. Ik hoop dat mensen dat ook doen als mijn bedrijf(je) daarvoor wordt misbruikt zodat ik aangifte kan doen... En alles zal doen om zelf achter de klxxzxkkente komen, die erachter zitten.
Helaas weet ik dat de politie in Nederland geen fxck met je informatie over de daders doet.
En er geen prioriteit aan geeft of andere Kxt smoezen. Zelfs als je kan vertellen wie jouw Iphone gejat heeft verrotten zij het om dat persoon te arresteren.
Wat mij betreft goede test, alleen jammer dat ons blauw, niks doet aan dit soort miljoenen scams.

[Verwijderd]

Als bedrijf zou ik hoe dan ook niet willen meewerken aan zo'n test dus als ze zich aan de regels hadden gehouden dan was de test nooit uitgevoerd. Ik denk dat een forse boete en misschien ook personele sancties op zijn plaats zijn. Thalys is hierdoor zwaar beschadigd en op kosten gejaagd.

[bdevriendt]

Ik vind dit eerlijk gezegd niet zo'n epic fail als sommigen stellen. Dit soort campagnes zijn zeker nodig om mensen bewust te maken van de gevaren.

Ikzelf werk als IT'er in een bank. Al enkele jaren zijn er intern bewustmakingscampagnes met filmpjes e.d. om mensen te wijzen op gevaren van internet. Hierbij werd telkens melding gemaakt van een intern meldpunt (e-mail adres) waar verdachte mails naartoe gestuurd konden worden. Een paar maanden terug zijn ze een stapje verder gegaan met een gelijkaardige actie. In 3 waves kregen alle personeelsleden een phishingmail. In mijn geval had ik zogezegd een openstaande factuur bij bol.com.
Als bewuste IT'er had ik direct door dat:

- Ik zeker geen openstaande facturen had bij bol.com
- De link in de mail door te hoveren direct aangaf dat dit niet koosjer was

Ik heb dan ook zonder de mail te openen deze geforward naar ons intern meldpunt.

Enkele dagen later kwamen de resultaten van de test via mail door. Ik behoorde echt wel tot de minderheid die gedaan had wat moest. Velen hadden de mail opengeklikt, en een heleboel mensen had zelfs op de link geklikt.

Ik had mijn collega's ook over de test verteld. Een tijd later kwam de 2de wave, en ik heb weet van ICT collega's die toen wel op de link geklikt hebben, ook al wisten ze van mijn ervaringen. Onvoorstelbaar ! Waar ze wel voor gezorgd hadden in de opzet van de test is dat er op de webpagina die geopend werd een melding verscheen dat dit om een test ging (er werden dus geen CC gegevens gevraagd).

Of de mensen die de test uitvoerden bol.com en andere "betrokken" bedrijven alsook de politie verwittigd hebben weet ik niet, maar naar mijn gevoel hoeft dit ook niet echt. Ik ga er vanuit dat de politie (FCCU vermoed ik) in eerste instantie wel contact opgenomen zal hebben met de ICT dienst bij de Vlaamse Overheid om dit te melden ? Gelukkig zitten er bij de ambtenarij ook bewuste mensen die alert reageren. De hoeveelheid mensen die wel CC gegevens ingevoerd hebben zullen we wsl nooit weten.

[Verwijderd]

Dit was een hele slechte testmail. Bij phishing mails wil je dat de gebruiker een eenvoudige handeling verricht zonder argwaan te krijgen.

Als je iemand vertelt dat er 19.000 euro afgeboekt gaat worden van zijn creditcard voor een treinreis die hij niet geboekt heeft gaat er zeker een alarmbel rinkelen. Wat mensen dan denken is dat er met hun creditcard gefraudeerd is.

Niemand denk vervolgens 'Oh er is met mijn creditcard gefraudeerd, ik vul wel even mijn cc-nummer in in dit mailtje en dan is alles weer ok'.

Nee, iedereen schrikt zich een ongeluk en neemt contact op met creditcard-organisatie om te vragen hoe het kan dat er zomaar geld is afgeboekt en of er nog meer is afgeschreven. (Ok, in dit geval nam men vooral contact op met Thalys, ik neem aan om te vragen hoe het kan dat ze geld afschrijven voor een reis die men niet geboekt heeft).

[Deem]

Als je gaat bellen met politie of Thalys, in plaats van de mail te negeren, dan ben je er al in principe ingetuind.

Edit: Hier in de video beelden van de originele mail. Er waren echt voldoende hints dat de email vals was. Het e-mailadres was zelfs van hun interne mailserver.

[Reactie gewijzigd door Deem op 26 juli 2024 09:55]

[Puc van S.]

Hoezo?

Tenzij ze een nummer gebeld hebben wat in die mail stond (wat de politie al uitsluit) zijn ze er toch niet ingetuind? Ze bellen juist met de instanties die hun kunnen helpen (valideren dat er inderdaad geen rekening openstaat, melding maken dat er een phisingmail rond gaat)

[dragonlords1]

Volgens het filmpje waar Deem naar linkt belde veel mensen naar Thalys in de veronderstelling dat de mail effectief van hun afkomstig was. Die mensen gaan er dus van uit dat de mail echt is, maar eerder een vergissing of fout. Die mensen konden met een gezond verstand dus niet doorzien dat het hier om phishing ging.

[LOTG]

Hoe ben je er in getuind als je de politie belt? Bel jij meteen de politie als je een factuur krijgt van een bedrijf wat je denk dat legitiem is?
Nee, dan bel je het bedrijf om te vragen hoe het zit.

Je bent pas in een fishing mail getuind als je doet wat er gevraagd word.

En als je goed op gelet hebt op de reclames van banken tegen fishing dan weet je dat ze daar vragen om contact met je bank op te nemen als je het niet vertrouwd.

Op deze manier weet je bank ook dat er praktijken gaande zijn die hun klanten treffen en kunnen ze daar mensen op gaan attenderen, en eventueel actie ondernemen tegen de criminelen erachter.

Wie hier hard gefaald heeft is de overheid. Wat hadden ze verwacht dat er zou gebeuren? Dat iedereen of heel blij zijn gegevens invult, niets doet of de IT afdeling belt? Dan hadden ze misschien eerst het personeel moeten inlichten wat de gang van zaken zou moeten zijn bij het vinden van een fishing mail. En dan kun je dit een keertje doen een paar maanden na zo een info sessie.

Als ik Thalys was zou ik de overheid de rekening sturen van dit grapje voor de gemaakte kosten.

[moozzuzz]

Wie zegt dat er eerder niet al communicatie is gebeurd rond phishing? Wellicht was deze thalys-email een sluitstuk op de anti-phishing campagne.

[loki504]

Welke kosten heeft de thalys dan gemaakt? Een paar mensen achter de telefoon verdienen ze wel terug met de 35 cent per minuut hoor.

[SmokingCrop]

Er was al gecommuniceerd over phising vooraf, alle ambtenaren kregen ook een modern, makkelijk te lezen/kijken info boekje over phising. Er waren voorheen al netwerkschijven besmet geraakt door phising.
Toen is de anti-phising campagne opgestart geweest.

[Reactie gewijzigd door SmokingCrop op 26 juli 2024 09:55]

[moozzuzz]

Beter bellen dan gewoon klikken lijkt me. Ook bij "echte" phishingmails komt zo snel aan het licht dat het om een vals bericht gaat.

[tom.cx]

Inderdaad. Het is dan ook geen gekke actie van de mensen om contact op te nemen met de politie of het bedrijf zelf. Ze hadden daarbij beter een bedrijf kunnen gebruiken die niet bestaat. Waarbij als je op een link krijgt de melding gaat dat het om een phishing mail gaat. Zo doen ze dat ook bij bijv. de KLM om personeel alert te houden.

[loki504]

Hoe zo ben je er dan ingetrapt? Je gaat valideren of die mail echt is. En dat is goed. Je bent pas dom bezig als je ineens 19k van je cc mist en dan pas gaat mekkeren bij je bank. Bij die reclames hebben ze het ook keer op keer over bellen met je bank. Zodat je zeker weet dat het goed zit.

[lappro]

Het is al zo'n honderd keer gezegd hier, maar t zal herhaald blijven moeten worden:
Je neemt niet alleen contact op met het bedrijf die ze claimen te zijn om te checken of je goed zit. Je helpt daarmee ook het bedrijf, wanneer zij veel meldingen krijgen van een phishing mail kunnen ze hun klanten inlichten over deze mail en waarschuwen er niets mee te doen of op andere manieren preventieve maatregelen nemen.
Het kan ook geen kwaad, zeker als je van al je collega's ook van zo'n mail hoort, om de politie in te lichten. Zij kunnen dan de dader proberen te achterhalen en/of op andere manieren de schade te beperken/voorkomen/verhelpen.

[FreezeXJ]

Niet helemaal, dan ben je in elk geval wakker genoeg om te dubbelchecken. De crimineel maakt niks buit, alleen bezorg je mensen iets meer last door je onwetendheid. Jammer, maar een betere uitkomst dan botweg je creditcard-data inkloppen, omdat dat nou eenmaal gevraagd wordt.

[Creesch]

Nee want je wil absoluut niet dat het bedrijf wat getarget wordt op de hoogte gebracht wordt en ook zeker niet dat de politie ook op de hoogte gebracht wordt. Het zal zo maar eens zijn dat er stappen ondernomen worden om het de phisers lastig te maken of ze op te sporen....

[Yggdrasil]

Tja, waarom? Het einddoel van zo'n mail is:

1. om zich voor te doen als een ander
2. en daardoor data te ontfutselen aan mensen.

Als phisher is je doel pas gehaald als zowel 1 als 2 gelukt zijn. In dit geval stokt het bij 1, waardoor erger voorkomen kan zijn.

Natuurlijk had men beter de lokale IT-afdeling kunnen bellen, maar dat men niet blind de gevraagde credit-card gegevens invult zie ik als een succes.

[blazez]

Nee, dan heb je alarm geslagen en kan er actie ondernomen worden. Als Thallys of de politie 10 telefoontjes krijgt, zouden ze wellicht het bedrijf op kunnen bellen met ies van "wat is er aan de hand". En zo kan een ICT afdeling actie ondernemen (samen met een hoop mensen die hopelijk de ICT afdeling ook gebeld hebben).
Als je je gegevens zonder problemen afgeeft zonder alarm te slaan. Dan pas ben je er ingetuint

[Verwijderd]

Als je gaat bellen met politie of Thalys, in plaats van de mail te negeren, dan ben je er al in principe ingetuind.

Dat ben ik niet met je eens. Als je ooit via de Thalys gereisd hebt en daar bij creditcard gegevens gebruikt hebt. Lijkt het me logisch dat je dan zeker wil zijn dat het geld niet afgeboekt wordt.
Ik weet de phishingmail gebouwd is. Of er te zien was dat het ene phishingmail betrof, via email adres en/of links. Veel digibeten zullen dit sowieso niet zien.

[eymey]

Uhm, het feit dat ze met politie of Thalys bellen is juist het bewijs dat ze er NIET ingetuind zijn.

Als ze er ingetuind zouden zijn, hadden ze klakkeloos de link gevolgd en hun gegevens ingevuld.

[Ge Someone]

Ondanks dat de Vlaamse overheid dit een test noemt, was het (voor de gebruikers) gewoon een echte phishing mail. De acties van de ontvangers (een groot aantal iig.) was niet het probleem, hoewel ik toegeef dat negeren of het bericht aanmelden bij je mail provider beter was geweest.
Om een zo echt mogelijke phising-actie te doen als test, is net zo iets als ergens inbreken om te kijken of de beveiliging wel op orde is. Dat kun je eigenlijk niet maken zonder vooraf toestemming (voor zo'n test). Gewoon een slecht idee.

[stresstak]

Als je gaat bellen met politie of Thalys, in plaats van de mail te negeren, dan ben je er al in principe ingetuind.

Dat zeg je maar het hangt er vanaf hoe wantrouwend je bent. Poging tot phishing zelfs als geintje vind ik ook ergerlijk. Dus politie bellen. Weest Waakzaam.!

[Rhys08]

Eigenlijk denk ik dat deze test ongeacht de gefaalde elementen laat zien hoeveel mensen daadwerkelijk aandacht besteden aan een phisingmail en er ook mee aan de slag gaan. Ze bellen immers met Thalys zelf. Volgens mij is het heel simpel: mail negeren en doorgaan. Politie bellen kan een verstandige volgende stap zijn.

Denk toch dat de uitslag wel wat laat zien, ondanks de gemaakte fouten bij het opzetten van de test natuurlijk!

[blazez]

Binnen een bedrijf zou ik juist willen dat de mensen dit niet negeren en weggooien. Op zijn minst de helpdesk informeren. Dan kan er actie ondernomen worden.
Daarna weggooien.

Prive/thuis, dan inderdaad negeren en weggooien.

[Rhys08]

Daar ben ik het met je eens. Binnen een bedrijf wil je gelijk het risico afdekken uiteraard.

[MoiZie]

Overheid en ICT; prutsers?

Schandalig natuurlijk dat zoiets basaals als een seintje geven aan de politie en het betreffende bedrijf niet gedaan is. Toch ben ik wel benieuwd; hoeveel mensen hebben nu daadwerkelijk CC gegevens afgestaan??

[r2504]

Hoeveel zouden er hun eigen helpdesk gecontacteerd hebben... of wist die ook van niets :-)

[vinzzb]

Zelf ben ik Informaticus op de Vlaamse Overheid. Alle IT functiehouders en helpdeskpersoneel waren op voorhand ingelicht dat er een phishingmail ging rondgestuurd worden.(Thalys blijkbaar niet)
Ik wist echter niet op voorhand wat voor soort phishingmail ze gingen rondsturen.

De mail kwam vrijdag op zaterdag in mijn mailbox en ik heb onmiddellijk de veiligheidsverantwoordelijke en servicedesk verwittigt (aangezien ik niet met zekerheid kon zeggen of dit de nepmail was). Het is belangrijk om dit asap te melden binnen je eigen organisatie. Bij een echte phishingmail zou de mail verwijderd worden uit alle mailboxen en zou er een aanpassing op de firewall/spamfilter toegepast worden.
Een aantal collega's hadden mij verwittigt i.p.v. direct de politie te bellen. Degene die de politie moeten bellen zijn mensen die echt slachtoffer zijn geworden van phishing (of dergelijke praktijken) en anders het bedrijf wiens naam 'misbruikt' wordt. De ambtenaren die Thalys of de IT-helpdesk verwittigde hebben mijns inziens correct gehandeld.

De Overheid had het wel beter kunnen aanpakken. Het was een goede test die jammergenoeg wat uit de hand gelopen is. Ze hadden Thalys moeten verwittigen. Of beter, een eigen overheidsinstelling moeten gebruiken (de Lijn bijvoorbeeld...)

[Reactie gewijzigd door vinzzb op 26 juli 2024 09:55]

[r2504]

Als werknemer contacteer je wat mij betreft nooit zelfstandig (en dat is de regel in de meeste bedrijven die ik ken) de politie of Thalys in dit geval. Zoals je zelf aangeeft kan je eigen IT afdeling extra maatregelen treffen om verspreiding/infectie te beperken... iets wat de politie of Thalys niet kan.

[vinzzb]

Het is juist goed dat Thalys op de hoogte gebracht wordt dat hun naam/logo misbruikt wordt. En uiteraard om na te gaan of het daadwerkelijk om een phishingmail, al dan niet om een misverstand gaat. Zo kunnen alle partijen ingrijpen.

[r2504]

Maar als bedrijf wil je niet dat iedere werknemer in het wilde weg gaat doen... zoiets centraliseer je eerst. Als er een brand is in je bedrijf wil je ook niet dat iedereen zelf naar de brandweer gaat bellen (maar wel naar een intern noodnummer).

[CAPSLOCK2000]

Overheid en ICT; prutsers?

Dit is meer een communicatieprobleem dan een technisch probleem. Afgezien van dit foutje vind ik het een uitstekend project. Mensen trappen massaal in phish-mails. Een beetje extra training en bewustwording lijkt mij welkom.

[SmokingCrop]

Ze hadden voordien er al over gecommuniceerd, met interessant info foldertje en al
Lijkt me eerder dat ze eens wilden testen hoe goed dat gewerkt heeft.

Maar de overheid is op deze manier wel strafbaar.. Ze stuurden in naam van Thalys phising mails zonder toestemming.. Thalys zou ze zo maar even kunnen aanklagen.

[Reactie gewijzigd door SmokingCrop op 26 juli 2024 09:55]

[SqueakyClean]

En jij denkt dat als toestemming wordt gevraagd aan NS, Thalys of Bol.com dat ze die krijgen? Denk het niet. Het is negatieve aandacht waar niemand op zit te wachten.

Het probleem met dit soort "tests" is dat ze een geloofwaardig mailtje moeten maken willen het een goede test zijn. Ze hebben geen toestemming gevraagd, maar zonder het logo van de Thalys was de test nooit gelukt.

Wel heel goed dat die mensen masaal gaan bellen met de Thalys en de politie. Wellicht onhandig dat ze niet een intern protocool volgden (bijv. mail doorsturen naar ICT), maar alles is beter dan daadwerkelijk op de link klikken.

[Reactie gewijzigd door SqueakyClean op 26 juli 2024 09:55]

[SmokingCrop]

Inderdaad, net daarom is het strafbaar.. Mooie overheid is het.

[Fladder80]

Ik vermoed dat ze die data nu niet meer prijs durven te geven, maar naast die gegevens ben ik ook benieuwd naar hoeveel van de ambtenaren contact gezocht hebben met Thalys/politie. Helaas zullen we de cijfers wel nooit te zien krijgen.

[loki504]

Maar ze zijn slim genoeg om met de politie/thalys te bellen

[SkyCloud]

Ooh, maar in de Nederlandse privé-sector kan ik ook van dingen meespreken die kunnen tellen hoor.

Zo bestelde ik (als Belg) iets online en liet het opsturen via PostNL. Kreeg een keurig mailtje met tracking-nummer enz.. Het postpakket werd mooi opgehaald bij de firma en kwam bij PostNL terecht (dat letterlijk achter de hoek ligt).
Om daarna doodleuk afgeleverd te zijn geweest bij... de onlineshop zélf.
Ze hadden zichzelf als afleveradres opgegeven, dus het pakket werd dan ook mooi terug afgeleverd.

Ik dacht dat ik na twee dagen wel mail zou krijgen dat ze hun fout hadden ingezien, maar dat bleek ijdele hoop. Moest zelf een mail sturen om te melden dat ze een vergissing hadden gemaakt....

Je mag ook niet vergeten dat ambtenaren gebonden zijn aan heel veel procedures die niet door de ambtenaar zélf zijn ingesteld. Dat werkt vertragend en frustrerend. dus je kan beter klagen over die procedures dan de mensen die de procedures MOETEN volgen.

OT:
De dienst kon inderdaad eerst de politie en Thalys verwittigen voor deze frats uit te halen. Maar moest deze mail bij gewone mensen in hun mailbox terecht gekomen zijn, zouden er ook heel veel bellen naar politie en aanverwante. Er zijn nu eenmaal veel naïeve mensen als het over cyberveiligheid gaat.

[Blokker_1999]

Mag ik even opmerken dat dit zeer beledigend is voor alle ambtenaren die elke dag hun werk doen zoals het hoort. De tijd dat een serie als de collega's representatief was voor de ambtenarij ligt ook al weer heel wat decennia achter ons hoewel sommige mensen maar blijven vasthouden aan dat beeld.

Tamzakken die liever lui dan moe zijn vind je overal. De private sector heft daar evenzeer last van, alleen zie je dat minder.

[Neko Koneko]

"Wat heeft iedereen toch tegen ambtenaren? Die mensen doen toch helemaal niets?"

Maar er is inderdaad een verschil tussen een grapje over een stereotype en gewoon een hele groep over één kam scheren

[Alex3]

Het probleem is dat het bijna onmogelijk is ze te ontslaan als ze slecht presteren. Dat is in het bedrijfsleven niet het geval.

[Thrashie]

Maar er is inderdaad een verschil tussen een grapje over een stereotype en gewoon een hele groep over één kam scheren

Over een kam scheren en steroetype komt toch gewoon op het zelfde neer?

[stresstak]

De private sector heft daar evenzeer last van, alleen zie je dat minder.

En die kosten ook geen belastinggelden. !

[moozzuzz]

Dankzij deze fail is het bereik van de boodschap: wees kritisch op eigenaardige loterij/facturen natuurlijk een pak breder, wat dan op zich ook weer een positief punt is.

[stresstak]

Dankzij deze fail is het bereik van de boodschap: wees kritisch op eigenaardige loterij/facturen

.. en ga niet met de Thalys want die is schreeuwend duur en stuurt phishing mails.
We zijn gewaarschuwd.!

[erwinwernars]

Thalys gaat vast en zeker verdere stappen ondernemen.

[Jeroen73]

Een reclamecampagne: "Spectaculaire prijsverlaging speciaal voor de overheid: Antwerpen-Parijs, van EUR 19.000 voor slechts EUR 100.-"

[loki504]

Hoezo? Er zullen genoeg mensen hebben gebeld. Misschien wel in de wachtrij gestaan. En met 35 cent per minuut je aardig snel binnen.

[Xtuv]

Los van de misser een nogal vreemde test als je het mij vraagt.

"We hadden de mail zo realistisch mogelijk gemaakt" strookt niet echt in combinatie met "Thalys zou een bedrag van 19.000 euro afboeken"

Of betalen Vlaamse ambtenaren altijd 19K voor hun treinkaartje? Met zo'n bedrag gaat er zelfs bij de grootste noobs nog wel een alarmbelletje rinkelen.

[Tozz]

Dat valt wel mee. Er was recent in het nieuws ook een bericht dat bedrijven in spookfacturen van enkele tonnen getuind zijn. Kan de link zo niet vinden, maar de werkwijze was dat er een nep mail verzonden werd zogenaamd afkomstig van de CEO of directeur aan de financiele afdeling met het verzoek om met spoed een groot bedrag over te maken.

De mail was gericht aan grote bedrijven waar de financiele afdeling de directeur/CEO/CFO vaak niet persoonlijk kent en er daardoor minder snel persoonlijk wordt gechecked.

[T0mBa]

Phishing mails gebruiken wel vaker de techniek om eerst van een heel groot bedrag te spreken, maar als de gebruiker snel reageert moet er slechts een veel kleiner bedrag betaald worden. En vaak is men dan zo opgelucht dat men snel snel dat kleine bedrag betaalt om er van af te zijn.

[moozzuzz]

Er bestaan ook corporate CC's. Ik reis veel met de Thalys en nog nooit een EUR aan uitgegeven. Bij boeken gaat dat van de bedrijfskaart af. Dus zo onlogisch is het bedrag niet.

[Verwijderd]

Ik snap het doel van deze test niet. Tuurlijk zal er ergens een iemand zijn die erin trapt en dat is dikke kassa voor de criminelen, daar rekenen ze op. Het is beter om de ambtenaren preventief in te lichten zodat ze phisingmails makkelijker kunnen identificeren en weten wat ze moeten doen.

[FreezeXJ]

Dat preventieve inlichten gebeurt al genoeg, inmiddels weet iedere idioot in theorie wel dat hij z'n prive-gegevens niet op een vreemde site moet invoeren. Het is nu tijd om te testen of dat ook echt werkt, en hoeveel mensen alle instructies negeren en doen wat ze 'goed' lijkt.

Dit had de stunt van de maand moeten worden ("10% van ambtenaren trapt alsnog in phishing-mails!" met een fikse vermaning voor die mensen die toch op tha1is.be (of thalys.be.tk) hun gegevens invoeren. Dit was de kans om al die mensen die zeggen "daar trap ik toch niet in" eens op hun nummer te zetten, en ze te laten zien dat ze niet zomaar niks gedaan hebben. En dan faalt de beveiliging zo... Jammer.

[A Lurker]

Ik snap niet waarom je voor autorijden een praktijkexamen moet doen. Je hebt kans op botsingen, en in de theorie staat toch alles in vermeld.

[Verwijderd]

Jammer dat het serieuze overlast veroorzaakt. Verder wel een komisch verhaal. Had eigenlijk erger geweest als er niemand de politie of Thalys gebeld had.

[Deem]

Waarom niet gewoon de phising mail negeren? Dat lijkt me nog gewoon het beste.

[blazez]

Binnen een bedrijf, niet negeren maar alarm slaan (Helpdesk/manager/ vermoedelijk verzendend bedrijf / of zelfs de politie).

Prive, thuis . . negeren en weggooien

[loki504]

En dat is het niet. Licht in dit geval het bedrijf in(zodat ze weten wat er gaanden is) en de politie zodat ze mogelijk ook actie kunnen ondernemen. Het negeren lost het probleem niet op.

[Mic2000]

Off topic : leuke profile picture, ik vraag mij nu wel af wat er uitkomt na te scannen.

Edit: gescanned

[Reactie gewijzigd door Mic2000 op 26 juli 2024 09:55]