Politie waarschuwt voor phishingmails na berichten van burgers

In een bericht op haar website waarschuwt de Nederlandse politie dat er phishingmails worden verstuurd. Deze lijken afkomstig te zijn van de politie, maar zijn dit niet. De politie maakte maandag wel bekend mensen zelf te gaan mailen, waarna meldingen kwamen over phishingpogingen.

De politie maakte maandag bekend 20.000 mensen per e-mail op te roepen hun inloggegevens te veranderen. Dit leidde tot verwarring bij burgers, omdat er ook phishingmails rondgaan. Een woordvoerder zegt tegen Tweakers dat de inhoud van de phishingmail niet in verband staat met het bericht dat de politie maandag publiceerde. Er zou toch voor gekozen zijn om dat bericht een update te geven met een waarschuwing, omdat er telefoontjes binnenkwamen met vragen over de phishing-e-mail. In het bericht schrijft de politie dat de nepmail een downloadlink bevat en dat de eigen communicatie nooit links of bestanden bevat.

In de mail, die afkomstig lijkt te zijn van 'Oproeping Politie' staat dat de ontvanger een brief heeft gekregen over een klacht die bij de politie in Drachten is ingediend. De mail claimt dat de brief in te zien is door op de link te klikken. De politiewoordvoerder zegt tegen Tweakers dat er dagelijks phishingmails worden verstuurd die van de politie afkomstig lijken te zijn. Door de publiciteit rond het bericht van maandag zouden mensen alerter zijn.

Op de vraag of de politie rekening had gehouden met phishing zegt de woordvoerder dat de politie ervan uitging dat mensen zouden twijfelen over de afkomst van de waarschuwingsmails. Daarom zou ervoor gekozen zijn om publiciteit aan het versturen ervan te geven. Of een dergelijke e-mailactie in de toekomst nog een keer wordt ingezet, kan de woordvoerder vooralsnog niet zeggen. Het zou wel een mogelijkheid zijn dat een grote e-mailactie in de toekomst zonder publiciteit plaatsvindt.

Maandag meldde de politie dat er waarschuwingen verstuurd worden naar 20.000 slachtoffers van een 35-jarige man uit Leeuwarden. Hij bouwde webwinkels en stal inloggegevens van bezoekers van die winkels. In de waarschuwing roept de politie de ontvangers op om hun inloggegevens te veranderen. Volgens de woordvoerder zijn dinsdag de eerste mails verstuurd en gaat dit de komende week nog door.

Reacties (100)

[ApexAlpha]

De mensen die mijn reactie downvoten / het oneens waren onder het vorige artikel moeten zich toch echt eens bewust worden hoe ongelooflijk dom simpel de gemiddelde mens is op het gebied van computers. klik

De politie bedoelt het hier ongetwijfeld goed, maar toch blijf ik erbij dat de baten hier niet opwegen tegen de kosten: mensen wordt aangeleerd dat mails die van de politie afkomstig lijken best wel echt kunnen zijn. En 90% van de mensen zijn gewoon té dom om het onderscheid te kunnen maken.

Het is spijtig, maar wel de realiteit. Lees dit maar eens: http://opgelicht.avrotros.nl/dossiers/item/8801/

Sommige mensen snappen het helaas niet. En ja, we kunnen niet altijd op domme mensen wachten. Maar een instituut als de politie zou misschien een andere manier van communicatie moeten gebruiken, óf in ieder geval eerst een dikke, vette campagne zoals de banken met: 'nooit op links van de politie klikken'.

[Reactie gewijzigd door ApexAlpha op 22 juli 2024 14:17]

[cracking cloud]

Serieus... bevestigingscodes delen...

Hoe kun je techniek zo maken dat het mensen van hun domheid weerhoud? Of moeten we slimmere mensen kweken.

[Reactie gewijzigd door cracking cloud op 22 juli 2024 14:17]

[ApexAlpha]

Tja. Dit is helaas de realitiet. Ik spreek vaak 'gemiddelde' mensen tijdens mijn werk; ik los simpele pc problemen op en geef computer les. De vragen en de kennis die mensen hebben... is schrikbarend. Echt schrikbarend. Ook van jongeren! Mensen denken altijd dat jongeren goed met computers omgaan omdat ze behendig zijn met een touch screen of muis. Maar buiten de standaard apps weten jongeren ook niks.

En natuurlijk kunnen we niet stoppen met internetbankieren omdat sommige mensen simpel zijn en daardoor opgelicht worden. Maar voor een instituut als de Politie, ligt die lat een stuk hoger dan elke andere instelling.

Geld kan terug gestort / vergoed worden. Voor vertrouwen in berichtgeving van de politie is dat een stuk lastiger.

[Reactie gewijzigd door ApexAlpha op 22 juli 2024 14:17]

[Caelestis]

Zeer bekend fenomeen. Ik ben over gestapt naar een simpeler les. "Alle email is nep en als je toch denkt een link in email nodig te hebben dan typ je dat handmatig in de balk"

Probleem is dat veel mensen steeds maar weer nieuwe onzin methodes horen en lezen in de krant om "veiliger te internetten" of wat dan ook en gaan dan zelf de meest vage verhalen bij elkaar plakken omdat ze er toch niks van de techniek erachter snappen.

[Playa del C.]

Maar ook dat is nog niet genoeg. Door de link van een e-mail adres over te typen kan je alsnog op een 'verkeerde' site komen.
Als je een e-mail toch al vertrouwd, kan je gewoon op de link in de mail klikken.

[Zoop]

Waarschijnlijk doelt hij op van die nepmails van banken ed. Als je een mail denkt te krijgen van de ING, en je vertrouwd het niet helemaal dat je het toch wel checken, tik dan zelf ing.nl in je browser, ipv links in de mail te gebruiken.

Dus niet letterlijk overtiepen wat er staat, maar naar het adres toegaan waar je bekend mee bent.

[BrutalCoding]

Allemaal goed mogelijk, ik persoonlijk dacht aan nepmails van bijv. banken die vervolgens in hun email het volgende schrijven:

Om uw wachtwoord te herstellen, ga dan naar https://abnamro.nl/herstel.

Linkje staat in het blauw, men ziet wellicht HTTPS staan == veilig. Ook de website naam klopt volledig. Maar het brengt ze naar een phising website.

Valt alleen te voorkomen als er naar de afzender wordt gekeken, met signature oid maar het kan in ieder geval erg lastig zijn om emails te controleren op waarheidsgetrouw, niet voor ons Tweakers natuurlijk

[VanillaSky]

Beetje overhaaste generalisatie wat betreft jongeren. Er zijn gewoon jongeren die er meer verstand van hebben (waarschijnlijk minderheid) en jongeren die er minder verstand van hebben. Als jongere reken ik me 100% tot de groep die ook buiten de standaard apps nog wat verstand heeft van computers.

Maar aangezien de meerderheid van de bevolking inderdaad gewoon relatief 'dom' is (en daarmee bedoel ik niet alleen qua computers) zou software gewoon ondersteunend moeten zijn ook juist voor die grote groep die van weinig iets begrijpt, daar is software immers voor, ons ondersteunen en dingen makkelijker maken. En als je dan wat bovengemiddeld capabel bent kan je er gewoon meer dingen mee.

[hans_debruin]

Pas hoorde ik van iemand die van mening was dat kinderen op de basisschool moeten leren programmeren (uiteraard beperkt). Op die manier leren ze hoe software werkt en dat zal hopelijk dingen begrijpelijker maken.

Ik ben het daar wel mee eens.

[JanusJaap]

Helemaal mee eens. Leert ze niet alleen wat er nu speelt, maar ook logisch en vooruit denken. Net zoals dammen en schaken leren bijv.

[barchettanl]

Het is heel geraffineerd en toch ook weer ongelofelijk eenvoudig van opzet. Ik zou het niet kunnen bedenken. Maar blijkbaar zijn er toch meerdere mensen die hier in trappen.
Ik heb zelf ABN AMRO, maar gebruik op m'n werk wel eens die Raboscanner. En ja, daar staat toch heel duidelijk het bedrag op het scherm. Ongelooflijk dat deze truuk werkt.

[RobbyTown]

Geef nooit je pincode, zo is de slogan. Over die QR code zegt de bank niets, dat is dan wel veilig ze hebben je pincode immers niet

[dehardstyler]

Wauw, dat Opgelicht artikel... Hoe durf je het überhaupt in je hoofd te halen om met iemand zaken te doen, die dreigt Satudarah op je af te sturen als je de betaling niet snel genoeg "bevestigd". Terwijl je zelf de verkoper bent, ONGELOFELIJK. Ik zou direct naar de politie gaan. Hoe erg moet een zaakje stinken voor dat je nadenkt? En dan ook dat van die zakelijke rekening "Er staat €9.800 maar is eigenlijk €306". De gene die dit voor elkaar gekregen heeft, mag direct weer terug naar zakgeld. Man man man

[ApexAlpha]

Precies. En wil je écht deze mensen aanleren dat de politie je kan mailen?

Deze mensen trappen er nog in als ze een mailtje 'van de politie' krijgen waarin staat dat ze morgen langskomen om je sloten te controleren...

[dehardstyler]

Nee. Ik zou die mensen vooral aan willen raden om gewoon helemaal niks meer met kopen / verkopen te doen op internet. Inclusief legale webshops. Als je dit voor elkaar krijgt, is het gewoon helemaal niks voor je!

[houtig]

Ik zit met een probleem. Probeer jij mij nou te overtuigen om op je links te klikken terwijl je zelf zegt dat je niet op links van onbekenden moet klikken?
Sorry kon niet laten maar hier ook een informatief filmpje over phising.

[Kappade]

Ik dacht/had precies hetzelfde! Vooral bij zijn 'klik' link Maar even met de muis erover hoveren gaf al voldoende info

[Reactie gewijzigd door Kappade op 22 juli 2024 14:17]

[Jeroen73]

Het probleem is dus ook dat je dat op een tablet helemaal niet kunt, terwijl die nog steeds meer gebruikt worden voor internet activiteiten...

[Zeehond]

Meestal kopieer ik dan de link door de vinger er even op te houden (Windows phone) en plak ik hem in een nieuw tabblad om hem alsnog eerst te bekijken. Hierbij wel even Wi-Fi uitzetten om perongeluk openen te voorkomen.

[BLACKfm]

Scheelt dat ik een youtu.be link dan wel weer vertrouw. Daar kan vooralsnog niet zoveel mee mis gaan lijkt me.

[maquis]

Snap uberhaubt niet waarom het email systeem waarmee wij werken tegenwoordig nog steeds bestaat, behalve om legacy redenen.


Een systeem met goede authenticatie van de zender en ontvanger zou toch wenselijk zijn, heden ten dage. Als was het alleen maar om het kaf makkelijker van het koren te kunnen filteren.

[PhilipsFan]

Dat is nog niet zo makkelijk. Met PGP zou dit kunnen, maar dan moeten de webmail-aanbieders dit gaan ondersteunen en je moet je webmail-aanbieder vertrouwen met je private key.

Het grootste probleem van e-mail is dat het versturen gratis is. Daardoor is er geen enkele belemmering om spam te versturen.

[m4ikel]

Steker nog, dit zelfde verschijnsel is ook zichtbaar bij een niet nader te noemen creditcard maatschappij. Klik nooit op e-mail welke afkomstig lijken te zijn van firma X. Maar er vervolgens wel doodleuk een marketing mailing versturen: "Wilt u kans maken op het retour ontvangen van uw aankoop klik dan op de volgende knop."

Tja.. je vraagt er dan ook om toch?

[Verwijderd]

Hou eens op met roepen dat mensen die geen IT kennis hebben dom te noemen. Je maakt jezelf alleen maar belachelijk hiermee. Kennis heeft niks met intelligentie te maken. Vermogen tot redeneren wel. Snap je dat of moet ik het in Jip en Janneke taal uitleggen?

[kimborntobewild]

http://opgelicht.avrotros.nl/dossiers/item/8801/

Die avrotros.nl link vind ik zelf ook een vorm van oplichting. In dit geval: misleiding. Wel een groene knop 'Akkoord' tonen voor de cookies, maar geen knop 'Niet akkoord'. Wat je zou moeten zien: een rode (niet groene!) knop 'Wel cookies' en een groene knop 'Geen cookies'.
Er is wel een minder opvallende knop 'Cookie-instellingen aanpassen'. Dat is onvoldoende, en onvoldoende duidelijk. En dan ben je er nog niet: weer een misleidende groene (i.p.v. rode) knop 'Standaard instellingen', en weer een minder opvallende knop 'Je aangepaste instellingen'. Verder is 't volstrekt onnodig dat de knop 'Opslaan' pas te zien is na naar beneden scrollen.
Avrotros wordt gefinancieerd door de overheid, dus hier is sprake van misleiding gefinancieerd door de overheid.
Of liever nog (zeker op sites gefinancieerd door het publiek): helemáál geen cookies meer; alleen de noodzakelijke cookies. Wil je toch bespioneerd worden e.d: druk dan maar op een rode knop ergens op de website 'Ja, ik sta graag niet-noodzakelijke cookies toe zodat u de website kunt verbeteren en mijn gegevens kunt doorverkopen'.

[Reactie gewijzigd door kimborntobewild op 22 juli 2024 14:17]

[thefal]

Offtopic, maar hoe werkt dat in hemelsnaam? Als je via Mijn ING geld wilt overmaken heb je een username en wachtwoord nodig, gevolgd door een TAN-code via SMS of de mobiele ING app.

Om die mobiele app te activeren heb je alle gegevens op je pinpas nodig, plus username, wachtwoord en TAN code.

Hoe kan het dat bij Rabobank het blijkbaar voor een ""hacker" al mogelijk is geld over te maken met de gegevens op de voorkant van je pinpas+ een kleurencode? Heb je daar geen wachtwoord nodig?

[hackerhater]

Die kleurencode wordt gelezen door de random-reader
Die reader heeft weer je pas en pincode nodig om te werken.............

Simpelweg geval PEBKAC

[stresstak]

Sommige mensen snappen het helaas niet. En ja, we kunnen niet altijd op domme mensen wachten. Maar een instituut als de politie zou misschien een andere manier van communicatie moeten gebruiken,

Die hele communicatie en de ophef zijn juist het gevolg van mensen die reeds opgelicht waren door een website. Met echte en onechte mails en reacties wordt het alleen maar ondoorzichtiger en erger.

[Allovich]

Op een gerelateerde noot de "computer skill levels" van ontwikkelde landen:
https://www.nngroup.com/articles/computer-skill-levels/
Direct link naar het interessante grafiekje:
https://media.nngroup.com...ill-levels-by-country.png

De politie overschat hier denk ik toch te zwaar de intelligentie van de gemiddelde gebruiker van een computer. Het is erg goed bedoeld, maar het effect kan juist averechts zijn. Nu komt het wel van de politie, maar komt "die ene phishing mail
die later in de inbox komt" nu ook legitiem hier vandaan? Veel gebruikers zullen toch niet helemaal het verschil in kunnen zien en gaan de mist in.

Een nieuwsbericht zou naar mijn idee geschikter zijn geweest om de burger te informeren, en blijvend een goede campagne te voeren om niet je wachtwoord overal te recyclen, waar een goed wachtwoord aan voldoet, hoe je phishing kunt herkennen, gedragsregels van instanties omtrent hun communicatie.

"Het zou wel een mogelijkheid zijn dat een grote e-mailactie in de toekomst zonder publiciteit plaatsvindt." NEE! NEE!

[Finger]

Ik denk dat de meest simpele regel die je mensen moet leren is: log nooit in via een linkje in je mail. Dan kan je eigenlijk de rest van je campangne wel vergeten. Heb ik me ouders ook geleerd. Altijd zelf naar de website gaan. Dan hoef je al die onzin van nep berichten herkenen enzo ook niet te leren.

[Reactie gewijzigd door Finger op 22 juli 2024 14:17]

[Firefly III]

Ok, niet inloggen. Maar ik mag er wel op klikken? De bijlage openen? Het is niet voor inloggen maar voor aanmelden? Maar er stond dat het geen spam was? Het leek zo echt? Enz enz.

[Allovich]

Ik snap je punt inderdaad. Het is nooit mogelijk om met een paar simpele regels het 100% veilig te krijgen Simpelweg nooit op links klikken en zeker geen bijlages openen is al een beter beginsel om aan te leren. Tenzij er net iets bij een winkel is besteld (na uitvoerig het SSL certificaat te hebben bestudeerd en reviews te lezen of het wel betrouwbaar is ) en daar een mail vandaan komt.

Voor de rest: altijd verifiëren. Webshop Y (waar je toevallig inderdaad ooit wat hebt besteld) stuurt je een herinnering voor een onbetaalde factuur (in bijlage) en een link om direct naar betalen te gaan? Zelf naar webshop Y gaan en inloggen; daar kijken of er daadwerkelijk een openstaande factuur is.

Helaas zal dit voor de gemiddelde Klaas en Anita (of Henk en Ingrid) inderdaad al teveel zijn en laat het surprise effect ze mogelijk al gelijk de bijlage/link openen. Ongetwijfeld kun je hierop ook weer 1000'en 'mits' en 'maar' op verzinnen, maar als de grootste oplichtings truucjes al bekend zijn, scheelt het al weer één zaak.

[kimborntobewild]

Lol... Zo'n 38% van de Japanners (16-65) kunnen geen computers gebruiken!

[kimborntobewild]

Dit is een belangrijk stukje uit je link:

Even the supposedly difficult tasks don’t sound that hard and I certainly expect all of my readers to be able to perform them speedily and with a high degree of confidence. However, my entire point is that just because you can do it, it doesn’t mean that the average user can do so as well.

Je ziet 't ook vaak op tweakers: er wordt vaak uitgegaan van de digitale capaciteiten van een tweaker zelf, in de reacties. (In plaats van uitgaan van de gemiddelde gebruiker en ook gebruikers die nog minder dan gemiddeld weten.)

[lvdgraaff]

Het wordt de hoogste tijd dat email ook standaard van een SSL certificaat wordt voorzien dat de identiteit van de afzender bevestigd. Zeker email van banken, overheid, paypal, webwinkels etc zouden echt niet zonder moeten worden verstuurd.

[com2,1ghz]

Tegenwoordig hebben phisingsites ook een TLS certificaat. Het gaat soms zo ver dat ze zelfs een eigen helpdesk hebben zodat ze ook nog eens telefonisch bereikbaar zijn.
Wij als IT-ers kunnen dit snel herkennen maar leg dat maar eens uit aan je buurman waar je al die tijd hebt gezegd dat het slotje voor de URL groen moet zijn.

[kzin]

Tegenwoordig hebben phisingsites ook een TLS certificaat. Het gaat soms zo ver dat ze zelfs een eigen helpdesk hebben zodat ze ook nog eens telefonisch bereikbaar zijn.
Wij als IT-ers kunnen dit snel herkennen maar leg dat maar eens uit aan je buurman waar je al die tijd hebt gezegd dat het slotje voor de URL groen moet zijn.

Klopt, ik probeer ze ook wel eens uit te leggen dat ze moeten kijken waar de URL heen verwijst. Wat dat betreft maken instellingen het ons ook niet even makkelijk.

Van een mail met link van de politie verwacht ik ook dat die terugverwijst naar politie.nl. Als de link verwijst naar bekeuringen.eu verwijder ik de mail zonder op de link te clicken.

Soms gaat dat fout. Energiebedrijven hebben nog wel eens een centrale website om verbruik in te vullen. Van het UWV kun je een mail krijgen dat je op werk.nl moet inloggen met je digID. De belastingdienst laat je inloggen op mijn.toeslagen.nl

Vind je het dan gek dat als je een mail krijgt dat je ergens van beschuldigd wordt, iemand gaat proberen de beschuldiging te downloaden van transactie.info?

[Tadsz]

"Het groene slotje geeft aan dat er onderweg niet zichtbaar is wat je verstuurd, maar als de eindbestemming niet deugd, dan is alsnog alles zichtbaar"

Je postbode kan het pakketje niet meer inkijken, maar als je het etiket voorziet van het adres van de dieven, dan krijgen zij gewoon je pakketje binnen.

[lvdgraaff]

Het gaat mij niet om versleuteling van de verbinding maar om een certificaat dat de afzender valideert. Als ik nu een mail ontvang van [e-mail] en er is geen gebruikt van S/MIME (thanks @Bigs), dan is er voor mij geen enkele manier om te controleren of dat spam is of niet.

Als die mogelijkheid er wel zou zijn zou
- iedere expert/tweaker zijn mail kunnen vertrouwen
- gmail/yahoo etc mails kunnen blokken van domeinen die geen certificaat mee geven terwijl dat wel kan worden verwacht. (Vergelijkbaar met SSL forceren voor bank websites)
- iedere leek worden opgevoed door aan te wijzen op welk groen icoontje ze nou precies moeten letten.

[com2,1ghz]

Heb even gekeken welke domeinnamen vrij waren.
politiee.nl is in ieder extensie vrij. maar zie maar in 1 oogopslag dat ik er een extra 'e' in heb geplaats.
Even de site van politie.nl overnemen. Heb je gewoon tools voor. Een let' s encrypt certificaatje op en klaar is kees.

[kimborntobewild]

Als je echter politei.nl ziet staan, zie je niet zo snel dat het fout is. Met name bij de mensen die dinges zijn (kan even niet op de naam komen). (Zoiets als woordblind.)
En ja hoor: dat is een scamsite.

[I5413]

Vergeet
www.rabobank.nl.rvmbe.info/aanvragen
dit soort constructies niet.
is toch gewoon rabobank.nl???????? ja niet dus...........

en dan een tiny url (e.d.), denk je dat meeste mensen naar een "checkshorturl.com/expand.php" gaan? dacht het niet. zeker niet als je er een krijgt van een bekende.

Dit zijn gewoontes die je er helaas bij de meeste mensen niet in gaat krijgen.

Het interessante is wel dat als ik deze links express probeer te openen op het netwerk van de TU (ja in een virtuele machine ja) dat ik ze niet geopend krijg. Denk dat ze deze sites blokeren, zou voor die 95% van de mensen mischien handig zijn als ISP's het deden........


(en je bedoelt "dyslectisch" )

[Reactie gewijzigd door I5413 op 22 juli 2024 14:17]

[kimborntobewild]

Ja, dat bedoelde ik, dank.

[kimborntobewild]

...waar je al die tijd hebt gezegd dat het slotje voor de URL groen moet zijn.

Bij mij is het slotje op tweakers grijs: wat betekent dat dan?

[lukjah]

Mensen vullen ook zonder enig probleem hun inloggegevens in op phishing websites (zonder ssl). Dit gaat het dus niet verhelpen.

[hermanbrood]

Ook hiermee kan gefraudeerd worden. Denk bijvoorbeeld aan gestolen SSL-certificaten, maar het is beter dan niets. Het maakt het wel lastiger.

[crazyx]

Dit gebeurt al in beperkte mate in Gmail met mails van Paypal. Daar wordt een sleuteltje geplaatst voor mails die afkomstig zijn van Paypalmailservers.

Echt een goed initiatief.

[jaapzb]

Sleuteltje heeft volgens mij alleen te maken met het feit of de mail via een beveiligde TLS verbinding verstuurd is.

[Tjidde]

Gmail, ik neem aan Outlook Yahoo zullen dit controleren ja maar als jij je mail via een goedkope mail dienst hebt lopen met je eigen domein, zal dit een stuk lastiger zijn. Er zullen genoeg mensen zijn met een domein ZZPers die nul verstand hebben van mailing laat staan hoe je kan controleren of mijn mail via mijn eigen SMTP is verlopen.

Plus mensen kijken niet naar iconen of iets wel veilig is die klikken gewoon door. Nog nooit gehoord van een niet ITer ooh die pagina is onveilig want hij heeft geen HTTPS of dat hij https://mijn.ing.nl.ik.wil.jouw.bankgegevens.co.jp niet vertrouwd.

Ik denk dat mailclients hier wel een gat kunnen vullen. Door te controleren of de mail wel van de echte gebruiker afkomt en links gewoon blokkeren of laten redirecten naar een informatie pagina.

[Bigs]

Dit bestaat. Het heet S/MIME en wordt door vrijwel alle mail clients geaccepteerd (van Outlook tot iPhone). Helaas wordt het maar weinig gebruikt.

[hackerhater]

Helaas is het 1 certificaat per adres. Dat maakt het nogal duur
Voor mijn eigen bedrijfje maar gedaan, maar een wildcard geldig voor alle adressen op dat domein zou het fijnste zijn.

[mddd]

Zelfs dan blijft het probleem bestaan dat gebruikers niet goed kijken.
Als je email client laat zien "Deze mail komt ECHT van politie.nl.vageserver,com" dan heb je nog steeds veel mensen die dat zullen lezen als "Deze mail komt van de politie". Je kunt dat deels opvangen met EV certificaten waarin je meer over de identiteit te zien krijgt, maar het is een moeilijk probleem om op te lossen, gewoon omdat mensen niet weten waar ze naar zouden moeten kijken.

[kimborntobewild]

Sterker nog, ik zou niet eens weten wat een EV certificaat is (op dit moment. Dus dan moet ik eerst ff googlen).

[tinustate]

Kan men niet controleren of de email op de lijst overeenkomt met een email adres in mijnoverheid/digid?
Zo ja dan kan men in mijnoverheid een berichtje toevoegen.
Mijnoverheid schijnt namelijk een verzamelplaats te zijn voor allerlei berichten van de overheid. Waarom dan ook niet berichten van politie?

[kakanox]

Koppeling leggen tussen jouw e-mailadres en je mijnoverheid-account kan niet. En moet ook niet kunnen, want dan kan de overheid altijd precies weten wat ik koop en op welke sites ik me registreer; dat gaat ze niets aan.

[Reactie gewijzigd door kakanox op 22 juli 2024 14:17]

[Schway]

Dat het kan, betekent niet dat het gebeurd. En van de 17,1 miljoen die Nederland rijk is, denk ik niet dat je hoog staat op de lijst met interessante personen.

Daarnaast, als je paranoia wil spelen, De overheid kan weten wat je koopt via je bank rekening, je adres en het kvk. Waarom denk je dat ze zo van de big data zijn.

En ach die porno sites, dat weten ze wel via je ISP. Kan.

[kakanox]

Dat ik (of jij) mezelf niet interessant genoeg vind betekent niet dat de overheid dat ook niet vindt, of dat we die koppeling dan maar moeten gaan leggen.

We moeten eens wat harder knokken voor onze privacy. Dit is echt weer een reactie in de categorie "ik vind backdoors geen probleem, want ik heb niks te verbergen".

[Reactie gewijzigd door kakanox op 22 juli 2024 14:17]

[Schway]

Dat ik niet zo paranoia ben betekent niet dat ik een type "ik vind backdoors geen probleem, want ik heb niks te verbergen" ben

De wereld is niet zo zwart wit. Wees slim in het kiezen van waar je knokt. Doe waar het resultaat op levert ipv preaching to the choir. Hier zijn de meesten het met je eens, Niet 100% natuurlijk. Maar dat is simpel weg de ervaring/kennis die iemand heeft.

Ipv passief "We moeten eens wat harder knokken..." ga zelf ook harder knokken ipv mij af te doen met die opmerking.

[kakanox]

Hiermee ga je er dus vanuit dat ik behalve in mijn berichten op Tweakers niet knok. Beetje dom, want tenzij je me al van andere platformen (of persoonlijk) kent, kan je op basis van mijn nickname niet herleiden wie ik ben en wat ik verder allemaal doe in mijn leven.

[Verwijderd]

denk ik niet dat je hoog staat op de lijst met interessante personen.

Misschien op dit moment niet, maar dat kan altijd veranderen. Ligt er maar net aan wie er op dat moment aan de macht is en wat zijn/haar doel is.

Daarnaast, als je paranoia wil spelen, De overheid kan weten wat je koopt via je bank rekening, je adres en het kvk. Waarom denk je dat ze zo van de big data zijn.

Knap. De transacties die niemand iets aangaat (lees: coffeeshop) worden altijd contant afgerekend. Niet alles is inzichtelijk, en dat is maar goed ook.

[tinustate]

De overheid/politie kan prima gegevens koppelen en daarbij rekening houden met privacy van ontvanger door beleid/regels op te stellen.
Bijvoorbeeld alleen tijdelijk koppelen indien bepaalde gevallen, bijvoorbeeld in dit soort gevallen.
Je zou bijvoorbeeld in de toekomst ook een vinkje in mijnoverheid kunnen maken met dat je dit soort berichten wil ontvangen.

[kakanox]

...en welke mensen bereik je daarmee die je niet gewoon een brief had kunnen sturen vanuit deze webshop?

[tinustate]

Een brief is inderdaad ook mogelijk, maar brengt een hele hoop kosten met zich mee.
Zeker als dit in de toekomst vaker en vaker gaat voorkomen.
Bovendien vind de overheid digitaal helemaal hip en gaat steeds meer afscheid nemen van papier. Of dit goed is is natuurlijk een tweede.

[kakanox]

Zolang de overheid niet aan kan tonen dat een mail écht van de overheid komt wel. SSL op e-mail is dus de beste oplossing. Dan kan je zelfs een anoniem adres bereiken zonder dat er phishers/spammers tussen kunnen zitten (of in ieder geval niet zonder heel veel moeite).

[tinustate]

Er word door mijnoverheid standaard geen mail verstuurd, dus mail + eventuele oplossing is niet van belang.
Dat is juist het mooie.

[kakanox]

Maar die kan je dan dus niet sturen naar een e-mailadres dat niet is te matchen met een bepaald persoon.

[tinustate]

Beter iets wat veilig is dan niets of onveilig of wat er tussen in zit.

[Reactie gewijzigd door tinustate op 22 juli 2024 14:17]

[kakanox]

ehm, nee, dat zou ik niet zonder meer willen stellen.
Iets is namelijk nooit gewoon "veilig", maar het beschermt iets of iemand tegen een bepaald gevaar. Daar kunnen dus ook andere gevaren door ontstaan.

[Reactie gewijzigd door kakanox op 22 juli 2024 14:17]

[BLACKfm]

Dan kun je alsnog het e-mail adres spoofen. Ik kan je zo een mailtje sturen van [e-mail] en voordat je doorhebt dat het daar niet vandaan komt heb je al op de links geklikt in het mailtje.

Buiten het feit om dat het heel onaannemelijk is dat het van die persoon af komt in dit voorbeeld, maar om te stellen dat op basis van e-mail adres te filteren heeft geen nut.

[tinustate]

Ik denk dat je even naar mijnoverheid moet kijken
Je ziet de berichten in je browser, je zult nooit het eigenlijke bericht in je mailbox/mailclient zien.
Iemand die verkeerd wil zal dus nooit (zeg nooit nooit, maar stuk lastiger) een bericht in de mijnoverheid berichten lijst kunnen krijgen.

[BLACKfm]

Dus ik krijg op mijn normale mail een melding dat er op mijn.overheid.nl een bericht staat? En in hoeverre moet ik dat dan zien dat die echt is?

In de mailtjes die ik krijg staat verder geen link, maar je kunt nog zo veilig zijn... die phishers zetten er gewoon het regeltje 'of klik op deze link' en hoppa, vul uw gegevens maar in op een site die niet de juiste is. En [e-mail] is nou ook niet bepaald een adres waar ik enig vertrouwen aan kan ophangen, als dat uberhaupt te doen is op basis van de afzender.

En ja, 'iedereen' weet 'Klik weg, hang op, bel je bank', maar er is er altijd 1 die er toch in trapt.

[tinustate]

Dat is het mooie, je krijgt standaard geen mail, althans ik heb er nooit 1 gehad. Want dat zou zoals je al aangeeft weer een aanval vector zijn.
Mogelijk dat ze in de toekomst een smsje/push bericht/app gaan gebruiken om gebruiker op de hoogte te stellen.

Of ze introduceren bericht naar papier, dan krijg je brief voor een bepaalde vergoeding van de kosten, bij elk bericht dat bij mijnoverheid binnenkomt. Veiliger kan het bijna niet. Maar of ze dat gaan doen vraag ik mij af.

[Reactie gewijzigd door tinustate op 22 juli 2024 14:17]

[BLACKfm]

Tja, dat is dan ook weer het mooie... ik kreeg vorig jaar (zo niet langer geleden) een brief dat overheid post niet meer met de post kwam. Maar ik ga natuurlijk niet elke maand op mijn.overheid.nl kijken of daar berichten op staan.

Waarschijnlijk heb ik het een keer moeten instellen en dan geef je ook een e-mail adres op. En gezien ik toch op een bepaalde manier op de hoogte gehouden moet worden van nieuwe berichten krijg ik dat blijkbaar in de mail (zal vast ook wel per 06 kunnen, maar dat verminderd niet het risico).

[hackerhater]

Het afzender-adres phoofen gaat je niet lukken als je mail-server een beetje goed ingesteld is :

mijn.overheid.nl. 299 IN TXT "v=spf1 a:mailrelay1.overheid.nl a:mailrelay2.overheid.nl a:cv-mailrelays.overheid.nl a:mail.otrdw.nl a:mail.gatrdw.nl a:srv1.rdw.nl a:srv2.rdw.nl a:mail1.diensten.rdw.nl a:smtp1.ssonet.nl a:smtp2.ssonet.nl a:wnlmx01.webhelp.nl a:wnlmx02.webhelp.nl ip4:193" ".172.253.22 ip4:193.172.253.23 -all"

SPF record op het domein met hard-fail.

[BLACKfm]

Keyword: Als.... En als mensen al niet eens kijken of de mail wel echt is of niet, gewoon klakkeloos op een betrouwbaar ogende site gegevens invullen dan gaan ze ook echt niet zitten kijken naar dat soort gegevens die bij bijvoorbeeld hotmail.com nou ook niet bepaald duidelijkheid scheppen als je de bron bekijkt (voor een leek).

Op basis van ip-adres kun je in ieder geval niet filteren, de diverse mailtjes die ik van mijn.overheid.nl heb gehad komen allemaal met een ander laatste deel van een ip adres. (144.43.253.11x).

Lang verhaal kort, je kunt je hier echt niet tegen beveiligen, risico's beperken middels voorlichting maar uitsluiten is niet te doen.

Als je overigens doelt op het wel of niet mogelijk is om 'als een ander e-mail adres je mail te sturen' dan is dat helemaal niet zo lastig. Bij een webhost waar ik jaren mijn website had staan zat webmail waar dit gewoon ingesteld kon worden (afzender mail).

[hackerhater]

Personen controleren niet op het SPF-record.
Dat doet de mail-server
In zo'n record staat welke servers gerechtigd zijn namens een domein te mailen. Als de mail van een andere server komt => weigeren.
Waardoor die mail uberhaupt al niet in de mailbox van de gebruiker komt

De eigenaar van een domein kan zo'n record instellen in de DNS waarbij ie aangeeft welke servers namens hem mail mogen sturen (whitelist)

https://en.wikipedia.org/wiki/Sender_Policy_Framework

[Reactie gewijzigd door hackerhater op 22 juli 2024 14:17]

[BLACKfm]

Ik zie de grote mailboeren als Outlook en Gmail (en diverse maildiensten van internetproviders) nou niet zo snel allemaal van dat soort filters instellen voor hun gebruikers.

Dat lijkt me overigens ook een utopia, maar mogelijk wel één van de zekerste (...) manieren om phishing te voorkomen.

[hackerhater]

Ik weet wel zeker dat MS en Google naar SPF luisteren

Echter voor SPF moet ELK domein wel registreren welke servers names dat domein mail mag versturen.
Als het niet geregistreerd is (default situatie) wordt er uiteraard niks mee gedaan.

Echter voor mijn.overheid.nl bestaat dat record dus wel en elke serieuze mail-server zal erna luisteren.

Het proces gaat zo:
1) Mailserver (bijvoorbeeld google) krijgt een mail binnen met afzender [e-mail]
2) Mailserver checked DNS van mijn.overheid.nl voor aanwezigheid van een SPF record.
3) record is aanwezig met hard-fail. IP van verzendende server (in dit geval dus een spambot) wordt gechecked tegen het record
=> fail
=> mail wordt geweigerd.

De eigenaar van een domein moet in de DNS registreren wie names zijn domein mail mag versturen.

[Reactie gewijzigd door hackerhater op 22 juli 2024 14:17]

[biglia]

In het geval van die webshops, kunnen er ook buitenlandse klanten getroffen zijn. Die hebben geen toegang tot mijnoverheid/digid.

[kakanox]

Als je het gerelateerde artikel leest, dan begrijp je dat dit bericht te verwachten viel

[bilbob]

volgens sommigen mensen hier was het wèl een goed idee van de politie om die mails te versturen.
De meerderheid was het hier niet mee eens.. haha.

[botoo]

Met zo'n insteek zou niemand meer mail moeten versturen want mail van alle bedrijven en instanties zijn immers na te maken, het gaat pas fout als er 'klik hier' linkjes in staan. Puur voor informatie voorziening lijkt het mij een prima systeem.

[watercoolertje]

Het gaat pas fout als het op het nieuws komt dat het mailtje wat je zo gaat ontvangen echt legitiem is, dat is gewoon toppunt van domheid...

Mensen denken dan niet meer na of het phishing is, terwijl er zonder z'n aankondiging misschien nog vraagtekens bij z'n mail gezet worden...

[Reactie gewijzigd door watercoolertje op 22 juli 2024 14:17]

[biglia]

Nochtans zou ik een e-mail afkomstig van de politie eerder geloven als er in die e-mail een link staat naar de officiële website waarop hetzelfde wordt geschreven.

[ArcticWolf]

Ik zou echt niet op die link klikken...

[kzin]

Dat is juist het probleem. De mails zien er echt uit. compleet met link naar de website, en echte telefoonnummers.

Het zou verstandig (maar onhandig) zijn als overheid en bedrijven stoppen met links in een e-mail. Gewoon in tekst: "kijk voor meer informatie op politie.nl/phishing"
Als je dat zelf in een webbrowser intypt is er veel minder risico.

[kimborntobewild]

Ook bij het intypen van adressen geeft geen garantie: veel criminelen registreren zoveel mogelijk domeinnamen met veelgebruikte typefouten (bij veel root-domeinnamen is het een schande dat dat kan zonder te betalen; je moet binnen een bepaalde termijn betalen maar intussen is het scam-domein wel actief).

Tik maar eens bijv. politei.nl in; kom je gelijk op een scam site (dat je zogenaamd wat gewonnen hebt, en wat die site met je PC probeert te doen kan niet veel goeds zijn). Maar er had evengoed een nagebouwde politie-site kunnen zitten, incl. politieforum waarop je je gebruikersnaam en ww. in kunt tikken.

Om deze reden zou het ook fataal zijn als je domeinnamen met unicode-karakters zou kunnen aanmaken, wat sommigen willen (een overheid met belangrijke politici die digibeet of digilaks zijn, en je hebt de poppen aan 't dansen). Dan zie je volstrekt geen verschil meer tussen politie.nl en politie.nl, waarbij de ene gewoon de politie is en de andere een scamsite.
Blacklists hebben dan geen zin meer; je kan dan alleen nog met whitelists werken (en die lijst is dan zo gigantisch groot dat het internetten op je PC extreem traag zal worden).

[Reactie gewijzigd door kimborntobewild op 22 juli 2024 14:17]

[N8w8]

Vrijwel elke mail van de "politie" is nep, dus is de kans groot dat men bij een echte mail meteen denkt, "weer zo een, delete".
Dus moet de politie echte mails of van tevoren aankondigen, of niet sturen.
Helaas had men niet verwacht dat criminelen zo snel en creatief op zo'n aankondiging zouden inspelen.
Dus, zelfs zo'n aankondiging helpt niet, mails van "de politie" blijven onbetrouwbaar, blijkt maar weer.
Natuurlijk kunnen mails van andere instanties ook worden vervalst, maar dat gebeurt iha lang niet zo vaak en structureel als van de politie (of banken).

[kakanox]

Ik bedoelde puur dat de aankondiging op zich al niet slim was.
Dit is hetzelfde als op Tweakers zetten dat je een fantastisch idee hebt voor een nieuw product, de hele uitwerking van dat product erbij zetten en aangeven dat je morgen een afspraak gaat maken om het patent aan te vragen.

[Martinusz]

Waarom kondigen ze dan ook aan dat ze 20.000 emails gaan versturen? Lekker slim ook, stuur eerst die mail en als het dan toch gepuliceerd moet worden, zeg dan paar dagen later dat er 20.000 emails zijn verzonden. Dan nog kunnen hackers natuurlijk slim toeslaan, maar nu was het wel heel erg makkelijk!

[MasterMaarten]

Ik heb ook de originele mail gehad van de politie. Als ze dit niet aangekondigd hadden dan was deze mail in mijn prullenbak beland. Nu weet ik dat het ook daadwerkelijk van de politie afkomt en ben ik mijn wachtwoorden gaan wijzigen.
Dus het aankondigen heeft voor en nadelen.

[Martinusz]

Daar zit ook wat in, het blijft lastig om zoiets 100% goed te doen, dat is een feit!

[MrHaas]

Misschien wordt het tijd dat PGP wat meer gemeengoed wordt en overheidsinstellingen gewoon hun signature kunnen meesturen. Mensen zijn ook gewend geraakt aan de groene slotjes in de browser, dus waarom kan het bij email niet?

[anargeek]

Als we kijken naar dit artikel van gister, dan is men helemaal nog niet gewend geraakt aan groene slotjes in de browser

[biglia]

Nee, van zodra er "vreemde tekens" in een e-mail staan, geloven ze de e-mail net niet meer.

[Verwijderd]

Zojuist die e-mail inderdaad gekregen. Ik vraag me af hoe ze aan mijn e-mailadres zijn gekomen.

[bazs2000]

Waarom gebruiken ze dan ook niet de berichtenbox van mijn overheid? Superdom om het op deze manier te doen.

Zelfs na aankondiging zou ik dergelijke mail weggooien want ik vertrouw het niet.

Stuur een oproep dat ik in de berichtenbox moet kijken en ik ga naar de betreffende website (url zelf intypen in de adresbalk).

Aan de ene kant probeert men mensen op te voeden dat ze bewuster worden van alle gevaren en dan alsnog met zo'n email komen. Echt dom. Dankzij dergelijke acties die email wat afkomstig lijkt te zijn van de politie weer vertrouwen met alle gevolgen van dien.

Roepen dat dit domme mensen zijn en dat ze het over zichzelf afroepen om opgelicht te worden is ook niet eerlijk want het wordt ook wel verwarrend gemaakt. De meeste tweakers redden zichzelf wel maar welk percentage van de nederlandse bevolking vertegenwoordigen wij? Juist, een zeer klein deel.

[BLACKfm]

Je bereikt er niet iedereen mee. Alle gegevens die je hebt kunnen vals of pseudoniemen zijn.
Je bereikt mensen pas echt goed met het enige middel wat waarschijnlijk wel klopt, en dat is het e-mail adres.

Dat kan best 90% gelijk zijn aan mensen die een mijn.overheid account hebben, maar het zijn dan net die 10% die van niks weten en vervolgens verder worden opgelicht of worden gedupeerd.

[Firefly III]

Deze discussie heb ik met KPN ook al een paar keer gehad. Heeft ook nooit geholpen. Die waarschuwen op hun eigen website over phishing mails in hun eigen naam. Krijg je de dag daarna je factuur in de mail als PDF.

Als je dan meldt "ik kreeg dit spambericht" zeggen ze "nee hoor die is echt"