Overheidscampagne voor bewustwording van online veiligheid had weinig effect

De overheidscampagne Laat je niet interneppen heeft over het algemeen weinig effect gehad op de veiligheid van Nederlanders. Veel doelstellingen in de campagne zijn niet gehaald en veel respondenten hebben ongeveer dezelfde digitale vaardigheden als vóór de campagne.

Dat blijkt uit een evaluatie van de campagne. De campagne genaamd Laat je niet interneppen begon in 2023 en had als doel om burgers bewuster te maken van phishing en andere vormen van cybercrime. Eind 2024 werd de campagne vernieuwd. De campagne had twee belangrijke doelstellingen, waarvan tijdens de evaluatie nu blijkt dat die niet gehaald zijn.

Het ene doel was dat Nederlanders signalen van sociale engineering beter zouden moeten herkennen. Het andere was het verhogen van het vertrouwen om die signalen te herkennen. "De doelstelling dat meer mensen zich beter in staat voelen om de signalen en overtuigingstechnieken van sociale engineering te herkennen, is onveranderd", staat in de evaluatie.

Ook blijven respondenten op hetzelfde niveau bij de vraag of ze in staat zijn 'signalen en technieken te herkennen die kunnen duiden op online oplichting'. Verder hebben de meeste respondenten er gevoelsmatig veel vertrouwen in dat ze online oplichting herkennen en doen ze al veel om online oplichting tegen te gaan. Al die doelen zijn volgens de campagne onveranderd gebleven.

Er zitten wel een aantal verbeteringen in het gedrag van mensen. Zo is er een verhoogde intentie om te kijken naar bijvoorbeeld de afzender van een e-mail of het bellen van een bank bij een verdachte mail. Maar dat is slechts de intentie: "Het aantal mensen dat bij twijfel een controlecheck doet, is gelijk gebleven", staat ook in het rapport.

Over het algemeen zijn alle conclusies zo. De positiefste bijdragen in het rapport zijn dat de campagne beter wordt herkend dan de meeste overheidscampagnes. Ook werd de campagne positief gewaardeerd door respondenten. Die zeggen verder dat de waarschuwing om een afzender te dubbelchecken het beste bij hen aankwam.

Reacties (43)

[Goffo]

Kan me niet eens herinneren hier ooit wat over gezien te hebben.

[GurbieV]

Ik wel. Maar over het algemeen vind ik de campagnes van de banken hierover duidelijker. Die duren volgens mij ook langer en ze hebben meer budget.

[Stijnvi]

Daarnaast kunnen banken natuurlijk ingaan op hun eigen features. Zoals dat je bij de ING nu in hun app kan zien of je daadwerkelijk door ING wordt gebeld.
Zoiets kan de overheid natuurlijk niet.

[mr thee]

Ook weinig van meegekregen, kwam in de bioscoop wel eens voorbij, maar verder schiet mij niks te binnen.

[CPV]

Ik ook niet, lekker effectief dus.

[lenwar]

Nou inderdaad. Als een handjevol mensen hier niets hebben gezien, dan is het inderdaad absoluut niet effectief geweest.

Ik kijk zelf geen tv, luister geen radio, heb geen social media-accounts (in de vorm van Instagram en dat soort zaken) en heb adblockers. Dus ik vind het niet gek dat ik er niet van heb gemerkt.

Ik ben zelf een voorstander van 'gamification'. Zet wekelijks op reguliere websites een soort spelletje 'herken de phishing'. Dus op Tweakers/NOS/kranten/nieuws-sites tussen de artikelen door. (niet opdringerig, maar gewoon er tussen.) Desnoods als linkje op de startpagina van Google/MSN/Bing of andere grote zoekmachines/sites met veel exposure. Maak dat voor die bedrijven maatschappelijk verantwoord ondernemen (geef ze desnoods een beetje subsidie ervoor als dat nodig is. Dan bereik je in elk geval veel mensen.)

[blorf]

Complexere wachtwoorden is wat ik me van iets dergelijks herinner.
In mijn geval, de hele overheid draait in een MS-cloud. Hoezo moet ik iets van die kant over veiligheid onthouden, en ook nog serieus nemen?

[lenwar]

Is de MS-cloud onveilig dan?

[blorf]

Is het veilig om je pincode op je bankpas te schrijven?

[lenwar]

Nee?
Maar is de MS-cloud onveilig?

[blorf]

Laten we de digitale tak van de regering uitbesteden in het buitenland, inclusief de opslag van persoonsgegevens en financiele informatie. Ik "gok" dat dat een keer mis gaat. Maar het kan meevallen.

[lenwar]

Op die manier. Dus effectief 'een buitenlandse cloudprovider' (of in elk geval buiten de EU) En niet zozeer de MS-cloud. Tja. Wat moeten we daarvan zeggen. Het kan ook mis gaan bij een Nederlandse cloud-provider? Of desnoods een interne cloud-provider? Je hebt alleen andere soorten risico's.

Ik zeg niet dat ik het niet een beter idee vindt om een Nederlandse (of EU) cloudprovider te kiezen hoor, maar dan moeten die er wel zijn (met de functionaliteiten die je nodig hebt).

Ik denk overigens dat, nu die wortel de president van de VS is, er wel her en der wat ogen geopend zijn.

[Lord Anubis]

Is het veilig dan?

[lenwar]

Zover ik weet wel.

[Alex3]

MS kan alles lezen wat je uploadt.

[lenwar]

We hebben het hier over de zakelijke diensten. (Dus wat banken en andere bedrijven afnemen) heb je daar een bron van?

En als het zo is en dat dat dus blijkbaar bekend en transparant is, is dat dan onveilig?

[CPV]

Ik houd niet van spelletjes, zeker niet die me opgedrongen worden.
Ik heb liever zakelijke info.

[lenwar]

En zo zie je maar dat het ondoenlijk is om alle doelgroepen goed te bereiken.

Maar hoe zie jij dat een effectief zakelijk bericht om mensen te 'trainen' om minder vatbaar te zijn voor dit soort malloten?

N.b. ik wilde ook niet suggereren om op te dringen. Gewoon ertussendoor (of vind je dat een 'artikel' dat een training is, ook te opdringerig? Niet sarcastisch bedoelt. Oprechte vraag) ik vind dit zelf juist een goede middenweg. Degene die het wilt klinkt erop, en de rest niet.

[SPee]

Mijn werkgever doet hier ook regelmatig zo'n soort 'spelletje'.
Dan krijg je ineens een onbekend mailtje en als je die rapporteert als phishing krijg je een:

Good job! This mail was part of a phishing campaign to raise awareness.

[AOC]

Ik kreeg het van mn ouders aangeleerd vroeger. Internet zit vol met misbruikers, nooit je gegevens delen of foto's. Misschien heel hoogover, maar heeft wel gewerkt

En Oma riep altijd dat er beesten in de sloot/spoelkuil op de loer liggen en als je te dichtbij komt ze je in het water trekken

[WillySis]

Ik heb mijn kinderen altijd voorgehouden: "Geef op internet geen informatie vrij die je ook niet aan een willekeurige voorbijganger op straat zou geven. Linkjes in e-mails van banken of winkels zijn gemakkelijk, maar zoek het liever via de website op."
Ze zijn nu volwassen en vinden het nog steeds een prima regel die ze ook nog steeds toepassen.

[StefanDingenout]

ja, probleem is dat als je tegen de gemiddelde persoon zegt "zoek via de website op" ze eerst die website gaan googlen en op de allereerste link klikken wat dat ook is. Want ze hebben geen idee wat een URL is of dat je die rechtstreeks in de browser in moet vullen.

Ik neem aan dat je jouw kinderen dit soort dingen allemaal uitgelegd heb, maar de gemiddelde persoon weet zelfs dit soort basis dingen niet. Iedereen roept altijd maar dat de "kinderen van tegenwoordig helemaal thuis zijn op internet en zoveel meer weten dan volwassenen" maar dat is complete onzin.
Kinderen weten meestal helemaal niks van hoe internet werkt, ze gebruiken het alsof het magie is.

En die overheidsspotjes lopen tegen hetzelfde probleem aan. Mensen weten gewoon niet wat internet is, hoe het (in globale lijnen) werkt, of zelfs maar wat ze nou eigenlijk zelf doen als ze het gebruiken. Dan kun je wel een paar vrolijke catch phrases roepen, maar het probleem van de missende basiskennis los je daar niet mee op.

[WillySis]

Je hoeft niet te weten hoe iets werkt, als je maar weet hoe je het (veilig) gebruikt.
Ik weet ook niet hoe een auto precies werkt. Ik maak de motorkap nooit open. Ik weet wel hoe je die veilig moet gebruiken.
Net nog een mail van PayPal gehad om binnen 24 uur de gekoppelde rekening te bevestigen. Als ik PayPal had zou ik dus eerst inloggen op de site van PayPal en daar naar de brief zoeken. Dat linkje in de mail vertrouw ik nooit. Nu heb ik al jaren geen PayPal meer dus dit was duidelijk nep.

[StefanDingenout]

Als ik PayPal had zou ik dus eerst inloggen op de site van PayPal

En daar gaat het dus al fout bij veel mensen. Je zou eerst inloggen op de site van paypal. En als mensen dan gehoord hebben dat ze niet op een linkje moeten klikken maar naar de website moeten gaan, gaat een groot deel met google zoeken op paypal. En als ze een typefout maken krijgen ze waarschijnlijk een zoekresultaat met een website die op paypal lijkt en je inloggegevens jat. Want ze weten niet eens dat een website bestaat. Ze denken dat google het internet is, en dat naar "de website" gaan zoeken op google is.

En daarom moet je dus weten hoe het werkt... Maar het is precies die "je hoeft er niks van te begrijpen" houding die jij toont waar het dus fout gaat. Want weten hoe je het veilig gebruikt betekent dat je eerst moet begrijpen wat het eigenlijk is dat je gebruikt en waarom iets wel of niet veilig is. De vergelijking met een auto is laat wederom zien hoe fout je zit. Je weet wat een auto is. Je weet in grote lijnen hoe een auto werkt. Je weet misschien niet hoe de motor in detail werkt, maar je weet dat er een motor in zit. Je hebt verkeersregels moeten leren. Je hebt een theorie- EN praktijkexamen moeten halen voor je er zelfstandig mee mocht rijden........... Een auto is geen magie voor je, ook al weet je niet elk detail. Maar internet wordt wel als magie gebruikt. Veel mensen weten het verschil niet tussen email, internet, wifi, apps, bestanden, google, website adressen, online of offline opslag, of wat dan ook. Ze weten niet dat websites adressen hebben, dat ze met een andere computer communiceren als ze een website of app gebruiken, of wat voor soort simpel basis begrip ook. En dat is dus niet veilig, ook niet als de overheid je wat nieuwe toverspreuken leert.... Je hoeft niet elk detail te weten zoals hoe servers geconfigureerd worden, maar je moet wel basis dingen begrijpen als dat je met een andere computer aan het communiceren bent, en dat het adres er voor zorgt dat je bij de juiste computers uitkomt, net zoals jij die bij een auto basisbegrippen begrijpt.

[Reactie gewijzigd door StefanDingenout op 18 april 2025 19:20]

[SPee]

Als ik PayPal had zou ik dus eerst inloggen op de site van PayPal en daar naar de brief zoeken. Dat linkje in de mail vertrouw ik nooit. Nu heb ik al jaren geen PayPal meer dus dit was duidelijk nep.

Mijn vader - ookal vertel je dat 100 keer tegen hem - is niet zo strict.
Die werd ooit gebeld door "Microsoft" en wou diegene toegang geven tot de computer. Als je dan zegt dat het oh-zo fout was, dan is zijn gedachte "Maar het kán toch? Ik heb ergens mijn informatie ingevuld, dus dat kán toch iemand van MS zijn?". En zelfs een "nee, nooit!" gaat er maar moeilijk in.
Mijn moeder is daarin wat beter en die heeft het wél door (en had de pc uitgezet).

[ochhanz]

Het kan natuurlijk gebeuren dat iemand via ddg/google/bing op de verkeerde link klinkt maar in de meeste gevallen zal de niet-spam links bovenaan staan (bijv als ik overheid inloggen type zie ik mijnoverheid als eerste ~5 links). Verder met je eens betreft de basiskennis.

[phoenix2149]

Wel goed dat ze het evalueren. Hopelijk vinden ze verbeteringen voor een verbeterde campagne.

Dat het effect niet als gehoopt is wil niet zeggen dat je het stop moet zetten. Beter om het dan te verbeteren en effect weer te meten.

Ook al voorkom je er maar 10 worden opgelicht is toch goed. Op naar verbetering.

[Dick Ravestein]

Ten koste van hoeveel Euros belastinggeld die besteed worden aan die onzinnige spotjes die toch altijd al "super positief" gebracht worden dan echt het reële gevaar te benadrukken!
Daarbij ben ik van mening dat mensen die echt meer willen weten over online veiligheid op internet al voldoende informatie kunnen vinden.

[pyro-tukker]

Ik vraag mij nog steeds af waarom alle tv spotjes van de overheid altijd zo positief en ‘populair’ moeten zijn.

Ik ben wel eens benieuwd wat de effectiviteit is van dit soort voorlichtingen als je het juist vanuit het gevaar en het risico (op verlies van data en geld) op diefstal gooit. Dus gewoon het reclame spotje beginnen met ‘binnen 5 minuten een grote som geld van uw rekening’ of ‘uw data, zoals seksuele voorkeur, geheime hobbies en vrienden worden mogelijk verhandeld op het internet’.

En dan een hele concrete CTA (call to action), wilt u meer weten wat u kunt doen tegen online oplichting, etc ga dan naar website x.nl en lees wat je nu kunt doen om uzelf te beschermen.

Ik denk dat een negatieve boodschap, inclusief het mogelijk verlies van geld (en data) voor veel meer mensen motiverend is, dan wat we nu altijd hebben.

[MarvinJames]

Tsja... Als al tweederde zichzelf instaat acht om héél goed dit soort praktijken te herkennen, dan valt er niet heel veel te verbeteren ook.

Als ik naar deze cijfers kijk heb ik toch vooral het gevoel dat veel mensen zichzelf enorm overschatten als het aankomt op het herkennen van trucs.
Overigens is dat, als ik de verhalen lees van mensen die benadeeld zijn, ook vaak het geval. Mensen zeggen: "Ik had nooit verwacht dat ik erin zou trappen."

Overigens vind ik het ook lastig om dit soort cijfers te interpreteren. Je kunt ook zo beredeneren: "Als je goed begrijpt waar en hoe je allemaal gepakt kan worden, dan daalt het vertrouwen misschien zelfs. Juist omdat je meer over het onderwerp weet."

[kodak]

Maar de stelling is ook dat 2/3 jaarlijks te maken krijgt met cybercrime. Waarbij er geen verduidelijking is in hoeveel gevallen mensen prima in staat zijn zich geen slachtoffer te laten maken. Maar ondertussen is wel duidelijk dat heel veel pogingen mislukken.

Dan kan de conclussie niet simpel zijn dat mensen zichzelf overschatten. In de meeste gevallen schat men juist goed in. En over de gevallen dat men toch slachtoffer is geworden is geen onderbouwing gegeven waardoor dat kwam. Terwijl dat om meerdere redenen mis kan gaan.

Nmm is er een onderschatting hoe mensen goed bestand zijn tegen pogingen van cybercrime. En het risico neemt niet zomaar af door algemeen te gaan waarschuwen voor specifieke problemen.

[FrostyPeet]

De meeste overheids campagnes vind ik te laat. Eigenlijk weten de meeste mensen het al en dan komt er nog zo'n filmpje dat je moet ophangen. Of niet op rare links klikken. Of doorgeven aan de familie als je de mount everest gaat klimmen. Of veiligheidsriemen om moet doen, een helm dragen.

Zelf krijg ik de nijging om de zender te wisselen als ik bijvoorbeeld zo'n spotje zie.

Het toppunt vond ik wel toen de gemeente ehbo tips gaf en adviseerde om goed te ventileren als men met boterzuur gaat demonstreren.

[wanjakrah]

Dat is een deel van het probleem. De meeste mensen denken het wel al te weten. Internetoplichting verwordt al snel iets tot dat wat een ander overkomt. Tegelijk zit het helemaal niet bij veel mensen in het systeem dat ze, zodra ze een transactie aan moeten gaan, moeten realiseren wie nu eigenlijk contact heeft opgenomen met wie. Ook zijn er nog veel organisaties die op willekeurige momenten mails met ideal-links er in rond sturen, bijvoorbeeld voor de tandartsrekening, of de ouderbijdrage van school.

Mensen beseffen zich niet dat oplichters steeds professioneler worden in het oplichten. Ook kunnen we verwachten dat er in de toekomst meer AI ingezet gaat worden, waarbij bedrijven, maar ook mensen uit de persoonlijke kring steeds beter nagedaan kunnen worden.

Ook worden mensen vaak slachtoffer op een moment dat ze er niet op bedacht zijn, terwijl de gevolgen enorm zijn.

Het is goed om mensen te informeren. Tegelijkertijd moet je oppassen dat je niet alleen de obvious zaken benoemd, want dan denken mensen inderdaad 'het wel te weten'. Ook moeten er meer persoonlijke verhalen gedeeld worden van slachtoffers van oplichting. Dat blijft over het algemeen toch beter hangen.

[Sebritar]

@TijsZonderH een na laatste alinea start met: Er zitt wel -> typefoutje

[MKWS]

Volgens mij is het bijna niet meer te doen om volkomen veilig te zijn op het internet voor veel mensen, het meest haalbare is nog dat je een mate van voorzichtigheid hanteert die boven het gemiddelde uitstijgt. Kwaadwillenden zullen - tenzij ze zeer gericht en met specifieke doeleinden tewerk gaan - voor de makkelijkste doelwitten gaan. Zelf ben ik geen digibeet maar ik ben ook niet een beveiligingsexpert, ik zit wel aardig boven het gemiddelde qua kennis en dus qua voorzorgsmaatregelen en dat houdt me "veilig". Zodra het gemiddelde stijgt en ik groei niet mee, zal ik een groter risico lopen. Dus in dat opzicht is het voor mij, als individu, veiliger wanneer de massa achter blijft lopen. Het idee dat je niet sneller hoeft te zijn dan een luipaard, maar simpelweg sneller dan je groepsgenoten.

Dit is niet iets dat ik toejuich, voor de duidelijkheid.

[Znorkus]

Ik heb mijn vraagtekens bij de validiteit van deze self-report vragenlijst. Meet hij wat hij moet meten? Deze vragenlijst meet geen 'digitale vaardigheden', dat is namelijk gedrag. Wat hij meet zijn attitudes ten opzichte van het eigen gedrag. Precies hetzelfde fenomeen als dat je zou willen meten hoe veilig nederlanders rijden, en je gaat dat proberen te meten door te vragen: "hoe veilig vindt je dat je zelf rijdt?". Het is bekend, mensen overschatten zichzelf gemiddeld genomen, en ook al is tussen voor- en nameting de rijveiligheid enorm verbeterd, de eigen inschatting is een vrij onafhankelijk psychologische fenomeen.

Beter hadden ze als voor- en nameting testjes kunnen doen, zeg maar gelijkend op een soort assessment, waarbij je je proefpersonen in een bepaalde situatie brengt (smsje ontvangen), en vervolgens meet hoe ze reageren. Dan had je gedrag gemeten, datgene wat je wilde beinvloeden.

Er is wel een voormeting geweest, dus er is een 'soort van' over nagedacht, maar dit is eigenlijk waardeloze data. Het is tamelijk onwaarschijnlijk dat er gedurende de loop van de campagne niets is veranderd in het herkennen van malafide signalen op internet. Erg onwaarschijnlijk, campagne of niet.

[Reactie gewijzigd door Znorkus op 18 april 2025 15:31]

[mr_evil08]

Reclame,s zijn veel te soft geworden waardoor ze niet meer aankomen.
Als je vergelijkt met vroeger kwamen de spotjes nog aan, zoals de vliegerspot.
YouTube: Kinderen zijn speels, houd daar rekening mee (Vliegerspot, VVN, 1986)


Ik heb het overheid spotje een keer gezien maar vond het niet aankomen.

[Reactie gewijzigd door mr_evil08 op 20 april 2025 22:28]