DOSSIER SECURITY AWARENESS | DEEPFAKES & SOCIAL ENGINEERING 2.0
Stel je krijgt een telefoontje. De stem klinkt als je directeur en vraagt je dringend iets te regelen. De kans is groot dat je daar niet aan twijfelt. En dat is precies het gewenste resultaat. Deze manipulatietechniek heet social engineering: criminelen proberen je te misleiden om informatie, geld of toegang te krijgen.
Tot nu toe waren valse e-mails en sms-berichten (phishing) al een beproefd middel om medewerkers om de tuin te leiden. Door dat te combineren met deepfakes wordt de boodschap nog overtuigender: een mail of appje kan je nog negeren, maar een stem of gezicht dat je vertrouwt, voelt een stuk moeilijker te weerstaan.
TL;DR
- Deepfakes maken phishing persoonlijker en geloofwaardiger, bijvoorbeeld met nagemaakte stemmen of gezichten.
- AI helpt criminelen doelwitten te profileren en urgentie of hiërarchie slim uit te buiten.
- Bescherming draait om duidelijke procedures, extra verificatie en goed getrainde medewerkers die durven te twijfelen.
- Als het toch misgaat: snel bewijs veiligstellen en incidenten melden bij de juiste instanties.
SECURITY AWARENESS DOSSIER
Om te helpen bij het ontwikkelen van een sterke security-cultuur bundelen we relevante onderwerpen in één dossier. Dit artikel is daar onderdeel van.
Wat is een deepfake precies?
Deepfake is een samentrekking van deep learning en fake. Met AI wordt beeld, video of audio zo bewerkt dat het lijkt alsof iets of iemand echt is. Dat kan een nagemaakte stem zijn, een gemanipuleerd gezicht of zelfs een volledig verzonnen video.
De techniek kan creatieve toepassingen hebben, bijvoorbeeld in films of op sociale media. Maar ze wordt ook misbruikt om mensen en organisaties te misleiden. Denk aan nepvideo’s tijdens verkiezingen om de publieke opinie te beïnvloeden of aan beelden die worden gebruikt voor chantage: betaal, anders verspreiden we dit valse materiaal.
Hoe AI social engineering versterkt
Ook in het bedrijfsleven vergroten deepfakes de geloofwaardigheid van pogingen om vertrouwen te winnen en hiërarchie of urgentie uit te buiten. Voice-phishing, het voorbeeld in de intro – een nagemaakte stem van de directeur die je belt met een dringend verzoek – laat dat al goed zien.
Maar ook klassieke phishing wordt er krachtiger door. Zo kan een deepfake in een videocall met een leverancier of partner al voldoende zijn om een aangepast rekeningnummer of gewijzigde procedure zonder argwaan te accepteren.
Doordat AI enorme hoeveelheden informatie uit sociale media, nieuws en databanken kan filteren en samenvatten kan het zeer effectief doelwitten profileren voor aanvallen. Zoals bijvoorbeeld het automatisch laten schrijven van overtuigende, super-gepersonaliseerde phishingberichten die veel geloofwaardiger zijn dan generieke pogingen.
Hoe je je kunt wapenen
Een waterdichte oplossing is er niet, maar organisaties kunnen zich wel beter voorbereiden. Zo zijn duidelijke regels over wanneer een financiële transactie mag plaatsvinden erg belangrijk. En extra validatiestappen bij onverwachte verzoeken, zoals een tweede check via mail of telefoon. Deze maken fraude al veel lastiger.
Daarnaast helpt het om medewerkers te trainen met realistische scenario’s, zodat ze leren herkennen hoe een deepfake of geraffineerde phishingpoging eruit kan zien. Geef daarbij extra aandacht aan de mensen die toegang hebben tot financiële middelen of beslissingsbevoegdheid. En minstens zo belangrijk is de bedrijfscultuur. Medewerkers moeten zich veilig voelen om bij twijfel een verzoek te kunnen controleren.
Ook de technologie kan hierbij ondersteunen: beveiligingsleveranciers maken zelf gebruik van AI om patronen te herkennen en afwijkingen te registeren, sommigen ontwikkelen ook al detectiesystemen voor deepfakes.
Wat te doen als het misgaat
Gaat het toch mis, dan is snel handelen cruciaal. Verzamel bewijs in de vorm van mails, opnames of screenshots en meld het bij het platform waar de deepfake of phishing plaatsvond. Neem vervolgens contact op met de autoriteiten, zoals de politie of Fraudehelpdesk, zodat zij onderzoek kunnen doen.
Security awareness dossier
De aanval hoeft niet frontaal te komen, het kan ook binnensluipen via je leveranciers. In ons volgende artikel behandelen we supply chain-aanvallen.
IT-SERVICES
IT-PARTNER
IT-CYCLUS
DÉ 5 VRAGEN
WAAROM MEOS
MEOS is een no-nonsense IT-bedrijf met vestigingen in Haarlem (HQ) | Almere | Alkmaar | ⭐⭐⭐⭐
