Waarom mkb-bedrijven gehackt worden: zo kiest een aanvaller jouw bedrijf uit

De meeste ondernemers denken bij een cyberaanval aan pech. Aan een virus dat toevallig langskwam, of aan een hacker die willekeurig aan deuren rammelt. Waarom mkb-bedrijven gehackt worden, is zelden een kwestie van toeval: er gaat een selectie aan vooraf. Iemand heeft gekeken naar je bedrijf, ingeschat wat het oplevert en besloten dat de moeite loont.

Dit artikel gaat over die selectie. Niet over hoe een aanval technisch verloopt — dat lees je in de vijf fasen van een ransomware-aanval — maar over de weken en de keuzes ervoor. Waarom juist een bedrijf van jouw omvang. Waar de informatie vandaan komt. En wat het een aanvaller kost, want dat bedrag verklaart een groot deel van zijn gedrag.

Het beeld hieronder is samengesteld uit wat opsporingsdiensten en onderzoekers over dit soort operaties beschrijven. De bedragen zijn indicaties, geen wetten. De denkwijze klopt wel.

Dat maakt de vraag waarom mkb-bedrijven gehackt worden een stuk minder mysterieus. Cyberaanvallen beginnen zelden met een hacker die iets tegen jou persoonlijk heeft; ze beginnen met een doelwit dat kwetsbaar en makkelijk te bereiken is. Of het daarna uitloopt op phishing, ransomware of stilletjes meelezen in een mailbox, hangt af van wat er onderweg wordt aangetroffen.

Waarom mkb-bedrijven van 10 tot 50 man de zoete zone zijn

Cybercriminelen die hier hun geld mee verdienen, werken met volume. Een lijst prospects, een aantal pogingen per maand, en een voorkeur voor een bepaald formaat bedrijf. Dat formaat ligt grofweg tussen de tien en vijftig medewerkers, en daar is een nuchtere reden voor.

Een groot bedrijf heeft een securityteam, een contract met een incidentresponspartij en juristen. De kans op slagen is kleiner en de nasleep duurder. Een eenmanszaak heeft te weinig te verliezen om het losgeld interessant te maken. Daartussenin zit het bedrijf dat wel loonadministratie, klantgegevens, projectdossiers en leveranciersrelaties heeft, maar geen eigen beveiligingsafdeling. De opbrengst per gewerkt uur is daar het hoogst.

Er is nog een signaal dat zwaar meeweegt: dat er bij jou nooit iets is gebeurd. Dat betekent meestal dat wachtwoorden al jaren hetzelfde zijn, dat niemand getraind is om iets vreemds te herkennen en dat er geen aanleiding is geweest om iets te veranderen. Een schoon verleden leest als een open deur.

Wat er publiek over je bedrijf te vinden is

Het verkenningswerk kost geen geld en weinig tijd. Een uurtje met een browser levert al een bruikbaar organogram op.

Het handelsregister geeft de rechtsvorm, de bestuurders en het vestigingsadres. Aanbestedings- en gunningsinformatie laat zien welke opdrachten je binnenhaalde en voor welk bedrag. LinkedIn levert de namen en functies van je mensen, vaak met een profieltekst waarin precies staat wat iemand doet: “verantwoordelijk voor crediteuren, salarisadministratie en inkoopfacturen”. Je vacatureteksten verklappen welke software je gebruikt. Een “even voorstellen”-bericht op je socialmediakanaal geeft voornamen en gezichten.

Uit die stukjes rolt precies één naam naar boven: degene die betalingen kan doen en het te druk heeft om elke mail met argwaan te lezen. Dat is zelden de directeur. Het is de kantoormanager, de administratief medewerker of de boekhouder. Iemand die vijftig mails per dag krijgt en van wie het werk erin bestaat om verzoeken af te handelen.

Diezelfde openbare informatie voedt trouwens ook een andere aanpak: nepbenaderingen via LinkedIn richten zich vaak op precies dezelfde profielen.

Inloggegevens kosten ongeveer een tientje

Wachtwoorden die ooit ergens zijn buitgemaakt, worden per pakket verhandeld. Vaak komen ze van besmette privécomputers waarop iemand jaren geleden malware opliep, en waarop de browser netjes alle wachtwoorden had onthouden. Zo’n pakket kost een paar tientjes en is doorzoekbaar op bedrijfsdomein.

De waarde zit niet in het wachtwoord zelf, maar in het patroon. Een wachtwoord dat opduikt bij een oude webshop is meestal in licht gewijzigde vorm ook in gebruik bij een zakelijk account. De naam van een huisdier, een jaartal, een uitroepteken. Zo’n reeks kraak je niet, die herken je.

Dit is meteen de goedkoopste plek om het te laten stranden. Een wachtwoordmanager zorgt dat elk account een eigen, willekeurig wachtwoord heeft, waardoor een gelekt privéwachtwoord niets zegt over je zakelijke omgeving. Entra kan daarnaast bekende en veelgebruikte wachtwoorden weigeren. Kosten: bijna niets.

Waarom MFA de selectie niet altijd stopt

Tweestapsverificatie haalt het gros van de kansloze pogingen eruit, en dat is precies waarom het erop hoort te staan. Maar hoe je het hebt ingericht, bepaalt of het ook tegen een gerichte poging standhoudt.

Simpel doorpushen tot iemand op “goedkeuren” drukt werkt nauwelijks meer, omdat je tegenwoordig een getal van je scherm moet overtypen. Wat wél werkt is een nagemaakte inlogpagina die alles doorgeeft aan de echte, zodat de aanvaller de sessie overneemt nadat jouw collega netjes zijn tweede stap heeft gedaan. Hoe dat precies werkt en wat je ertegen doet, staat in sessiekaping: waarom MFA niet altijd genoeg is. De korte versie: passkeys en de eis dat iemand vanaf een bekend, beheerd apparaat inlogt, halen deze route grotendeels weg.

De dagen die niemand ziet

Na binnenkomst gebeurt er meestal een tijdlang niets zichtbaars. Dat is geen aarzeling, dat is onderzoek. In de mailbox van je financiële medewerker staat namelijk alles wat nodig is om de prijs te bepalen: de polis van je cyberverzekering met het verzekerde bedrag, een bankafschrift of rapportage waaruit je liquiditeit blijkt, en een projectplanning met een deadline die je niet kunt missen.

Op basis daarvan wordt het bedrag gekozen. Niet zo hoog dat je gaat procederen, niet zo laag dat het de moeite niet is. Ergens onder wat je zichtbaar kunt missen. Dat is het onaangename detail van dit soort aanvallen: de vraagprijs is op jouw cijfers afgestemd.

Ook het moment wordt gekozen. Vrijdagmiddag na vieren, of de dag voor een vakantie. De persoon die het zou opmerken is naar huis, degene die kan beslissen is onbereikbaar.

Een praktijkscenario

Een technisch dienstverlener met 22 medewerkers, actief in onderhoudscontracten. Op de website staat een teampagina, op LinkedIn staat bij de kantoormanager dat zij de facturatie en de inkoop doet, en in een vacature van vorig jaar staat welk boekhoudpakket ze gebruiken. In een openbaar gunningsbericht staat de waarde van een gemeentelijke opdracht.

Het wachtwoord van diezelfde kantoormanager stond in een oud lek van een webshop. Zakelijk gebruikte ze een variant erop. De inlogpoging strandde niet op het wachtwoord, maar had een tweede stap nodig — en die kwam er via een nagemaakte aanmeldpagina in een mail over “ongebruikelijke activiteit”.

Wat het bedrijf uiteindelijk redde, was niet de virusscanner. Het was een melding dat er een nieuwe doorstuurregel in een postvak was aangemaakt. Die melding stond al twee jaar aan, maar liep in een mailbox die niemand las. Dat was hier toevallig net anders: sinds een half jaar keek hun IT-partner die meldingen door. Binnen een dag was de sessie ingetrokken, het wachtwoord vervangen en de regel verwijderd. Er is nooit iets versleuteld.

Zo bescherm je je bedrijf hiertegen

Vier dingen halen het grootste deel van deze route weg. Geen ervan is een nieuw product.

1. Unieke wachtwoorden, afgedwongen. Een wachtwoordmanager voor iedereen, en blokkeer bekende en zwakke wachtwoorden in Entra. Hiermee vervalt de waarde van gelekte inloggegevens.

2. Phishingbestendige inlog voor de gevoelige functies. Passkeys of een hardwaresleutel voor financiën, directie en beheerders, aangevuld met de eis dat inloggen alleen vanaf een beheerd apparaat mag.

3. Zet automatisch doorsturen naar buiten uit. Op tenantniveau. Zonder die regel kan niemand ongemerkt weken meelezen — en zonder meelezen kan niemand je losgeld op maat prijzen.

4. Zorg dat iemand de meldingen léést. De grootste winst zit zelden in extra software, maar in iemand die de signalen bekijkt die je huidige licentie al genereert. Een nieuwe doorstuurregel, een inlog vanaf een onbekende locatie, een postvakregel die mail wegmoffelt: dat zijn de momenten waarop je er nog bovenop kunt springen.

Praat daarnaast met je team over wat er in profielen en vacatures staat. Niet als verbod, wel als bewustzijn: hoe specifieker iemand zijn financiële verantwoordelijkheden omschrijft, hoe makkelijker die persoon te vinden is. Dat hoort thuis in het bredere gesprek over de menselijke kant van beveiliging.

Veelgestelde vragen

Zijn mkb-bedrijven echt een doelwit voor hackers?

Ja. Mkb-bedrijven worden gehackt juist vanwege de verhouding tussen opbrengst en weerstand. Er valt genoeg te halen om de moeite waard te zijn, terwijl er meestal geen securityteam tegenover staat. Het gaat zelden om jou persoonlijk; het gaat om het profiel waar je in past.

Hoe weet ik of onze inloggegevens ergens rondzwerven?

Er bestaan gratis diensten waarmee je een e-mailadres of domein kunt controleren tegen bekende lekken. Zinvoller is de vervolgstap: ga ervan uit dat er iets rondzwerft en zorg dat een gelekt wachtwoord nergens anders werkt.

Wat kost zo’n aanval de aanvaller eigenlijk?

Weinig. Een pakket gestolen inloggegevens kost een paar tientjes en het onderzoekswerk gebeurt met een browser. Die lage drempel verklaart waarom er zo breed geprobeerd wordt: de meeste pogingen mogen mislukken.

Wij hebben MFA. Is dat niet genoeg?

Het is een grote stap, maar de uitvoering bepaalt het resultaat. Codes via sms zijn het zwakst, een authenticator met getalherkenning is beter, en passkeys of hardwaresleutels zijn het sterkst omdat ze aan het echte domein gekoppeld zijn en dus niet werken op een nagemaakte pagina.

Wat kost zo’n aanval ons als bedrijf?

Dat verschilt sterk, maar de rekening is zelden alleen het losgeld. Stilstand, herstelwerk, uitleg aan klanten en reputatieschade tellen door nadat de systemen weer draaien. Precies daarom loont het om de goedkope maatregelen hierboven eerst te doen.

Wil je weten hoe zichtbaar en hoe bereikbaar jouw bedrijf is? We kijken mee naar wat er publiek te vinden is, waar je inlog nog te makkelijk na te doen is en welke meldingen je nu al krijgt maar niemand leest. Bel 030-7115791 of mail info@okayict.nl.