Kwart mkb’ers en zzp’ers slachtoffer cybercriminaliteit Ruim één op de vier ondernemers, zowel mkb’ers als zzp’ers, is de afgelopen twee jaar slachtoffer geworden van cybercriminaliteit. Dit blijkt uit onderzoek door het lectoraat Cybersafety van NHL Hogeschool en de Politieacademie. De meeste slachtoffers schakelen de politie niet in, met als gevolg dat het de politie ontbeert aan inzicht en de aard en omvang van cybercriminaliteit. Bijna alle ondernemers (MKB en ZZP) mailen, internetten en maken gebruik van internetbankieren. Daarnaast hebben zij bedrijfswebsites en maken ze gebruik van sociale media. Veel ondernemers zijn zich bewust van de risico’s van internetgebruik en treffen uiteenlopende maatregelen, zoals het installeren van een virusscanner of het opstellen van regels voor veilig internetgedrag, om zichzelf te beschermen tegen cybercrime. Ondanks die maatregelen is 28,5% van het MKB en 27,9% van de zzp’ers slachtoffer van een of meer vormen van cybercriminaliteit. De meest voorkomende cybercriminaliteitvormen waarmee ondernemers worden geconfronteerd zijn malware, phishing, afpersing en defacing. Ondernemers zijn zelfredzaam Cybercriminaliteit leidt niet per definitie tot directe schade: ruim 40% van de slachtoffers van cybercriminaliteit is schadeloos. Tijdverlies, financiële schade en beperkte toegang tot gegevens zijn posten die het meest voorkomen bij ondernemers die wel schade ondervinden. Slachtoffers tonen zich hierin zelfredzaam: zij lossen de problemen, zoals het verwijderen van virussen of het herstellen van gehackte accounts, zelf op en/of treffen (beveiligings) maatregelen om cybercriminaliteit in de toekomst te voorkomen. Van de onderzochte cybercriminaliteitslachtoffers neemt slechts 12,8% van het MKB en 7,2% van de zzp’ers contact op met de politie. Het ontbeert de politie dus aan inzicht in de aard en omvang van cybercriminaliteit. Implicaties voor cybercriminaliteitbestrijding Om cybercriminaliteit te kunnen bestrijden is inzicht in de aard en omvang ervan essentieel. Het stimuleren van politiecontact is dus van belang. Door een gebrek aan capaciteit kan echter niet iedere zaak geprioriteerd worden. Op basis van informatie uit het te intensiveren politiecontact kan de politie zich daarom wellicht beter richten op het boeken van zaakoverstijgende successen. Bovendien is cybercriminaliteitbestrijding, ook volgens ondernemers, niet uitsluitend de verantwoordelijkheid van de politie. Samen met andere (private) partijen kan kennis worden ontwikkeld en verspreid die bijdraagt aan de zelfredzaamheid en het probleemoplossend vermogen van ondernemers. Het combineren van deze strategieën leidt tot selectie aan de politiepoort: het gros van de zaken kan, met het oog op het boeken van zaakoverstijgende successen, worden afgehandeld met een melding of met een advies waarmee de zelfredzaamheid van ondernemers wordt vergroot. De overige zaken vragen om een strafrechtelijke aanpak. Op die selectie van zaken kan de politie zich dan nadrukkelijker toeleggen. Inzicht door onderzoek Van begin 2013 tot en met het voorjaar van 2015 is in opdracht van de Nationale Politie het eerste landelijke slachtofferonderzoek verricht naar cybercriminaliteit onder ondernemers. Hiervoor vulden in totaal 1.203 midden- en kleinbedrijven en 1.622 zzp’ers een online vragenlijst in en werden 36 interviews afgenomen. Inbreuk op uw data: welke technieken zijn er? Digitale risico’s zijn er in alle soorten en maten. De belangrijkste op een rij. Malware Kwaadaardige software die niet door de virusscanner allerlei gegevens van uw computer verzamelt. Phishing Via e-mails (zogenaamd afkomstig van bijvoorbeeld de bank) of telefoon wordt u gevraagd om uw (inlog)gegevens. Of een internetcrimineel die uit uw (bedrijfs)naam een mail naar uw klanten stuurt en hen persoonlijke gegevens afhandig maakt. Defacing Bij defacing veranderen cybercriminelen de inhoud van uw content (bijvoorbeeld op uw website), zonder dat u dit wilt. Zo kan een hackersgroep uw website hacken en alle prijzen die hierop staan wijzigen. herkend wordt en ongemerkt DDoS Een DDoS-aanval heeft als doel een server, dienst of infrastructuur onbeschikbaar te maken door overbelasting van de bandbreedte van de server. Bij een DDoS-aanval wordt een groot aantal verzoeken gelijktijdig verzonden vanaf meerdere punten van het internet. Social engineering Hierbij worden medewerkers misleid om via hen toegang te krijgen tot gevoelige gegevens of het bedrijfsnetwerk. De cybercrimineel probeert met social engineering via de zwakste schakel in de computerbeveiliging, namelijk de mens, toegang te verkrijgen. Spyware Dit is de naam voor computerprogramma’s (of delen daarvan) die informatie vergaren over een computergebruiker en deze doorsturen naar een externe partij. Het doel van spyware is meestal om geld te verdienen. Keyloggers Een keylogger is een programma dat bijhoudt welke toetsen een gebruiker aanslaat. Deze gegevens kunnen vervolgens via het internet of per e-mail onopgemerkt verstuurd worden naar een kwaadwillende. Keyloggers behoren niet tot de standaard programma’s op uw computer, maar worden vaak op slinkse wijze geïnstalleerd door cybercriminelen. Man-in-the-middle Dit is een aanval waarbij informatie tussen twee communicerende partijen onderschept wordt zonder dat beide partijen dat weten. Hierbij bevindt de computer van de aanvaller zich tussen de twee communicerende partijen. De berichten kunnen daarbij gelezen en veranderd worden. Ook kunnen berichten worden verzonden die niet door de andere partij zijn geschreven. Malware kan gemiddeld 200 dagen onontdekt functioneren. In de periode 2008-2012 was 1 op de 20 Nederlanders slachtoffer van identiteitsfraude. 3
4 Online Touch Home