AI maakt phishing onherkenbaar — wat betekent dat voor uw fabriek?

De phishingmail met "Geachte klant, uw rekening is geblokkeerd" behoort tot het verleden. Die berichten verraadden zichzelf door taalfouten, rommelige opmaak en hun algemene karakter. De vraag is wat er gebeurt wanneer het bericht foutloos Nederlands bevat, verwijst naar uw lopende project, de naam van uw bedrijfsleider noemt en afkomstig lijkt van uw machineleverancier. En wat er gebeurt wanneer daarna een telefoontje volgt, in de stem van die leverancier, dat bevestigt dat de mail van hem is.

Dat is de stand van zaken bij phishing die met behulp van AI wordt opgezet. Voor industriële omgevingen is dat om verschillende redenen een ongunstige ontwikkeling.

Hoe AI phishing transformeert

Met de huidige taalmodellen kost het genereren van een overtuigend, op de persoon toegesneden bericht seconden. De aanvaller voert enkele gegevens in, zoals de naam van het bedrijf, de sector en de naam van een medewerker, en krijgt een geloofwaardig bericht terug, in elke gewenste taal en met de passende toon.

Het gaat echter verder dan tekst. Drie technieken veranderen het karakter van phishing wezenlijk.

Gegenereerde tekst. Taalmodellen produceren Nederlands dat zich niet van menselijk schrijfwerk laat onderscheiden. Zij kunnen de schrijfstijl van bestaande correspondentie nabootsen en beheersen het vakjargon van iedere sector. Een bericht dat leest als een mail van uw systeemintegrator, met verwijzingen naar het lopende project en de juiste technische termen, is daarmee een kwestie van minuten.

Stemklonen. Enkele seconden geluidsopname volstaan tegenwoordig om een overtuigende stemkloon te maken. Bronmateriaal is ruim voorhanden: presentaties, video's op sociale media, opnames van webinars. Daarmee kan iemand uw bedrijfsleider bellen namens een bekende leverancier, in diens eigen stem.

Gemanipuleerde video. Deze techniek is minder gangbaar, maar wordt bij gerichte aanvallen wel ingezet. Een gesprek waarin een leidinggevende via beeldverbinding een betaling of wijziging bevestigt, terwijl het beeld is vervaardigd. De drempel om dit toe te passen daalt jaarlijks.

Waarom OT-operators extra kwetsbaar zijn

Bewustwordingsprogramma's richten zich in de meeste organisaties op kantoormedewerkers: de IT-afdeling, de financiële administratie en het management krijgen de simulaties en de trainingen. Operators, procesengineers en onderhoudstechnici vallen daar doorgaans buiten, terwijl juist zij toegang hebben tot wat een aanvaller wil bereiken.

Vier factoren maken deze groep extra kwetsbaar:

• Minder bewustwordingstraining. In de organisaties waar wij assessments uitvoeren, is bewustwording vrijwel altijd ingericht op de kantooromgeving. OT-personeel wordt zelden meegenomen in phishingsimulaties, en de voorbeelden die in de training voorkomen sluiten niet aan bij hun dagelijkse werk.
• Een cultuur die op vertrouwen draait. Op een productievloer is onderling vertrouwen een voorwaarde om te kunnen werken. Operators varen op instructies van hun leidinggevende, op berichten van leveranciers en op procedures die zij kennen. Die houding maakt het lastiger om een schijnbaar legitiem verzoek te wantrouwen, en dat is precies waar deze aanvallen op mikken.
• Rechtstreekse gevolgen voor het proces. Klikt een kantoormedewerker op een link, dan raakt mogelijk een laptop besmet. Wordt een operator bewogen tot een configuratiewijziging of het delen van toegangsgegevens, dan kan dat het fysieke proces raken: stilstand, kwaliteitsverlies of een onveilige situatie.
• Minder beschermde werkplekken. OT-werkstations beschikken doorgaans over minder beveiligingsvoorzieningen dan systemen in de kantooromgeving. Geavanceerde e-mailfiltering ontbreekt, endpointdetectie is niet aanwezig en antivirus is soms verouderd. Een bericht dat in de kantooromgeving zou zijn tegengehouden, komt hier wel aan.

Concrete aanvalsscenario's voor de industrie

Drie scenario's maken duidelijk hoe dit in een industriële omgeving uitpakt. Zij zijn samengesteld uit patronen die in dreigingsrapportages terugkeren.

Scenario 1: de nagebootste leveranciersupdate. Een OT-engineer ontvangt een bericht dat afkomstig lijkt van de fabrikant van zijn besturingen. Er zou een kritieke firmware-update beschikbaar zijn voor precies het type dat in de fabriek draait. Het bericht is verzorgd opgemaakt, noemt het juiste modelnummer en verwijst naar een kwetsbaarheid die daadwerkelijk is gepubliceerd. De bijlage bevat malware die zich vanaf het engineering workstation verder verspreidt.

Scenario 2: de dringende configuratiewijziging. De bedrijfsleider wordt gebeld, in de stem van de accountmanager van de systeemintegrator. Er zou een probleem zijn met de firewallconfiguratie dat onmiddellijk moet worden verholpen. Via chat volgt een script dat het probleem zou oplossen, maar in werkelijkheid een achterdeur opent in de OT-firewall. De urgentie is het instrument: zij ontneemt de ontvanger de tijd om te verifiëren.

Scenario 3: de behulpzame collega. Een onderhoudsmonteur krijgt een bericht van iemand die zich voordoet als collega van een andere vestiging. Diens VPN-account zou niet werken, terwijl er onderhoud aan een lijn moet gebeuren, en of de inloggegevens even gedeeld kunnen worden. In een omgeving waarin collega's elkaar vanzelfsprekend helpen, is de kans reëel dat dit lukt.

Wat traditionele maatregelen niet meer oplossen

Het klassieke advies om te letten op taalfouten, de afzender te controleren en niet op verdachte links te klikken, biedt tegen deze aanvallen weinig houvast. De taal is foutloos, de afzender is overtuigend nagebootst en de links verwijzen naar professioneel nagemaakte websites. De signalen waarop mensen zijn getraind, zijn eenvoudigweg verdwenen.

Dat maakt bewustwording niet zinloos, maar de inhoud ervan moet veranderen. De vraag verschuift van "is dit bericht echt?" naar "heb ik dit verzoek bevestigd via een kanaal dat ik zelf heb gekozen?" Dat is een verificatievraag in plaats van een herkenningsvraag, en die blijft ook werken wanneer het bericht perfect is.

Wat u wel kunt doen

De verdediging berust op een combinatie van techniek, procesafspraken en werkwijze:

• Terugbellen op een bekend nummer. Voor iedere handeling met gevolgen voor OT-systemen die per mail, telefoon of chat wordt gevraagd: bel terug op het nummer uit uw eigen administratie, niet op het nummer dat in het bericht staat. Deze afspraak is eenvoudig en doorbreekt het merendeel van de scenario's hierboven.
• Phishingsimulaties toegesneden op OT. Oefen met situaties uit het dagelijks werk van uw operators: nagebootste firmware-updates, verzoeken van leveranciers, instructies voor een configuratiewijziging.
• Verificatie van firmware-updates. Leg vast dat firmware uitsluitend wordt geïnstalleerd na het ophalen ervan via het officiële portaal van de fabrikant. Nooit via een link of bijlage in een bericht.
• Beperkte kanalen voor kritieke handelingen. Bepaal welke handelingen alleen via vastgestelde, geverifieerde kanalen mogen worden aangevraagd. Een wijziging aan een productiebesturing hoort niet via een chatbericht te beginnen, ongeacht van wie het afkomstig lijkt.
• E-mailauthenticatie. Zorg dat uw eigen domein is beschermd tegen misbruik en dat inkomende berichten op authenticatie worden gecontroleerd. Dat houdt niet alles tegen, maar maakt het nabootsen van uw leveranciers aanzienlijk lastiger.
• Verifiëren als uitgangspunt. Niet vertrouwen tenzij er iets opvalt, maar verifiëren als vaste stap. Dat vergt gewenning, en het is de enige benadering die standhoudt tegen berichten die zijn ontworpen om vertrouwd te worden.

De menselijke firewall versterken

De sterkste verdediging is uiteindelijk niet technisch maar organisatorisch: medewerkers die weten dat zij doelwit zijn, die begrijpen dat een verzoek geverifieerd hoort te worden, en die de druk van urgentie en autoriteit als signaal herkennen in plaats van als reden om te handelen.

Dat vraagt om training die regelmatig, relevant en realistisch is. Geen jaarlijkse e-learning die in twintig minuten wordt doorgeklikt, maar periodieke oefening, bespreking van recente voorbeelden in het team, en een werkwijze waarin het melden van een verdacht bericht wordt gewaardeerd in plaats van afgestraft.

De organisaties waar dit het beste werkt, behandelen beveiliging op dezelfde manier als arbeidsveiligheid: even vanzelfsprekend als het dragen van een helm of het volgen van een vergrendelprocedure. Geen zaak van de IT-afdeling, maar onderdeel van het werk zelf.