Wat kost een succesvolle phishingaanval een kantoor?

De directe schade bestaat uit hersteltijd, mogelijke losgeldbetalingen bij ransomware en verlies van werkuren. Bij advocaten- en notariskantoren komen daar reputatieschade, meldplicht bij de Autoriteit Persoonsgegevens en potentiële tuchtrechtelijke gevolgen bij. Het indirecte verlies aan cliëntvertrouwen is vaak groter dan de technische schade zelf, omdat vertrouwelijkheid de kern van de dienstverlening raakt.

Is een security awareness training verplicht onder de AVG?

De AVG verplicht organisaties passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen. Bewustwording en training van personeel valt onder die organisatorische maatregelen. Er staat geen exacte frequentie in de wet, maar toezichthouders en verzekeraars verwachten aantoonbare inspanning. Zonder trainingsregistratie is het lastig aan te tonen dat het kantoor zorgvuldig heeft gehandeld na een incident.

Hoe herken je een phishingmail die er betrouwbaar uitziet?

Kenmerkende signalen zijn een onverwacht verzoek om in te loggen, tijdsdruk in de toon, een afwijkend afzenderadres bij een bekende naam en een link die naar een ander domein wijst dan de tekst suggereert. Ook betaalinstructies die per mail wijzigen zijn een klassiek signaal. De hoofdvraag blijft: verwacht ik deze mail, en past de inhoud bij het lopende dossier?

Waarom is een security awareness training onmisbaar?

Een security awareness training is onmisbaar omdat virusscanners en firewalls niet ingrijpen zodra een medewerker zelf op een phishinglink klikt en gegevens invult. Voor advocaten- en notariskantoren, die werken met vertrouwelijke dossiers, ligt het grootste risico bij het menselijk handelen achter het toetsenbord.

Security awareness trainingen en phishing campagnes, zoals Xeno die bij hun klanten aanbiedt. Waarom zijn die voor de advocatoren geen nice to have, maar een absolute must? Ja, ik ben nu een paar keer meegeweest naar security awareness training. En waar ik echt verbaasd over ben is dat bij al die contoren dat men zich totaal niet van bewust is wat er met je data of met je werkplek kan gebeuren. Dus ze laten dan voorbeelden zien van, wat gebeurt er nou als je een phishingmail krijgt? Hoe ziet dat eruit? En ja, men kan dus wel sprookelijk op een linkje klikken van zo'n phishingmail. En dan vervolgens komt er gewoon een prachtige internetpagina. En voor je het weet, vul je daar misschien toch gegevens in. En ja, op zo'n moment is het einde zoek. Ik denk ook dat een van de grootste nachtmerries van de klant is, zoals ook de IT-partij die dit doet. Dus het is heel belangrijk dat al die contoren zien van waar moet ik op letten? Als er zo'n mailtje binnenkomt, ziet het er wel betrouwbaar uit, verwacht ik zo'n mail, wat is het dan? Ik vind het ook moeilijk om je te bewapenen tegen dat soort zaken. Kijk, wij regelen van alles achter de schermen als het gaat om beveiliging. We zorgen dat er een virusscanner is geïnstalleerd. We zorgen dat er een firewall is. Als jij gewoon een mail binnenkrijgt met een link... en je klikt er als gebruiker op en je haalt een virus binnen... of geysersoftware, daar kan ik me niet tegen wapenen. Dus het is heel belangrijk dat je men bewust laat zien, joh... wat kan er gebeuren als je op zo'n link klikt en hoe gevaarlijk is dat dan? Want de gevolgen zijn gewoon niet te overzien. Dus ik adviseer ook iedereen, neem zo'n security awareness training. Het is zo belangrijk.

Wat leren juridische medewerkers in zo'n training?

Medewerkers zien echte voorbeelden van phishingmails, herkennen valse inlogpagina's en oefenen met twijfelgevallen: verwacht ik deze mail, klopt de afzender, past de toon bij de context. Bij advocaten- en notariskantoren draait het extra om cliëntgegevens, aktes en betalingsinstructies waar fraudeurs specifiek op mikken. Simulaties met phishingcampagnes maken meetbaar wie doorklikt en waar bijscholing nodig is.

Waar stopt technische beveiliging?

Virusscanner en firewall blokkeren bekende dreigingen, maar niet het moment waarop een gebruiker zelf op een link klikt en inloggegevens invult. Vanaf die klik is het incident menselijk, niet technisch.

Waarom juist juridische kantoren?

Advocaten en notarissen werken met dossiers, derdengeldrekeningen en aktes die aantrekkelijk zijn voor gerichte phishing. Eén foute klik kan leiden tot datalekken, tuchtklachten en verlies van cliëntvertrouwen.

Wat doet een phishingcampagne?

Een gesimuleerde phishingmail wordt naar het hele kantoor gestuurd om te meten wie klikt en wie meldt. De uitkomst bepaalt welke medewerkers extra uitleg krijgen en welke signalen kantoorbreed onder de aandacht moeten.

Als jij een mail binnenkrijgt met een link en je klikt erop, daar kan ik me niet tegen wapenen.

Veelgestelde vragen

Een enkele training beklijft zelden. Gangbaar in de praktijk is een basistraining bij indiensttreding, gevolgd door minimaal één opfrissessie per jaar en tussentijdse phishingsimulaties per kwartaal. Phishingtechnieken veranderen snel, waardoor voorbeelden van vorig jaar niet meer representatief zijn. Herhaling zorgt dat herkenning van verdachte mails een automatische reflex wordt in plaats van kennis die wegzakt.