Overzicht
Actueel
10 July 2018
Phishing: 5 tips om fake accounts op LinkedIn te spotten

De eerste maanden van 2018 staan naast de grootschalige voorbereiding op de invoering van de Europese privacywetgeving (AVG) ook vooral bekend om een aantal privacyschandalen, met als meest in de media uitgemeten voorbeeld het Cambridge Analytica-verhaal van Facebook. Maar dat is niet het enige privacystatistiekje wat ’s werelds grootste sociale medium plaagt. De naam Facebook is namelijk ook opgedoken in de top 3 van meest misbruikte bedrijfsnamen voor phishing. Dat is niet vreemd, want social media is een dankbaar platform voor cybercriminelen.

Wil je meer weten over onze visie of aanpak, of benieuwd naar andere informatie? Neem dan contact op met Arthur Timmerman
Neem contact op
phishing

De voorbeelden zijn talrijk, maar de tactiek is steeds vrijwel hetzelfde: het slachtoffer ontvangt een mailtje dat schijnbaar vanuit Facebook komt en wordt verzocht om het eigen account te verifiëren door op een linkje te klikken. De populariteit van phishing als go-to strategie voor cybercriminelen is dan ook nog altijd niet afgenomen. In 2017 kreeg zo’n driekwart van alle bedrijven met pogingen van phishing te maken, zo blijkt uit cijfers van Wombat Security. Persoonlijke gegevens komen bovendien nog vaak in handen van kwaadwillenden simpelweg omdat we er zelf niet voorzichtig mee omgaan, of te weinig maatregelen nemen om die informatie te beschermen.

Phishing richt zich daarbij allang niet op e-mail alleen. Niet voor niets luidde één van onze 5 tips in de strijd tegen phishing ‘beperk je waakzaamheid niet tot je inbox’. Kwaadaardige URL’s en linkjes die je om de tuin willen leiden zijn net zo goed op websites te vinden en worden steeds vaker ook via social media verspreid. Daar heeft naast het bedrijf van Mark Zuckerberg ook LinkedIn veel last van.

Fake accounts LinkedIn

LinkedIn heeft namelijk last van een wildgroei aan nepaccounts. En hoewel we dat op Facebook en Twitter ook zien, is het iets minder waarschijnlijk dat je daar een fictief persoon volgt of bevriendt. Op LinkedIn kan het vanuit de wens een breder netwerk te bereiken aantrekkelijker – en dus laagdrempeliger – zijn om een connectieverzoek te accepteren. Tevens heeft LinkedIn ‘last’ van een grote mate van schijnveiligheid. Je bent namelijk niet altijd berekend op een ‘catfish’ op dat netwerk.

Daarnaast is het versturen van gevaarlijke linkjes of virussen via een privébericht niet altijd het hoofddoel. Een cybercrimineel kan vanuit de connectie op LinkedIn al veel informatie over je verzamelen, zoals al je andere relaties maar ook je arbeidsverleden, genoten opleidingen en eventuele contactgegevens die je deelt – waardoor je met die informatie weer op andere manieren benaderd kunt worden. Daarom: 5 tips om fake accounts op LinkedIn te spotten.

1. Twijfelachtige profielfoto

Een onbetrouwbare website kun je vaak herkennen aan het slechte beeldmateriaal. Dat geldt ook voor social media-profielen, maar slechts gedeeltelijk. Hoe zit dat?

Op Twitter en in mindere mate op Facebook kom je als gebruiker nog weg met een cartoon, een foto van een huisdier of een leuke spreuk als profielfoto, maar op LinkedIn mag je toch een degelijke portretfoto verwachten, of in ieder geval een afbeelding waar hij of zij representatief op staat. Is dat niet het geval, dan kan dat een signaal zijn dat er iets mis is. Daar staat tegenover dat er juist ook overdreven geslaagde portretjes gebruikt worden, van het type fotomodel. Vertrouw je het niet? Haal de afbeelding dan even door TinEye of Reverse Image Search van Google, dan kun je zo achterhalen waar de foto vandaan komt en of dat plaatje correspondeert met de persoon achter het profiel. Je zal zien dat je in veel gevallen te maken krijgt met stockfotografie en beelden die op tal van andere plekken opduiken, onder verschillende namen - of in ieder geval niet dezelfde naam als op het LinkedIn-profiel.

2. Gebrekkige spelling en grammatica

Een sociaal platform bedoeld om je professionele netwerk uit te breiden, je skills te etaleren of tegen je droombaan aan te lopen, is niet bepaald het podium om beroerd taalgebruik te bezigen. Toch is dat precies waar je een vals account vaak aan kunt herkennen. Net als bij phishing e-mails geldt dus: let op spelling, grammatica of rare vertaalfouten, zowel in de uitnodiging als in het profiel zelf.

3. Onwaarschijnlijke omvang van het netwerk

Het valt zelfs voor een doorgewinterde social engineer niet mee om vanuit een fake account een stevig netwerk aan te leggen. Kijk daarom bij twijfel ook even naar het aantal connecties van het profiel dat jou met een uitnodiging benadert: als dat onder de 100 ligt, is er mogelijk iets niet pluis. Hetzelfde geldt voor een (zeer) beperkt aantal gedeelde connecties of een netwerk zonder grote gemene deelnemer (bijvoorbeeld: weinig journalisten terwijl het om een media-account gaat).

4. Check het arbeidsverleden

De omvang van het netwerk kan een clou zijn, maar hetzelfde geldt voor het profiel zelf. Pas daarom dezelfde kritische blik toe op het gehele account. Is het profiel volledig, of is er in ieder geval enigszins geprobeerd om degelijk voor de dag te komen? Fake accounts zijn doorgaans erg generiek, waarbij er zo min mogelijk persoonlijke gegevens worden ingevuld, of waarbij de functieomschrijving niet verder gaat dan 'manager' of 'vertegenwoordiger', doorgaans in Engelse termen.

Ook sluit het arbeidsverleden vaak niet aan bij het soort opleiding, of het niveau van dat onderwijs. En daarnaast zijn functies als 'recruiter' en 'detacheerder' erg populair bij fake accounts. Beroepen waarbij het minder vreemd is om wildvreemde accounts te benaderen. De fraudeur achter het profiel wil je bovendien verleiden om op het connectieverzoek in te gaan. Wie weet heeft hij of zij een leuke baan voor je...? Wees daar alert op, en check opnieuw ook de voorgaande tips. Je mag bij dat soort functies namelijk een professioneel profiel met een stevig netwerk verwachten, of zelfs een betaald LinkedIn-account.

5. Pas op voor beroemdheden

Natuurlijk ben je goed in wat je doet en uiteraard komen er vanuit je eigen netwerk wel eens verzoeken van professionals die je niet persoonlijk kent. Maar hoe groot is de kans dat je een LinkedIn-request krijgt van Oprah Winfrey, Mark Zuckerberg, Elon Musk of Richard Branson? Precies...

Dat geldt overigens ook voor iets minder voor de hand liggende ‘celebrities’, zoals de mensen die je binnen jouw vakgebied misschien als persoonlijke held of voorbeeld ziet. Als een social engineer echt iets van je wil, heeft hij wat vooronderzoek gedaan en weet hij precies waar je mogelijk ‘happig’ op reageert.

Tot slot geldt ook bij fake accounts, zowel op LinkedIn als op andere sociale media, dat je gehoor moet geven aan een 'niet pluis'-gevoel; het lijkt allemaal te kloppen, maar tóch zit iets je dwars. Dat gevoel blijkt in de praktijk vaak niet voor niets te zijn.

Awareways Phishing Simulatie

Wist je dat het eenvoudig is om je medewerkers goed voor te bereiden op phishing? De phishing software van Awareways biedt een online platform waarmee diverse aanvallen op een simpele en kosteneffectieve manier binnen een organisatie kunnen worden gesimuleerd. Lees meer op awareways.com/phishing. Daarnaast bieden we een e-learning module over het onderwerp, om medewerkers te leren hoe je (spear) phishing kunt herkennen en hoe je (niet) moet reageren.

Kijk ook eens naar

Praktijkvoorbeelden
Een overzicht van onze praktijkvoorbeelden.
Security Awareness Engine
De spil in jouw security awareness programma.
Nulmeting
Awareness in cijfers het kan echt.