Soms is het makkelijk om te herkennen wanneer een e-mail eigenlijk spam is. Zeker wanneer het bericht in een vreemde taal is opgesteld of een advertentie bevat voor producten die vaak in spam voorkomen zoals medicijnen, (namaak)horloges of betalende toegang voor websites met inhoud voor volwassenen.
Sommige spammers en internetcriminelen hebben helaas een heel geraffineerde techniek ontwikkeld waarbij ze zich voordoen als één of ander bekend bedrijf: een bekende website, een bank, een kredietkaartinstelling, noem maar op. 'Vermomd' als dat bedrijf proberen ze je te overtuigen om naar een website te gaan waar je je persoonlijke gegevens moet intikken. Die website is gemaakt in de stijl van het bedrijf onder wiens naam de boosdoeners zich – meestal via e-mail – aan je voorstellen.
In het jargon wordt die praktijk phishing genoemd. Oplichters die gebruik maken van phishing-technieken willen je onder valse voorwendselen gegevens doen prijsgeven die ze later kunnen gebruiken om jou of anderen op te lichten. Ze doen dit vaak via spam die er erg officieel uitziet en je dikwijls adviseren om heel snel te reageren.
We geven je enkele voorbeelden:
1. Een typisch voorbeeld van phishing is een e-mail van een bank of een financiële instelling (bijvoorbeeld een verstrekker van kredietkaarten, een aanbieder van betalingstechnologie via het internet,…) die zegt dat er iets mis is met je gegevens. Als de zogezegde afzender dan – toevallig – ook nog met jouw echte bank overeen komt, dan is de verleiding natuurlijk groot om dat te geloven. Je wordt dan naar een valse website gestuurd waar je netjes je gegevens opnieuw kunt intikken, met alle gevolgen van dien.
2. Soms is phishing erop gericht om je 'identiteit' te stelen.
Een vaak voorkomend voorbeeld is een e-mail van een bekende e-mail aanbieder die je vraagt om je paswoord en gebruikersnaam te bevestigen. Ook de naam van bekende websites die met geregistreerde gebruikers werken, zoals veilingsites, wordt vaak gebruikt in gelijkaardige scenario's.
De phishers proberen vervolgens met behulp van jouw gebruikersnaam en wachtwoord andere onschuldige gebruikers op te lichten.
Spoofing
Eén van de redenen waarom het, zeker voor beginnende internetgebruikers, moeilijk is om phishing te herkennen, is de zogeheten spoofing-techniek die door veel phishers wordt gebruikt. Spoofing, in dit verband ook URL-spoofing genoemd, komt er eenvoudig gezegd op neer dat het internetadres (de URL) van de webpagina waar ze je heen sturen, eruit ziet als het echte internetadres van het bedrijf onder wiens naam ze je proberen op te lichten.
Een andere vorm van spoofing heeft betrekking op het adres van de afzender van een e-mail: de phishers (net als spammers, trouwens) sturen de mail vanuit een valse, soms beter bekende, afzendernaam en dus niet van hun echte adres.
Social engineering
De door phishers gebruikte technieken worden door de beveiligingsspecialisten vaak geklasseerd onder de noemer 'social engineering'. Ze bedoelen daarmee dat de phishers door 'sociale' manipulatie vertrouwelijke gegevens, zoals wachtwoorden, proberen los te weken.
Social engineering komt trouwens niet alleen op het internet voor. Er zijn gevallen bekend waarbij mensen in de 'echte wereld' zomaar hun wachtwoord of vertrouwelijke gegevens prijsgaven aan iemand die er op een heel gewiekste manier naar 'viste'. Meteen weet je ook waar de term phishing vandaan komt: het is een combinatie van het woordje 'fishing' (vissen naar vertrouwelijke informatie) met de beginletters van de woorden 'password harvesting' (letterlijk 'het oogsten van paswoorden').
Phishing via internet maakt vaak deel uit van een ruimere inspanning om je 'identiteit' te stelen, waarbij ook andere technieken zoals diefstal worden gebruikt. Hoe de oplichters daarbij te werk gaan en wat je er aan kunt doen lees je in de fiche 'Veilig omgaan met je identiteit: geef oplichters geen kans'.
Pharming
Een techniek die gelukkig nog vrij beperkt voorkomt, houdt in dat de oplichters de website van een grote bank of instelling zelf kraken en de bezoekers urenlang omleiden naar een andere website. Daarop draait dan meestal een pagina die als twee druppels water lijkt op de originele website. Wanneer je je identiteitsgegevens en je wachtwoord eenmaal hebt ingevoerd, gaan de oplichters daarmee razendsnel aan de haal. Hoewel je soms aan kleine details het verschil kunt zien, bijvoorbeeld het adres dat in je browser verschijnt, is deze techniek zeer gevaarlijk.