Social engineering bij de servicedesk: reset van wachtwoord of MFA

Social engineering gericht op de servicedesk komt erop neer dat een medewerker wordt overtuigd om een wachtwoord of een tweede factor te resetten voor iemand die niet de accounthouder is. De remedie is één regel: geen reset zonder identiteitscontrole via een kanaal dat de beller niet in handen heeft.

Dit artikel beschrijft een typisch gesprek en legt uit waarom de helpdesk een geliefd doelwit is. Het werkt de verificatieprocedure uit, met de zinnen die u kunt gebruiken.

Waarom is de servicedesk een geliefd doelwit?

Een servicedesk is er om snel te helpen. De kwaliteitsindicator is vaak de oplostijd, en de cultuur is die van dienstverlening. Precies dat buit een aanvaller uit.

Het resetten van een wachtwoord of tweede factor is bovendien een van de weinige handelingen die rechtstreeks toegang geven tot een account. In plaats van een technische verdediging te doorbreken, vraagt de aanvaller beleefd aan een persoon om die te omzeilen.

De medewerker krijgt per dag tientallen verzoeken van collega's met haast, soms buiten hun kantoor. Een dringend telefoontje van een ‘gebruiker’ die zijn telefoon kwijt is, lijkt alledaags. De aanvaller rekent op dat alledaagse.

Hoe ziet een social-engineeringgesprek met de helpdesk eruit?

Stel: een telefoontje aan het eind van de ochtend. De beller stelt zich voor als salesmanager op reis. Hij is zijn telefoon kwijt, heeft dus zijn tweede factor niet meer, en moet vóór de middag een offerte versturen.

Het scenario volgt vaak dezelfde stappen:

1. De geloofwaardige aanleiding: een verloren telefoon, een reis, een presentatie die op het punt staat te beginnen.
2. Informatie die al bekend is: naam, functie, manager, de naam van een project, gevonden op professionele netwerken of op de website van het bedrijf.
3. Urgentie: ‘Mijn klant zit te wachten, ik kan hier niet blijven hangen.’
4. Druk op de persoon: ergernis, vleierij (‘u bent de enige die mij kan helpen’) of een verwijzing naar een leidinggevende.
5. Een verzoek dat klein lijkt: ‘Reset gewoon mijn wachtwoord, de rest regel ik zelf.’

Elke stap is een hefboom die wordt beschreven in het artikel over de psychologische hefbomen van social engineering. Geen enkele is technisch: alles speelt zich af in het gesprek.

Waarom volstaan de gebruikelijke verificatievragen niet?

Veel servicedesks controleren de identiteit met vragen: geboortedatum, personeelsnummer, naam van de manager, adres van het kantoor. Die gegevens zijn vaak openbaar of makkelijk te vinden, of elders al uitgelekt.

Een vraag waarvan het antwoord online staat, bewijst niets. Ze geeft de medewerker alleen het gevoel dat hij heeft gecontroleerd. En dat gevoel is precies wat de aanvaller zoekt.

Het onderwerp komt uitgebreid aan bod in het artikel over vragen om de identiteit van een beller te controleren. Voor een servicedesk is de conclusie duidelijk: de verificatie moet berusten op iets wat de beller niet kan raden en niet zelf kan verkrijgen.

Welke procedure volgt u voordat u iets reset?

Een goede procedure is opgeschreven, kort, en hangt niet af van het oordeel van de medewerker op dat moment. Hier is een basis die elke organisatie aan haar eigen context aanpast.

1. Tijdens het gesprek niets doen. Het verzoek wordt genoteerd, niet uitgevoerd.
2. Terugbellen via een onafhankelijk kanaal: het nummer uit het interne telefoonboek, niet dat van de beller. Zie de terugbelprocedure.
3. Een tweede bewijsmiddel gebruiken: een link naar het al geregistreerde zakelijke e-mailadres, of een bevestiging door de manager via zijn gebruikelijke kanaal.
4. Fysieke aanwezigheid of een videogesprek met identiteitsbewijs eisen voor gevoelige accounts: directie, financiën, beheerders.
5. Het verzoek vastleggen: tijdstip, nummer, opgegeven naam, resultaat van de verificatie.

Bij het resetten van een tweede factor moet het bewijsniveau minstens zo hoog zijn als bij een wachtwoord. Een aanvaller die beide krijgt, beheerst het hele account.

Welke zinnen kan de medewerker zeggen zonder iemand te kwetsen?

De medewerker hoeft zich niet te verantwoorden. Hij past een regel toe die voor iedereen geldt, ook voor de directie. Zeggen dat de regel voor iedereen geldt, vermindert de wrijving.

• ‘Voor uw veiligheid reset ik niets per telefoon. Ik bel u terug op uw geregistreerde lijn.’
• ‘Ik stuur u een link naar uw gebruikelijke zakelijke e-mailadres.’
• ‘De regel is voor iedereen hetzelfde, ook voor de directie.’
• ‘Ik begrijp dat het dringend is. Ik kan geen uitzondering maken.’
• ‘Ik geef uw verzoek door aan mijn leidinggevende. U krijgt snel antwoord.’

Wordt de beller agressief of beroept hij zich op een leidinggevende, dan verandert het antwoord niet. Om vol te houden tegenover aandringen is de methode om onder druk nee te zeggen woord voor woord toepasbaar.

Welke signalen moeten de medewerker alert maken?

Geen enkel signaal op zich bewijst fraude. Het gaat om de optelsom, en vooral om het verschil met wat u van een echte gebruiker verwacht.

• Urgentie gekoppeld aan een specifieke gebeurtenis: reis, klant, presentatie, inspectie.
• Een onderdrukt of buitenlands nummer, of een nummer dat afwijkt van het telefoonboek.
• Tegenzin om teruggebeld te worden: ‘Ik heb geen bereik meer, doe het nu.’
• Het verzoek om wachtwoord en tweede factor in hetzelfde gesprek te resetten.
• Aandringen om het nieuwe wachtwoord mondeling te krijgen, of op een ander adres.
• Opvallend precieze kennis van de organisatie, gecombineerd met onwetendheid over details die de gebruiker wel kent.

Het betrouwbaarst blijft het gedragsverschil: een echte collega accepteert dat hij wordt teruggebeld, een aanvaller probeert aan de lijn te blijven.

Wat als er al een reset heeft plaatsgevonden?

Soms komt de twijfel achteraf. De medewerker herinnert zich een vreemde stem of een detail dat niet klopte. Dan moet u meteen handelen, zonder te zoeken wie de schuld heeft.

1. Onmiddellijk de verantwoordelijke voor beveiliging waarschuwen, met vermelding van het tijdstip van de handeling.
2. Openstaande sessies laten intrekken en de toegang opnieuw laten resetten, via een geverifieerde weg.
3. De echte accounthouder via zijn gebruikelijke kanaal contacteren.
4. Het gesprek vastleggen: nummer, opgegeven naam, verzoeken, wat er is gedaan.

Snel zeggen ‘ik denk dat ik me heb vergist’ is een professionele kwaliteit. Een cultuur die die bekentenis bestraft, maakt incidenten langer en duurder.

Hoe kan de directie de servicedesk beschermen?

Een medewerker die een legitiem verzoek weigert, mag daarvoor niet worden gestraft. Als hij de verwijten van een gehaaste manager vreest, zal hij uiteindelijk toegeven. De regel houdt alleen stand als de top hem openlijk steunt.

Concreet betekent dat:

• aan iedereen aankondigen dat elke reset een verificatie vraagt;
• duidelijk maken dat dit geen gebrek aan vertrouwen is;
• de helpdesk het uitdrukkelijke recht geven om zonder motivering te escaleren;
• de oplostijd meten zonder verificaties te bestraffen;
• voorzien in een snelle route voor echte spoedgevallen, die eveneens wordt geverifieerd.

Zonder die steun wordt de procedure omzeild bij de eerste druk van een gehaaste manager.

Hoe train je een supportteam om de procedure vol te houden?

Een procedure die u in een document leest, verdwijnt onder druk. Wat standhoudt, is het gebaar dat mondeling wordt herhaald: niet uitvoeren, de zin zeggen, terugbellen. Die reflex ontstaat door oefening, niet door een module waarin u klikt.

In een rollenspel krijgt de medewerker het telefoontje van een persona die zijn telefoon kwijt is en ongeduldig wordt. Hij moet verifiëren, weigeren en vervolgens escaleren. Een trainer van Face Up schrijft het scenario op basis van de echte gevallen van de support van zijn organisatie. Na de sessie laat de debriefing zien of de verificatie heeft plaatsgevonden en wat er is prijsgegeven. De medewerker kan daarna opnieuw spelen.

Deze aanpak maakt deel uit van de gids voor security awareness en vishing.

Veelgestelde vragen

Moet een reset per telefoon altijd worden vermeden?

Ze is mogelijk als de verificatie berust op een onafhankelijk kanaal en een element dat de beller niet in handen heeft. Zonder dat is een link naar een al geregistreerd adres beter. De keuze hangt af van de gevoeligheid van het account.

Wat als de beller zegt de algemeen directeur te zijn?

Pas dezelfde procedure toe. Zeg: ‘Ik bel u terug op uw gebruikelijke lijn.’ Een echte bestuurder keurt die regel goed. Is het gesprek frauduleus, dan maakt het terugbellen een einde aan de poging.

Moet een mislukte poging worden gemeld?

Ja. Een aanvaller die bij het eerste gesprek faalt, probeert vaak een andere collega. Met een melding kan het team worden gewaarschuwd. Het overzicht van informatie om te noteren helpt om dat in twee minuten te doen.

Wilt u zien hoe een trainer een oefensituatie voor zijn servicedesk opbouwt? Reserveer een demo van Face Up.