Vishingsimulatie met AI-rollenspel: een scenario opbouwen

Een vishingsimulatie in AI-rollenspel laat de medewerker praten met een aanvallerspersona, gespeeld door een AI, die de druk stapsgewijs opvoert. Om ze op te bouwen definieert de trainer een persona, een reeks hefbomen, enkele valstrikinformatie en een lijst debriefingcriteria. Hier is de methode, stap voor stap.

Het doel is niet om medewerkers in de val te lokken, maar om hen hardop de zinnen te laten zeggen die een aanval stoppen. Voor het algemene kader, zie onze gids over security awareness training en vishing.

Waarom een rollenspel in plaats van een module?

Een module legt uit wat vishing is. Ze zet de medewerker niet tegenover iemand die aandringt. Vishing speelt zich echter af in de relatie: een vriendelijke stem, een urgentie, een autoriteit die ongeduldig wordt.

Het rollenspel herschept die spanning in een veilige omgeving. De deelnemer praat, de gesprekspartner reageert en de debriefing toont wat er is gezegd. Daarna kan hij opnieuw beginnen.

Stap 1: een echte casus en een beroep kiezen

Vertrek van een meegemaakt incident, een melding of een scenario waar uw securityteam bang voor is. Eén beroep en één verzoek per scenario. Bijvoorbeeld: een adviseur van wie een code wordt gevraagd, een servicedesk die wordt benaderd voor een wachtwoordreset, of een boekhouder aan wie een wijziging van het IBAN wordt aangekondigd.

Hoe dichter de casus bij het dagelijks werk ligt, hoe meer de deelnemer de situatie herkent. Vermijd spectaculaire scenario’s en kies voor banale verzoeken, want die komen door.

Stap 2: de aanvallerspersona schrijven

De persona is een fiche, geen monoloog. Ze beschrijft wie hij beweert te zijn, wat hij wil bereiken en hoe hij praat.

• Getoonde identiteit: “Marc, van de beveiligingsdienst van uw bank”, “Julie, van de IT-ondersteuning”.
• Echt doel: een code uit een sms, een toegang, een overschrijving of informatie over een derde krijgen.
• Toon: eerst hoffelijk, steeds aandringender, nooit karikaturaal.
• Kennis: wat hij al weet (naam van de medewerker, naam van een leverancier) en wat hij niet weet.

Een geloofwaardige persona is beter dan een agressieve. Echte aanvallers blijven vriendelijk zolang ze krijgen wat ze willen.

Stap 3: oplopende hefbomen programmeren

Het scenario is nuttiger wanneer de druk stapsgewijs toeneemt, zoals in een echt telefoontje. Elke stap activeert een psychologische hefboom: urgentie, autoriteit, schuldgevoel, wederkerigheid, het kleine verzoek, isolatie. Ons artikel over de hefbomen van social engineering beschrijft ze uitvoerig.

Voorbeeld van een escalatie voor een valse bankmedewerker:

1. Vertrouwen winnen: “Goedendag, ik bel u over een ongewone transactie op uw rekening.”
2. Urgentie: “Er moet binnen tien minuten gehandeld worden, anders vertrekt de overschrijving.”
3. Autoriteit: “Ik ben de verantwoordelijke van de fraudecel, hier is mijn personeelsnummer.”
4. Het kleine verzoek: “Ik heb alleen de code nodig die u gaat ontvangen, niets anders.”
5. Schuldgevoel: “Als u weigert, bent u verantwoordelijk voor het verlies.”

De persona gaat pas naar de volgende stap als de deelnemer niet heeft geweigerd. Als hij correct controleert, verandert de persona van tactiek of geeft hij het op.

Stap 4: valstrikinformatie zaaien

Valstrikinformatie is een detail dat alarm moet slaan. De trainer plaatst er drie of vier in het scenario, zonder ze aan te wijzen.

• Een dossiernummer dat niet bestaat of nergens op slaat.
• Een correcte voornaam van een collega, maar een onjuiste naam van de dienst.
• Een terugbelnummer dat de beller opgeeft en dat verschilt van het officiële nummer.
• Een verzoek om een eenmalige code, voorgesteld als “een eenvoudige formaliteit”.

De deelnemer moet ze opmerken en benutten: het dossiernummer vragen, vergelijken, voorstellen om terug te bellen. Die details dienen daarna als basis voor de debriefing. Voor de lijst met vragen die iets bewijzen, zie hoe je de identiteit van een beller controleert.

Stap 5: waarneembare debriefingcriteria bepalen

Een bruikbaar criterium controleer je in de transcriptie: het is waar of onwaar, zonder interpretatie. De debriefing steunt op formuleringen als:

• “Heeft om een dossiernummer gevraagd.”
• “Heeft voorgesteld terug te bellen via het officiële nummer.”
• “Heeft geen enkele code gegeven.”
• “Heeft geen persoonlijke informatie bevestigd voordat hij de beller had gecontroleerd.”
• “Heeft de opgegeven naam, dienst en het nummer genoteerd.”
• “Heeft het telefoontje aan het einde van het gesprek aan de juiste persoon gemeld.”

Met Face Up schrijft de trainer deze criteria zelf in zijn scenario, geholpen door een ontwerpassistent. Na de sessie krijgt de deelnemer een debriefing: bereikte of niet-bereikte doelen, sterke punten, verbeterpunten, een actieplan en citaten van wat hij heeft gezegd. Hij kan opnieuw spelen.

Stap 6: de door de trainer geleide terugkoppeling voorzien

Een echt telefoontje stopt niet bij het ophangen. Er moet verslag van worden uitgebracht: wie belde, wat er gevraagd werd, wat er gezegd werd. De terugkoppeling is dus een volwaardige oefening, die de trainer na de sessie leidt, in kleine groep of in duo.

Elke deelnemer vertelt zijn telefoontje alsof hij het aan het securityteam meldt: opgegeven naam, dienst, nummer, verzoeken, herkende hefbomen, wat hij gaf of weigerde. De trainer gaat verder met het rooster voor het melden van een beveiligingsincident en corrigeert wat is vergeten.

Deze oefening is een opleidingsactiviteit, geen functie van de tool. Ze maakt van de beleefde ervaring een meldgewoonte, wat vaak de zwakste schakel is.

Veelgemaakte fouten om te vermijden

• Een te agressieve persona. De deelnemer verdedigt zich in plaats van te controleren, en het scenario lijkt niet meer op een echt telefoontje.
• Te veel valstrikken. Boven vier stukken valstrikinformatie wordt de debriefing onleesbaar.
• Vage criteria. “Was voorzichtig” valt niet te controleren. “Heeft voorgesteld terug te bellen” wel.
• Eenmalige oefening. Een reflex verankert zich door herhaling. Voorzie meerdere scenario’s, gespreid over het jaar.
• Een impliciete sanctie. Geef aan dat de oefening niet meetelt voor de individuele loopbaanbeoordeling.

Voorbeeld: een fragment van een goed antwoord op een valse beveiligingsdienst

Stel je een telefoontje naar een adviseur voor. De persona stelt zich voor als “Marc, van de fraudecel” en vraagt om een code uit een sms om “een frauduleuze overschrijving te annuleren”. Dit kan een deelnemer zeggen die de stappen doorstaat:

“Ik geef nooit een code door per telefoon, wat de reden ook is. Geef me uw naam, uw dienst en het dossiernummer. Ik hang op en bel u terug op het officiële nummer van de dienst.”

Dit antwoord verantwoordt zich niet, beschuldigt niet en laat geen houvast voor de volgende hefboom. Het bevat drie waarneembare criteria: vraag om een dossiernummer, voorstel om terug te bellen, geen enkele code gegeven. Dat is precies wat de debriefing moet kunnen citeren.

Als de deelnemer bij de stap van het schuldgevoel zwicht, kan de debriefing zijn zin citeren en een alternatief voorstellen. Het verschil tussen wat hij zei en wat hij had kunnen zeggen, is de kern van het leren. Om een weigering vol te houden wanneer de beller aandringt, zie de zinnen om onder druk nee te zeggen aan de telefoon.

Een rooster om uw scenario na te lezen voor u het aanbiedt

Voor u de oefening lanceert, toetst u uw scenario aan deze vragen. Op elke vraag moet het antwoord “ja” zijn.

1. Heeft de persona één duidelijk doel, dat u in één zin kunt beschrijven?
2. Lopen de hefbomen stapsgewijs op, met een uitweg bij elke stap als de deelnemer controleert?
3. Zijn er drie of vier stukken valstrikinformatie aanwezig, zonder ze aan te wijzen?
4. Is elk debriefingcriterium in de transcriptie te controleren, zonder interpretatie?
5. Komt de situatie overeen met een telefoontje dat dit beroep echt ontvangt?
6. Is de door de trainer geleide terugkoppeling voorzien, met het meldrooster?

Laat het scenario door een collega testen voor u het aan het team aanbiedt. Een proefronde onthult snel een te voor de hand liggende valstrik of een dubbelzinnig criterium. Pas aan, zet het in, en herzie het scenario wanneer een nieuwe werkwijze in de meldingen opduikt.

Veelgestelde vragen

Moet ik medewerkers vooraf zeggen dat ze met een AI praten?

Ja. De oefening wordt aangekondigd, omkaderd en nabesproken. Het gaat niet om een verrassingstelefoontje op hun toestel, maar om een oefensituatie waarvan ze weten dat ze trainen.

Hoe lang duurt een scenario?

Enkele minuten volstaan voor een volledig telefoontje, daarna volgen de debriefing en eventueel een tweede poging. Korte en frequente scenario’s zijn beter dan één lange jaarlijkse sessie.

Hoe meet ik de vooruitgang?

Vergelijk de bereikte criteria van de ene sessie met de andere, bijvoorbeeld het aandeel medewerkers dat voorstelt terug te bellen. Ons artikel over het meten van de doeltreffendheid van een bewustmakingstraject stelt indicatoren voor.

Wat is het verband met phishingcampagnes?

Ze vullen elkaar aan: de campagne meet de klik, het rollenspel traint het gesprek. Zie de grenzen van phishingsimulatie tegenover de stem.

Wilt u uw eerste vishingscenario opbouwen met uw eigen casussen? Boek een demo van Face Up.