Een ondertekenverzoek dat echt lijkt: zo ziet u het verschil

Het voorbeeld dat het blog van Zoho Sign geeft, is onaangenaam precies. U krijgt een melding met een ondertekenlink, aangeduid als dringend, die u aanspoort om nu te klikken en te ondertekenen. Het adres leest als sign.zoho, tot u beter kijkt en er sigm.zoho staat. Eén letter. Dat is het hele bedrog, en het werkt omdat het verzoek in alles lijkt op wat u die week al drie keer legitiem hebt gekregen.

Daar zit het ongemakkelijke in dit onderwerp. Elektronische ondertekening is veiliger dan papier en post, en precies daarom gebruikt elk bedrijf ze. Maar het dagelijkse gebruik leert medewerkers iets dat op andere momenten juist wordt afgeleerd: op een link klikken in een bericht dat u niet verwachtte. Wie dat beseft, begrijpt waarom een opleiding over phishing zonder aandacht voor ondertekenstromen de helft van het werk overslaat.

Waaraan u een valse vraag herkent

De bron zet een handvol toetsen op een rij, en ze zijn alle vijf in enkele seconden uit te voeren. Lees de spelling van het adres in de link of op de pagina, letter per letter, want daar zit de truc. Vertrouw op het adres van de afzender en niet op de weergegeven naam, en houd uw muis boven een link voordat u erop klikt. Weet dat een ondertekenlink van Zoho Sign, per bericht of per sms, altijd begint met sign.zoho. En download de toepassingen van Zoho Sign enkel via de officiële winkels: de Mac App Store, de App Store voor iOS, Google Play en de Microsoft Store.

Twee regels verdienen bijzondere aandacht, omdat ze iets uitsluiten in plaats van iets aan te raden. Zoho Sign vraagt nooit om een bestand te downloaden of een alfanumerieke code in te typen om een document te ondertekenen. Wordt dat wel gevraagd, dan hoeft u niets meer te onderzoeken. En deel geen persoonlijke gegevens binnen Zoho Sign tenzij de afzender een van de methodes voor identiteitscontrole van de ondertekenaar heeft ingesteld. Zulke uitsluitingsregels zijn bruikbaarder dan welke waarschuwing ook, want ze vragen geen oordeel van de medewerker.

Wat u in uw eigen omgeving vastzet

Herkennen is de ene helft; de andere helft is dat een geslaagde poging zo weinig mogelijk oplevert. Zoho Sign biedt meervoudige aanmelding, zodat een gestolen wachtwoord alleen niet volstaat om binnen te komen. Daarnaast kunt u versleuteling verplichten, een controlespoor op toegang bijhouden en tijdsaanduiding aanzetten, zodat een ondertekenstroom aantoonbaar blijft. En stel de rechten van beheerders en gebruikers nauwkeurig in: wie minder kan, kan ook minder verkeerd doen wanneer zijn aanmelding in verkeerde handen valt.

Daar hoort in België en Nederland een reden bij die verder gaat dan hygiëne. Ondertekenstromen bevatten doorgaans persoonsgegevens en vaak contractuele voorwaarden, en een inbreuk daarop kan een melding aan de Gegevensbeschermingsautoriteit of de Autoriteit Persoonsgegevens vereisen, met korte termijnen. Een controlespoor en tijdsaanduiding zijn dan geen luxe maar het bewijsmateriaal waarmee u kunt vaststellen wat wel en niet gebeurd is. Wat de toepassing op dat vlak voorziet, leest u op de productpagina van Zoho Sign. Voeg daar bewustmakingssessies voor uw medewerkers aan toe, zoals de bron aanbeveelt; die kosten een uur en werken beter dan een rondgestuurde richtlijn.

Als er toch geklikt is

Dan gaat het om snelheid en niet om schuld. Stop onmiddellijk met het verdachte bericht of de link. Wijzig uw aanmeldgegevens. Zoek daarna verdachte activiteit op uw account door een veiligheidscontrole te laten lopen. Verwittig uw IT-verantwoordelijke, ook wanneer u denkt dat er niets gebeurd is, want die beoordeelt of er meer aan de hand is. En meld het geval als misbruik bij Zoho, zodat het adres kan worden aangepakt. Wie deze vijf stappen op voorhand ophangt in plaats van ze te improviseren, wint de tijd die in zulke gevallen het verschil maakt.

Veelgestelde vragen

Hoe leer ik mijn mensen dit zonder ze bang te maken?

Door regels te geven in plaats van waarschuwingen. Een medewerker die moet beoordelen of een bericht verdacht aanvoelt, krijgt een onmogelijke opdracht; een medewerker die weet dat een ondertekenlink altijd met sign.zoho begint en dat er nooit een bestand gedownload moet worden, heeft een toets die hij in drie seconden uitvoert. Houd het bij twee of drie zulke regels en herhaal ze liever vaak dan uitgebreid. Spreek ook af dat twijfel altijd gratis is: wie belt om te vragen of een vraag echt was, doet precies wat u wil, ook bij de tiende keer.

Is een valse ondertekenvraag zichtbaar voor ons als afzender?

Doorgaans niet, en dat is een belangrijk inzicht. Zulke berichten komen niet uit uw omgeving; ze imiteren ze enkel aan de kant van de ontvanger. Daarom ziet u in uw eigen controlespoor niets staan terwijl uw klant denkt dat hij iets van u ontving. Praktisch betekent dat twee dingen: meld bij uw klanten vooraf hoe een echte vraag van u eruitziet, en wees bereikbaar om het te bevestigen. Bij grotere dossiers kondigen wij een ondertekenvraag telefonisch of in de lopende e-mailuitwisseling aan; dat kost een minuut en haalt het hele probleem weg.

Helpt meervoudige aanmelding wanneer iemand zijn wachtwoord al gaf?

Ja, en dat is precies het nut ervan: het wachtwoord alleen volstaat dan niet om binnen te komen. Het is geen volledige bescherming — een aanvaller die in hetzelfde gesprek ook de tweede stap afdwingt, komt soms verder — maar het verhoogt de kost van een aanval aanzienlijk en vangt de meeste gevallen op. Zet het aan voor alle gebruikers en niet enkel voor beheerders, want de weg naar binnen loopt zelden via de beheerder. Combineer het met nauwkeurige rechten, zodat de schade beperkt blijft tot wat die ene gebruiker mocht.

Moeten wij zo'n geval melden aan de toezichthouder?

Dat hangt af van wat er bereikt werd, en die beoordeling hoort niet bij de medewerker die klikte. Ging het om een poging zonder gevolg, dan is er doorgaans niets te melden; raakte iemand bij persoonsgegevens of documenten, dan kan een melding aan de Gegevensbeschermingsautoriteit of de Autoriteit Persoonsgegevens aan de orde zijn, en de termijnen daarvoor zijn kort. Leg daarom nu al vast wie die afweging maakt en met welke gegevens. Een controlespoor, tijdsaanduiding en een overzicht van de rechten per gebruiker zijn precies wat u op dat moment nodig hebt.

Waar beginnen wij deze week?

Met drie dingen die geen project vragen. Zet meervoudige aanmelding aan voor alle gebruikers van uw ondertekentoepassing. Stuur uw team één kort bericht met de twee uitsluitingsregels: een echte link begint met sign.zoho, en er wordt nooit een bestand of een code gevraagd. En hang de vijf stappen op voor het geval er toch geklikt wordt, met de naam van wie verwittigd moet worden. Dat is een halve dag werk en het haalt het grootste deel van het risico weg; de rest, zoals rechten en controlesporen, bekijkt u daarna rustig.