Je medewerkers zijn het doelwit van AI. Zijn ze er klaar voor?

Jarenlang volgden trainingen in security awareness een vrij voorspelbaar script: herken de verdachte link, controleer het afzenderadres, klik niet op bijlagen van onbekenden. Die gewoonten zijn nog steeds belangrijk, maar ze zijn bedacht voor een dreigingslandschap dat inmiddels is veranderd.

AI heeft een aantal praktische drempels weggenomen die social engineering vroeger herkenbaar maakten. Slechte grammatica en onhandige formuleringen, lange tijd de betrouwbaarste aanwijzing voor phishing, zijn aan het verdwijnen. Generatieve tools kunnen nu in elke taal vloeiende berichten genereren die inspelen op de context, met verwijzingen naar echte collega’s, echte projecten en echte interne terminologie, gescrapet van LinkedIn-profielen, persberichten of gelekte data. Het klonen van stemmen is inmiddels zo ver gevorderd dat een korte openbare opname (een lezing op een congres, een optreden in een podcast, een toelichting op de kwartaalcijfers) genoeg is om een overtuigend telefoongesprek in scène te zetten. Combineer dat met deepfakevideo, en het klassieke advies “verifieer door terug te bellen” begint een deel van zijn kracht te verliezen, tenzij organisaties ook opnieuw nadenken over hoe die verificatie verloopt.

Het resultaat is een nieuwe categorie incidenten die technische inbraak combineren met psychologische manipulatie: business email compromise met hulp van AI, autorisatiefraude met synthetische stemmen en sterk gepersonaliseerde spearphishing gericht op finance, HR en directieassistenten. Dat zijn de mensen die daadwerkelijk geld of data kunnen verplaatsen. Deze aanvallen laten zelden een technisch alarm afgaan. Ze maken misbruik van vertrouwen, urgentie en gezag dat bekend voorkomt. Geen enkele firewallregel houdt een verzoek tegen dat precies klinkt alsof het van je eigen manager komt.

Juist daarom verdient “de mens als eerste verdedigingslinie” een serieuzere invulling dan een jaarlijkse postercampagne. Eén generieke, gesimuleerde phishingmail in oktober, gevolgd door elf maanden stilte, doet weinig tegen aanvallers die hun aanpak inmiddels op grote schaal personaliseren. Awareness moet worden behandeld als een operationele beheersmaatregel en niet als een formaliteit voor compliance. Net als technische beheersmaatregelen moet awareness worden beoordeeld, getest en aangepast.

Die verwachting wordt ook in Europese regelgeving steeds explicieter. NIS2 benadrukt duidelijk het belang van maatregelen voor het beheer van cybersecurityrisico’s, waaronder awareness en training van medewerkers. Daarnaast legt NIS2, zoals besproken in de nieuwsbrief van vorige maand, de verantwoordelijkheid daarvoor nadrukkelijk bij het management, en niet alleen bij het securityteam. Compliancekaders formaliseren in feite wat securityprofessionals al wisten: technologie kan een groot deel van de aanvallen wegfilteren, maar de uiteindelijke beslissing (klikken, overmaken, goedkeuren) wordt vaak genomen door iemand die onder tijdsdruk staat en het volledige beeld mist.

Voor professionals in cybersecurity en IT verandert dit welke praktische vragen de moeite waard zijn om binnen hun eigen organisatie aan te kaarten:

• Weerspiegelen onze huidige phishingsimulaties de kwaliteit van door AI gegenereerde aanvallen, of testen we nog steeds op de overduidelijke alarmsignalen van gisteren?
• Hebben medewerkers van finance en directieondersteuning een duidelijke, laagdrempelige manier om ongebruikelijke verzoeken om betalingen of toegang te verifiëren, ook als die telefonisch of via video binnenkomen?
• Wordt awarenesstraining behandeld als een doorlopend programma met meetbare resultaten, of als een jaarlijkse exercitie om een vinkje te zetten voor de audit?
• Bij wie ligt de beslissing om de inhoud van trainingen bij te werken wanneer de technieken van aanvallers veranderen?

Niets hiervan vervangt technische beheersmaatregelen: e-mailauthenticatie, endpointdetectie en privileged access management blijven enorm belangrijk. Maar het betekent wel dat de “menselijke laag” nu dezelfde doorlopende aandacht, meting en actualisering nodig heeft die organisaties al aan hun technische stack besteden. Awareness Month is een logisch moment om dat gesprek te beginnen. Het opbouwen van een programma dat in maart, juli of december overeind blijft, is wat het risico daadwerkelijk verkleint.

Het herkennen van een door AI gegenereerde phishingpoging of een verdacht gesproken verzoek gaat niet vanzelf. Het moet worden getraind en worden opgefrist naarmate de technieken van aanvallers zich ontwikkelen. De Security Awareness-training van Mile2 is precies daarop ingericht: medewerkers op elk niveau praktische, actuele herkenningsvaardigheden bijbrengen, in plaats van een eenmalige diavoorstelling.

Voor securityteams die een niveau dieper willen gaan en willen begrijpen hoe deze technieken voor social engineering precies in elkaar zitten, zodat ze realistischere simulaties en verdedigingsmaatregelen kunnen ontwerpen, behandelt het programma Certified Professional Ethical Hacker (C)PEH) van Mile2 de methodiek van social engineering als onderdeel van een bredere set vaardigheden op het gebied van offensive security.

Veel organisaties geven awarenesstraining in de vorm van één ingeplande sessie. Dat is nuttig, maar zelden genoeg om blijvende gewoonten op te bouwen. Via het Europese netwerk van Learning Partners kan awarenesstraining worden gegeven als Virtual Instructor-Led Training in de verschillende Europese tijdzones, waardoor het makkelijker wordt om een terugkerend programma op te zetten in plaats van een eenmalig evenement.

We moedigen organisaties en professionals aan om hun doelen op het gebied van awareness en training te bespreken met hun lokale Mile2 Learning Partner en een gestructureerd leertraject uit te stippelen dat gelijke tred houdt met hoe aanvallen vandaag de dag werkelijk in hun werk gaan.