Wat is Social Engineering?
Social engineering is een aanvalstechniek waarbij een aanvaller mensen manipuleert om vertrouwelijke informatie prijs te geven, een beveiligingsmaatregel te omzeilen of een handeling uit te voeren die toegang geeft tot systemen, gegevens of fysieke locaties. In plaats van een technische kwetsbaarheid te misbruiken, richt de aanval zich op menselijk gedrag: vertrouwen, behulpzaamheid, angst, nieuwsgierigheid of haast. Daarom is social engineering vaak de eerste stap van een grotere aanval met malware of ransomware, ook in industriële omgevingen.
Een firewall kan een netwerkpakket tegenhouden, maar geen medewerker die zelf de deur openhoudt of een inlogcode voorleest.
🎯 Wat wil een aanvaller bereiken met social engineering?
Social engineering is zelden het doel op zich. Het is een middel om de eerste toegang te krijgen of om een specifieke handeling uit te lokken:
- Inloggegevens en tokens - wachtwoorden, MFA-codes of sessiecookies om als legitieme gebruiker binnen te komen
- Installatie van software - Malware of tools voor toegang op afstand die de medewerker zelf start
- Omzeilen van maatregelen - toegangscontrole, Zero Trust-beleid of fysieke toegangspoorten doorbreken
- Financiële handelingen - een betaling naar een nieuw rekeningnummer, zoals bij CEO-fraude; de FBI registreerde in 2024 bijna 2,8 miljard dollar schade door business email compromise
- Informatie verzamelen - namen, organisatiestructuur, gebruikte systemen en leveranciers als voorbereiding op een gerichte aanval
In het MITRE ATT&CK for ICS-model valt de techniek onder Initial Access, bijvoorbeeld als T0865 Spearphishing Attachment. Volgens het Verizon Data Breach Investigations Report 2025 speelde het menselijke element mee in ongeveer 60 procent van de onderzochte datalekken.
🧪 Welke vormen van social engineering bestaan er?
| Techniek | Kanaal | Hoe het werkt |
|---|---|---|
| Phishing | E-mail, website | Nepmails of nagemaakte inlogpagina’s die om gegevens vragen of een bijlage laten openen |
| Spear phishing | Persoonlijk gerichte phishing met kennis over het doelwit, zijn rol en zijn collega’s | |
| Smishing | Sms, chatapps | Phishing via een tekstbericht, vaak met een link naar een valse pagina |
| Vishing | Telefoon | Bellen als helpdesk, bank of leverancier om gegevens of een handeling los te krijgen |
| Pretexting | Alle kanalen | Een geloofwaardig verhaal (pretext) opbouwen, bijvoorbeeld als auditor of servicemonteur |
| Business email compromise | Zich voordoen als directeur of leverancier om een betaling om te leiden | |
| Baiting | Fysiek | Een besmette USB-stick laten slingeren op een parkeerplaats of in een kantine |
| Tailgating | Fysiek | Meelopen met een medewerker door een beveiligde deur of slagboom |
| Quid pro quo | Telefoon, e-mail | Een dienst aanbieden, zoals hulp bij een storing, in ruil voor inloggegevens of een actie |
| Deepfake | Video, spraak | Een nagebootste stem of videobeeld van een leidinggevende |
Veel aanvallen combineren technieken. Een aanvaller verzamelt eerst openbare informatie, stuurt daarna een e-mail die met spoofing van een bekende afzender lijkt te komen en belt vervolgens om de urgentie te verhogen.
🧠 Waarom werkt social engineering zo goed?
Aanvallers maken gebruik van psychologische beïnvloedingsprincipes die de psycholoog Robert Cialdini in 1984 beschreef in zijn boek Influence:
| Principe | Voorbeeld in een aanval |
|---|---|
| Autoriteit | ”Met de IT-afdeling, wij moeten uw account nu resetten.” |
| Urgentie en schaarste | ”Als u dit niet voor 16.00 uur regelt, valt de productie stil.” |
| Wederkerigheid | De aanvaller helpt eerst met een klein probleem en vraagt daarna iets terug |
| Sociale bewijskracht | ”Uw collega’s hebben deze update al geïnstalleerd.” |
| Sympathie | Vriendelijk, herkenbaar contact via sociale media of een gedeelde interesse |
| Consistentie | Eerst een kleine vraag, daarna steeds grotere verzoeken |
Daarnaast is social engineering lastig te detecteren met alleen technische middelen. Een geldige login met gestolen gegevens ziet er in de logboeken uit als normaal gebruik. Aanvallers kiezen bovendien mensen in sleutelrollen: systeembeheerders, helpdeskmedewerkers, receptionisten, financiële medewerkers en operators met toegang tot de besturing.
🏭 Hoe raakt social engineering OT-omgevingen?
In industriële besturingssystemen is social engineering vaak de route om van het kantoornetwerk naar de productie te komen. Enkele bekende voorbeelden:
- Oekraïne, december 2015 - bij drie Oekraïense energiedistributiebedrijven viel op 23 december de stroom uit voor ongeveer 225.000 afnemers. De aanvallers kwamen binnen via spear-phishingmails met kwaadaardige Office-bijlagen die BlackEnergy installeerden, verzamelden legitieme inloggegevens en openden daarna via de SCADA-omgeving op afstand de stroomonderbrekers.
- Scattered Spider - deze groep belt helpdesks en medewerkers terwijl zij zich voordoet als IT-personeel. Volgens een advies van CISA uit november 2023 laat de groep MFA resetten naar een eigen toestel, bestookt zij gebruikers met MFA-pushmeldingen en laat zij legitieme remote-accesstools installeren.
- Deepfake-fraude - begin 2024 maakte een medewerker van het ingenieursbureau Arup in Hongkong na een videogesprek met nagebootste collega’s ongeveer 25 miljoen dollar over.
- Fysieke toegang - servicemonteurs en leveranciers lopen in fabrieken vaak vrij rond. Een overtuigende werkkleding en een klembord zijn soms genoeg om bij een PLC of engineeringstation te komen.
Ook bij de aanval op Jaguar Land Rover in 2025 noemden veel beveiligingsbedrijven een telefonische aanval op de helpdesk, al sprak de toenmalige CISO van JLR dat tegen. Bij Colonial Pipeline ging het juist om een uitgelekt wachtwoord zonder MFA: precies het soort inloggegevens dat via phishing wordt buitgemaakt.
🛡️ Hoe beschermt u uw organisatie tegen social engineering?
Effectieve verdediging combineert mensen, processen en techniek volgens het principe van defense in depth:
- Bewustwording en training - geef security awareness-training per rol, met realistische phishingsimulaties en aandacht voor telefoon, sms en fysieke toegang. Beloon melden in plaats van fouten te bestraffen.
- Verificatieprocedures - controleer verzoeken over wachtwoorden, MFA-resets, rekeningnummers en toegang altijd via een tweede kanaal: terugbellen naar een bekend nummer, niet naar het nummer uit het bericht.
- Phishingbestendige MFA - gebruik MFA op basis van FIDO2/WebAuthn of certificaten. Sms-codes en pushmeldingen zijn zelf vatbaar voor social engineering via SIM-swapping en MFA-vermoeidheid.
- Technische filters - e-mailfiltering met SPF, DKIM en DMARC, EDR op werkstations en SIEM-detectie op afwijkende logins.
- Beperkte rechten en gecontroleerde toegang - pas least privilege toe en laat toegang tot OT verlopen via een jump server met PAM, zodat één gestolen account niet direct tot de besturing leidt.
- Fysieke maatregelen - bezoekersregistratie, begeleiding van leveranciers, afgesloten kasten en USB-beleid voor wisselmedia.
- Snel melden - maak duidelijk waar medewerkers verdachte situaties melden, zodat het CSIRT of het incidentresponsteam snel kan handelen.
Test de weerbaarheid periodiek met een red team-oefening of een pentest met social-engineeringcomponent, en oefen de reactie in een tabletop-oefening.
⚖️ Wat zeggen wetgeving en normen over social engineering?
| Kader | Relevante eis |
|---|---|
| NIS2 (EU 2022/2555) | Artikel 21 noemt basispraktijken voor cyberhygiëne en cybersecuritytraining; artikel 20 verplicht bestuurders zelf training te volgen |
| Cyberbeveiligingswet | Zet NIS2 om in Nederlands recht en is sinds 15 augustus 2026 van kracht |
| ISO 27001:2022 | Beheersmaatregel 6.3 vraagt om bewustwording, opleiding en training op het gebied van informatiebeveiliging |
| IEC 62443-2-1 | Het beveiligingsprogramma van de asset owner omvat opleiding en bewustwording van personeel |
Voor organisaties onder de Cyberbeveiligingswet is aantoonbare training van medewerkers en bestuurders dus geen vrijblijvende keuze meer. Het NCSC publiceert daarnaast actuele waarschuwingen over phishingcampagnes.
❓ Veelgestelde vragen
Wat is het verschil tussen social engineering en phishing?
Social engineering is de overkoepelende term voor aanvallen die mensen manipuleren. Phishing is één specifieke vorm van social engineering, die via e-mail, nepwebsites of berichten werkt. Ook telefoontjes, fysiek meelopen en deepfakes vallen onder social engineering.
Waarom is social engineering gevaarlijk voor OT-omgevingen?
Social engineering levert vaak de eerste toegang op die een aanvaller nodig heeft om van het kantoornetwerk naar de productieomgeving te bewegen. Met gestolen inloggegevens of een geïnstalleerde remote-accesstool kan een aanvaller via laterale beweging bij besturingssystemen komen. De stroomuitval in Oekraïne in 2015 begon met spear-phishingmails.
Beschermt MFA tegen social engineering?
MFA verkleint het risico sterk, maar niet elke vorm van MFA is bestand tegen social engineering. Aanvallers laten codes voorlezen, sturen herhaalde pushmeldingen of laten een telefoonnummer overzetten via SIM-swapping. Phishingbestendige MFA op basis van FIDO2/WebAuthn of certificaten biedt de beste bescherming.
Wat is pretexting?
Pretexting is een social-engineeringtechniek waarbij de aanvaller een geloofwaardig verhaal of een valse rol gebruikt, bijvoorbeeld als helpdeskmedewerker, auditor of monteur. Het verhaal moet het verzoek logisch laten lijken. Pretexting wordt vaak gecombineerd met telefonische aanvallen (vishing).
Hoe herkent u een social-engineeringaanval?
Een social-engineeringaanval herkent u aan druk en afwijkingen: onverwachte urgentie, een beroep op autoriteit, een verzoek om een procedure over te slaan of een afwijkend kanaal of afzenderadres. Wie twijfelt, verifieert het verzoek via een bekend nummer of een collega. Een melding achteraf is altijd beter dan stilte.
Helpt security awareness-training echt?
Security awareness-training helpt wanneer zij regelmatig, rolgericht en praktisch is, met simulaties en directe feedback. Training alleen is niet genoeg: zij werkt het best in combinatie met verificatieprocedures, phishingbestendige MFA en technische detectie. Een cultuur waarin melden wordt gewaardeerd is minstens zo belangrijk.
📌 Samengevat
Social engineering misbruikt vertrouwen, haast en behulpzaamheid om langs technische beveiliging heen te komen, en is daarmee een van de meest gebruikte startpunten voor aanvallen op IT- en OT-omgevingen. Verdediging vraagt om een combinatie van training, vaste verificatieprocedures, phishingbestendige MFA, beperkte rechten en een cultuur waarin melden normaal is.