‘Er is zojuist met uw account ingelogd vanaf een onbekende locatie.’ De mail lijkt verdacht echt. Correct Nederlands, RUG-logo, bekende afzender en zelfs een RUG-link. ‘De phishingmails worden steeds geavanceerder en steeds echter. Vooral de nepmails van zogenaamde banken zijn perfect’, vertelt ict-ondersteuner Mark Meinema.

Samen met de projectgroep Risk Awareness heeft hij de foute mail bedacht. De groep heeft de afgelopen maanden iedereen bestookt met mails, posters, flyers en opblaasbare baby’s om duidelijk te maken dat we voorzichter moeten omgaan met onze data. Zo’n 80 procent van de mails die over het RUG-netwerk gaan is spam. En dat komt deels door onszelf.

Schrikactie

RUG-medewerkers klikken namelijk regelmatig zonder goed te kijken op een phishingmail. En dat maakt hen een interessante doelgroep voor internetcriminelen. ‘Vorig jaar hebben we deze campagne ook gevoerd. Toen begonnen we met een phishingmail. Maar sommige mensen vonden die schrikactie vervelend, daarom hebben we besloten iedereen ditmaal eerst te informeren en pas daarna een phishingmail te sturen’, vertelt Willemieke Baan van het Centrum voor Informatie Technologie (CIT).

In december werden alle medewerkers er al voor gewaarschuwd dat de groep een nepmail zou sturen. Er werd alleen niet verteld wanneer. ‘En juist op dat moment werden er echte phishingmails naar het RUG-netwerk verzonden. We kregen meteen opvallend veel reacties van medewerkers. ‘Is dit niet oké?’, vroegen ze ons’, zegt Meinema.

Medewerkers weten steeds beter een foute e-mail te herkennen. ‘Dat is wat we willen, die human firewall’, zegt Baan. ‘Mensen letten erop, waarschuwen elkaar en bellen de Servicedesk. Ons doel was een gedragsverandering door te voeren en we zien nu dat dat is gelukt.’

Roodgloeiend

Vorig jaar stond de telefoon van de helpdesk roodgloeiend nadat de groep een e-mail had verstuurd met de naam ‘Important RUG Information’. Van de ongeveer zesduizend medewerkers had een derde ‘m gelezen. Nu was dat maar 8,6 procent. Vorig jaar klikte 22 procent (zo’n 1300) op de link in de mail. Deze keer 8,5 procent. ‘Maar het mooiste is dat vorig jaar 8 procent van de medewerkers hun gegevens had ingevuld in de phishingmail. Deze keer was dat maar 5 procent’, aldus Baan.

Missie geslaagd dus. Hoewel de situatie van vorig jaar en die van afgelopen maandag moeilijk zijn te vergelijken. Vorig jaar ging er geen waarschuwing of campagne aan vooraf. Maar toch, mensen trappen minder in spam, is de conclusie.

Regels

Voor wie dat toch nog per ongeluk wel eens doet, zijn er drie duidelijke regels, vertelt Meinema. ‘Je kunt heel eenvoudig controleren of het om een legitieme link gaat. Die verwijst altijd naar een veilig https-adres. Het domein eindigt met .rug.nl. En in de adresbalk zie je een slotje, waardoor je weet dat de site gecertificeerd is.’

En dat is wat er miste in de bewuste phishingmail: een punt in het RUG-adres. ‘Het is heel verraderlijk’, waarschuwt Meinema. ‘Je hoeft geen techneut te zijn om zo’n nepmail te maken. Het is heel eenvoudig. Let dus goed op.’

Boze reacties kreeg de Risk Awareness-groep deze keer niet op hun foute e-mail. ‘Alleen een wat oudere meneer die na de mail uit voorzorg zijn wachtwoord had veranderd, en vervolgens zijn nieuwe wachtwoord was kwijtgeraakt’, vertelt Servicedesk-teamleider Nienke Bakker.