Hoogleraar Bart Schermer over digitale dreigingen voor de universiteit
Hoogleraar Privacy en Cybercrime Bart Schermer doet onderzoek naar de relatie tussen nieuwe digitale technologieën, opsporing en mensenrechten. Welke trends ziet hij op het gebied van cybercrime die relevant zijn voor een organisatie zoals Universiteit Leiden?
Met welke dreigingen moeten medewerkers van een universiteit rekening houden?
‘We zien eigenlijk al een aantal jaren dezelfde dreigingen. Het gaat met name om mensen die toegang willen krijgen tot jouw account als medewerker. Die toegang kan vervolgens gebruikt worden om verder binnen te dringen in het netwerk van de universiteit. Stel dat ze mijn account zouden overnemen, dan kunnen ze nog niet direct bij cruciale systemen komen. Maar ze kunnen wel vanuit mijn account een mail sturen naar een beheerder. Die mail komt dan betrouwbaar over, want het komt vanuit mijn account. Zo proberen ze steeds een stapje verder te gaan, totdat ze toegang hebben tot het beheer van het netwerk.’
Wat willen aanvallers vervolgens doen met die toegang?
‘Het kan gaan om criminelen die geld afhandig willen maken door middel van ransomware (software die een systeem gijzelt totdat er wordt betaald, red.). Maar je kunt ook denken aan spionage. Stel je wil weten welk vastgoed de universiteit gaat aankopen, dan kan het interessant zijn om in de mailbox van het bestuur te komen. Ook bij faculteiten waar fundamenteel onderzoek wordt gedaan, kunnen interessante bedrijfsgeheimen zoals nieuwe ontdekkingen worden gevonden. Maar je kunt ook denken aan studenten die niet goed geleerd hebben en hun cijfer willen aanpassen in ons systeem.’
Zijn er nog nieuwe dreigingen te zien de laatste jaren?
‘In het algemeen zien we steeds meer inmenging van statelijke actoren. Naarmate we meer online doen, wordt het steeds interessanter om toegang te krijgen tot bepaalde systemen. Denk bijvoorbeeld aan Rusland dat probeert kritieke infrastructuur aan te vallen. Dat kan bijvoorbeeld logistiek, transport, industrie of nutsvoorzieningen zijn. Een universiteit ligt minder voor de hand, al hangt dat een beetje af van het vakgebied. Een onderzoeker die zich bezighoudt met atoomwetenschappen of informatiebeveiliging zal wel snel een doelwit zijn.’
Wat kan de universiteit zelf doen tegen digitale dreigingen?
‘Het begint altijd met de basishygiëne van elke medewerker. We moeten beseffen dat we werken bij een organisatie die interessant is voor cybercriminelen. Dus kies geen makkelijke wachtwoorden, hergebruik wachtwoorden niet bij meerdere diensten, en klik niet zomaar op links in mailtjes. Daar wordt al jaren op gehamerd, maar het zijn nog steeds de belangrijkste manieren waarop ransomware-aanvallen plaatsvinden. De laatste jaren wordt ook vaker gebruik gemaakt van deepfake-technologie om mensen te misleiden. Dan wordt iemand opgebeld met bijvoorbeeld de stem van zijn of haar leidinggevende. Je denkt dat je de decaan aan de telefoon hebt, maar het is een cybercrimineel. Daar moet iedereen zich bewust van zijn.’
Wil jij meer tips over veilig werken binnen de universiteit? Bekijk dan de campagnepagina Check it: hoe veilig werk jij?
Beeld: Nanda Alderliefste