Er is een aanvalstechniek die de afgelopen twee jaar van een curiositeit is uitgegroeid tot een van de meest gebruikte manieren om binnen te komen bij organisaties. Hij heeft geen exploit nodig, geen bijlage en geen macro. Hij heeft alleen een medewerker nodig die een probleem wil oplossen. De techniek heet ClickFix, en de reden dat hij zo goed werkt, zegt iets ongemakkelijks over hoe we beveiliging inrichten.
Zo werkt het
De medewerker komt op een pagina terecht, via een zoekresultaat, een advertentie of een link in een mail, die een technisch probleem meldt. "Je browser moet worden bijgewerkt." "Bevestig dat je geen robot bent." "Er is een fout opgetreden bij het weergeven van dit document." De pagina biedt meteen de oplossing: druk op Windows+R, plak de onderstaande tekst en druk op Enter. De medewerker doet dat, en daarmee voert hij zelf een commando uit dat een infostealer of een remote-access-tool installeert.
Voor de beveiligingssoftware ziet dat eruit als normaal gebruik: een gebruiker die zelf een systeemtool start. Geen malafide bijlage, geen verdachte download. De vertrouwensgrens is overgestoken door de persoon zelf.
De varianten volgen elkaar snel op. Nep-CAPTCHA's, "verificaties", varianten voor macOS gericht op ontwikkelaars, versies die geen commando laten uitvoeren maar een app-toestemming laten goedkeuren. De lures worden aangepast aan de omgeving en de taal van het slachtoffer; ook dat is inmiddels geautomatiseerd.
De gratis PDF-tool
Een verwante route is nog subtieler. Een medewerker zoekt "pdf samenvoegen gratis" en installeert het bovenste resultaat: een advertentie voor een tool met een professionele website, een geldig digitaal certificaat en, belangrijk, een tool die gewoon werkt. De taak is klaar, de tool wordt vergeten. Weken later haalt een update stilletjes componenten binnen die de machine onderdeel maken van een proxynetwerk, inloggegevens verzamelen of een achterdeur openen. Omdat de tool functioneel is, verdenkt niemand hem. Omdat hij vertraagd toeslaat, glipt hij door controles die op het moment van installatie kijken.
Dit is een ontwerpfout, geen detectiefout
De reflex na zo'n incident is: meer awareness. Dat is niet verkeerd, maar het mist de kern. Organisaties hebben hun infrastructuur en hun identiteiten inmiddels behoorlijk beveiligd, en tegelijk mogen medewerkers op hun werkplek vrijwel alles: commando's uitvoeren, software installeren, apps toestemming geven. Die ruimte is precies wat de aanvaller gebruikt. Hij hoeft geen slot te forceren als hij de bewoner kan overtuigen de deur open te doen.
De vraag is dus niet "hoe leren we mensen dit herkennen", maar "waarom kan een gebruiker dit überhaupt". Ga ervan uit dat mensen overtuigende instructies zullen volgen. Ontwerp de werkplek zo dat het dan toch goed afloopt.
Wat je concreet regelt
- Geen lokale beheerrechten. Verreweg de belangrijkste maatregel. Wie geen admin is, kan minder installeren en minder schade aanrichten met een geplakt commando.
- Beperk wat een gebruiker kan starten. Windows+R, PowerShell en scriptuitvoering alleen voor wie het nodig heeft, afgedwongen via Intune. Applicatiebeheer (welke software mag draaien) is de structurele oplossing.
- Een beheerde softwarecatalogus. Bied de tools die mensen nodig hebben, inclusief een PDF-bewerker, in de bedrijfsportal aan. Dan is er geen reden om te zoeken. Blokkeer installers die via advertenties binnenkomen.
- App-toestemmingen alleen met goedkeuring. De "Consent-fix"-variant werkt alleen als gebruikers zelf apps mogen goedkeuren.
- Monitoring die ook ná installatie kijkt. Nieuwe geplande taken, onverwachte uitgaande verbindingen, processen die uit een gebruikersmap starten. Een SOC dat alleen naar bekende malware zoekt, ziet dit niet.
- Een meldcultuur zonder schaamte. De medewerker die het commando heeft geplakt, moet dat binnen vijf minuten durven melden. Dat scheelt weken.
Wij beheren geen werkplekken; dat blijft bij je eigen IT-afdeling of -partner. Wat wij wel doen, is de werkplek ontwerpen als onderdeel van de identiteitsketen: een beheerd, compliant apparaat als voorwaarde waaronder een account überhaupt toegang krijgt, met Intune en Conditional Access als instrumenten. Hoe jouw werkplekken er in dit opzicht voorstaan, is een vast onderdeel van de Digital Defense Review.