'Je herkent phishing niet meer aan taalfouten’

Bedrijven en organisaties zijn nog onvoldoende voorbereid op cyberaanvallen waarbij AI wordt ingezet. Phishing was eerder redelijk makkelijk te detecteren, maar die tijd is nu voorbij. “Ik zie phishingmails voorbij komen die opvallend goed geschreven zijn en die duidelijk zijn toegespitst op de ontvanger, met details die vroeger niet in zo'n bericht zouden staan”, zegt cyberexpert Patrick Jordens. In deze aflevering van Cracked by Jordens gaat hij in op hoe cybercriminelen AI inzetten voor steeds geavanceerdere aanvallen en waarschuwt hij organisaties om hun digitale weerbaarheid te vergroten. 

Wat merk jij als cyberexpert van het feit dat AI steeds vaker wordt ingezet bij cyberaanvallen? 

“Ik zie het in de mails die ik onder ogen krijg en in de manier waarop aanvallen worden opgezet. Ook voer ik gesprekken met mensen die met de gevolgen te maken krijgen. Het is geen toekomstscenario meer; het speelt volop.”

Hoe zetten cybercriminelen AI precies in? 

“Er zijn grofweg twee sporen. Het eerste is generatieve AI, taalmodellen die worden gebruikt om phishingmails, CEO-fraude (waarbij criminelen zich voordoen als de directeur) en social engineering veel overtuigender te maken. De tijd van slechte spelling en houterige zinnen als waarschuwingssignaal is voorbij. Berichten worden gepersonaliseerd op basis van informatie die vaak gewoon online te vinden is, en dat maakt ze een stuk geloofwaardiger. 

Het tweede spoor is AI die wordt ingezet om de aanval zelf te versnellen: het scannen van kwetsbaarheden, het genereren van malwarevarianten die detectie omzeilen en, steeds vaker, deepfake audio en video voor identiteitsfraude.”

Wordt AI ook steeds geavanceerder?

“Ja, en het tempo waarmee dat gebeurt is wat mij het meest bezighoudt. De drempel om een geloofwaardige aanval op te zetten is enorm verlaagd. Waar je vroeger technische kennis nodig had om malware te schrijven of een overtuigende phishingmail op te stellen, gaat dat nu grotendeels automatisch. Dat betekent niet alleen dat gerichte aanvallen professioneler worden, maar ook dat kleinschalige, opportunistische aanvallen een stuk overtuigender zijn geworden.”

Heb jij een voorbeeld uit je eigen praktijk?

“De voorbeelden die ik in de praktijk tegenkom, zitten vooral aan de kant van social engineering. Ik zie phishingmails voorbij komen die opvallend goed geschreven zijn en die duidelijk zijn toegespitst op de ontvanger, met details die vroeger niet in zo'n bericht zouden staan. Dat wijst op het gebruik van AI om zowel de tekst als de personalisatie te verbeteren.

Tegelijk moet ik daar eerlijk in zijn: met zekerheid vaststellen dat AI is gebruikt, kan ik meestal niet. Aan een phishingmail of een aanval zelf is vaak niet af te lezen of er een taalmodel aan te pas is gekomen. Wat ik wel zie, is de trend: aanvallen worden gemiddeld overtuigender en persoonlijker, en dat patroon past bij grootschalige inzet van AI.”

Hoe kunnen bedrijven en organisaties zich beter weren tegen AI-cyberaanvallen?

“Het lastige is dat AI vooral de zwakste schakel versterkt, en dat is meestal niet de techniek maar de mens. Awareness is essentieel, alleen moet die wel worden bijgesteld: mensen herkennen phishing niet meer aan taalfouten, dus de aandacht verschuift naar andere signalen, zoals een ongebruikelijk verzoek, een afwijkende betaalinstructie of onverwachte druk om snel te handelen. Daarnaast blijft basisveiligheid onverminderd belangrijk. MFA, netwerksegmentatie en patchmanagement zijn niet minder relevant geworden door AI, eerder belangrijker. Want een geslaagde phishingpoging kan zonder die basis direct verder escaleren.”

Kan AI ook gebruikt worden door de 'good guys', juist om cyberaanvallen tegen te gaan?

“Zeker. AI wordt breed ingezet in detectie en respons, bijvoorbeeld om afwijkingen in netwerkverkeer te signaleren, phishingmails te filteren of logbestanden te analyseren op patronen die een mens niet snel zou opmerken. Waar ik wel voor waak, is dat AI-tooling wordt gezien als vervanging van basisveiligheid in plaats van aanvulling daarop. Een slim detectiesysteem compenseert geen ontbrekend patchbeleid of het uitblijven van MFA. AI is een laag in de verdediging, geen fundament.”

Wil je nog iets kwijt aan de lezer?

“Eén ding wil ik nog kwijt: de discussie over AI in cyberaanvallen richt zich vaak op de techniek erachter, maar we moeten ons vooral ook focussen op schaal en snelheid. Wat vroeger uren kostte om één overtuigende phishingmail te schrijven, kost nu seconden om er honderden te genereren, elk toegespitst op een andere ontvanger. 

Organisaties die weten waar hun kwetsbaarheden zitten en hoe ze daarop reageren, hebben een structurele voorsprong. Wie geen zicht heeft op de eigen systemen, data en risico's, is per definitie kwetsbaar. En dat raakt meteen aan een hardnekkig misverstand: het idee dat je als bedrijf niet interessant genoeg bent om aangevallen te worden. Dat was al een achterhaalde gedachte, maar met AI is die helemaal niet meer houdbaar. Een geautomatiseerde aanval kijkt niet of een bedrijf interessant is; er wordt gekeken of er sprake is van een zwakke plek.”