Social engineering in de IT: waarom de mens de zwakke plek blijft

Social engineering in de IT werkt omdat aanvallers niet je systemen kraken, maar je mensen bespelen. Ze doen zich voor als een collega, een leverancier of een IT-medewerker en vragen netjes om toegang. Geen exploit, geen malware. Gewoon een overtuigend telefoontje. Dat verandert wie je zoekt en hoe je traint.

Je hebt je beveiliging op orde. Tweestapsverificatie, een SOC dat meekijkt, keurige toegangsrechten. En toch belt iemand je servicedesk, klinkt geloofwaardig, en loopt kort daarna met inloggegevens naar buiten. Dat is het ongemakkelijke: de techniek deed het prima. De mens werd bespeeld. Dit raakt de professional die zulke aanvallen moet herkennen én de organisatie die het juiste type mens zoekt.

Wat social engineering precies is, en waarom het werkt

Social engineering is manipulatie van mensen om ze iets te laten doen wat de aanvaller wil: een wachtwoord delen, een link openen, toegang geven. Het draait niet om code, maar om vertrouwen misbruiken. Vandaar de vertaling die je vaak hoort: menselijke manipulatie.

De vormen zijn bekend. Phishing via mail. Spear-phishing gericht op één persoon. En voice-phishing, waarbij iemand belt en zich voordoet als een IT-medewerker. Dat laatste is verraderlijk, want een stem klinkt persoonlijk en urgentie doet de rest.

Waarom werkt het zo goed? Omdat mensen behulpzaam willen zijn. Iemand van de klantenservice die een collega van IT denkt te helpen, doet gewoon zijn werk. Europese toezichthouders herhalen het al jaren: de menselijke factor blijft de zwakste schakel in IT-beveiliging. Niet uit onwil. Uit routine.

Dat maakt het lastig. Je kunt een systeem patchen. Een gewoonte niet.

Van technische focus naar security-bewuste profielen

Voor wie IT-talent zoekt, verschuift het profiel. Steeds vaker vraag je niet alleen iemand die systemen bouwt of beheert, maar iemand die risico’s herkent en meldt. Iemand die het vreemd vindt als een onbekende belt met haast en om toegang vraagt.

Dat is een ander type kandidaat. Technische diepgang blijft belangrijk, maar er komt iets bij: alertheid, gezond wantrouwen, en de reflex om bij twijfel te checken in plaats van door te pakken. Die eigenschappen staan zelden op een CV. Ze zitten in iemands manier van werken.

Wij zien dit terug in de vragen die opdrachtgevers stellen. Niet meer alleen “kan hij dit bouwen?”, maar ook “snapt hij wat er misgaat als iemand hem probeert te misleiden?”. Dat vraagt om verdiepend doorvragen bij een kennismaking, want alleen zo achterhaal je hoe iemand écht reageert onder druk. In onze artikelen over het vinden van cybersecurity-talent in een krappe markt zie je dat dit type professional niet zomaar op straat ligt.

Het goede nieuws: deze houding is deels aan te leren. Maar de basis, nieuwsgierigheid en het lef om iets aan te kaarten, moet er al zitten.

Wat dit betekent voor de IT-professional zelf

Als jij in de IT werkt, is dit ook jouw verhaal. Want een aanval die via een menselijke fout binnenkomt, kan bij iedereen langskomen. Ook bij ervaren mensen. Sterker nog: juist mensen met veel toegang zijn een interessant doelwit.

Wat helpt? Weten hoe een aanval eruitziet. Een beller die haast heeft. Een verzoek dat net buiten de normale procedure valt. Een collega-naam die klopt, maar een verzoek dat niet klopt. Die signalen leren herkennen maakt je waardevoller, niet minder handig.

Het maakt je ook aantrekkelijker op de arbeidsmarkt. Rolprofielen verschuiven, en wie kan laten zien dat hij security-bewust werkt, valt op. Niet omdat je opeens beveiligingsexpert moet worden, maar omdat je laat zien dat je verder kijkt dan je eigen taak.

Denk aan iemand die na jaren beheerwerk de stap naar engineering wil maken. Precies dat bredere blikveld, techniek plus het besef waar het menselijk misgaat, is wat een organisatie zoekt.

Vetting: waarom voorafgaand toetsen zwaarder weegt

Er is nog een kant die vaak onderbelicht blijft. Criminelen opereren soms dicht bij of zelfs binnen eigen personeels- en leveranciersketens. Dat betekent dat je niet alleen naar buiten moet kijken, maar ook naar wie je binnenhaalt.

Voor organisaties wordt het grondig toetsen van IT-professionals, consultants en externe leveranciers een harde eis. Achtergrondchecks, referentiecontroles, contractuele afspraken over beveiliging. Cyberverzekeraars koppelen premie en dekking steeds vaker aan aantoonbare training en toetsing.

In de week na een groot datalek registreerde het Centraal Meldpunt Identiteitsfraude 590 bevestigde meldingen, meer dan een verdubbeling ten opzichte van de week ervoor. Het ging vooral om nummerportering, spookfacturen en WhatsApp-fraude.

Die cijfers laten zien hoe snel gelekte data misbruikt wordt. En dus hoeveel belang je hebt bij mensen die je echt kent voordat ze toegang krijgen.

Dit is precies waar wij als bemiddelaar aan de voorkant het verschil maken. Wij introduceren pas iemand als we er voor honderd procent in geloven, en dat betekent verrassingen vooraf wegnemen. Niet alleen: kan deze persoon het werk? Maar ook: past deze persoon, en klopt het verhaal? Zo werkt onze aanpak rond veranderende wetgeving in cybersecurity-recruitment: eerst grondig toetsen, dan pas verbinden.

Wat organisaties concreet kunnen doen

De belangrijkste maatregel tegen social engineering is niet een tool, maar training en bewustwording. Mensen moeten leren twijfelen op het juiste moment. Duidelijke meldprocedures, regelmatige oefeningen met nagebootste phishing, en toegangsrechten die niet ruimer zijn dan nodig.

Onder de privacywetgeving is dit trouwens geen luxe. Organisaties moeten passende technische én organisatorische maatregelen nemen. Dat omvat expliciet training en toegangsbeheer voor personeel dat bij grote klantendatabases kan. De toezichthouder kijkt daar bij een incident nadrukkelijk naar.

Maar techniek en procedures alleen redden het niet. Je hebt mensen nodig die de instelling hebben om bij twijfel te stoppen. Die niet doorpakken omdat iemand aan de telefoon haast maakt.

Daarom begint alles bij de match aan de voorkant. Niet iemand die op papier alles kan, maar iemand die past bij hoe jouw organisatie met risico’s omgaat. Dat vind je niet door een CV te scannen. Dat vind je door door te vragen, iets wat wij ook belichten in onze verhalen over hoe de IT-carrière verandert.

Veelgestelde vragen

Conclusie

Social engineering in de IT laat zich niet met techniek alleen tegenhouden. Aanvallers mikken op vertrouwen, op behulpzaamheid, op routine. Daarom verschuift het profiel van de IT-professional: naast technische diepgang telt of iemand risico’s herkent en durft aan te kaarten. Voor organisaties wordt het grondig toetsen aan de voorkant zwaarder dan ooit, en cyberverzekeraars rekenen daar inmiddels op af.

Wij kijken vanuit de mens. Niet naar wat er op papier staat, maar naar hoe iemand werkt en denkt onder druk. Welke eigenschap zou jij het zwaarst laten wegen bij je volgende IT-aanwerving: wat iemand kan, of hoe hij reageert als iemand hem probeert te misleiden? Daar praten we graag eens over door bij een kop koffie.