Misschien denk je bij phishing vooral aan berichten in je mailbox of op je telefoon. Maar criminelen hebben nóg een ingang gevonden: je digitale agenda. Bij calendar phishing verschijnt er een nepafspraak of -uitnodiging tussen je echte afspraken. Hoe komt die daar terecht? En vooral: wat moet je doen?
Een afspraak van je bank, een melding dat een abonnement wordt verlengd of een waarschuwing over een betaling. Je ziet hem ineens in Google Calendar, Outlook of een andere digitale agenda staan. In de afspraak staat bijvoorbeeld een link waarop je moet klikken om een betaling tegen te houden of je gegevens te controleren.
Dat kan behoorlijk overtuigend overkomen. Toch kan het om calendar phishing, ook wel agenda-phishing, gaan. Hierbij gebruiken criminelen agenda-uitnodigingen en afspraken om je naar een valse website te lokken. Daar proberen ze bijvoorbeeld je wachtwoord, bankgegevens of andere persoonlijke gegevens buit te maken. Beveiligingsonderzoekers zien dat criminelen hiervoor onder meer agenda-uitnodigingen en zogenoemde .ics-bestanden gebruiken.
Hoe komt zo’n afspraak zomaar in je agenda?
Voor een afspraak in je digitale agenda hoeft een crimineel niet per se toegang tot je account te hebben. Het kan al voldoende zijn dat diegene je e-mailadres kent en je een agenda-uitnodiging stuurt. Vervolgens kan – afhankelijk van je agenda en instellingen – zo’n uitnodiging in je agenda verschijnen. Hierdoor lijkt de boodschap betrouwbaarder dan een gewoon spambericht: de nepafspraak staat immers tussen je tandartsbezoek, verjaardag en andere echte afspraken. Dat is precies wat deze vorm van phishing verraderlijk maakt.
We zijn inmiddels gewend om voorzichtig te zijn met verdachte mailtjes en sms’jes, maar bij een melding uit onze eigen agenda zijn we mogelijk minder alert.
Hoe ziet calendar phishing eruit?
Dat kan er op verschillende manieren uitzien – er is niet één vaste vorm. Zo kan er bijvoorbeeld in staan dat:
- er een groot bedrag van je rekening wordt afgeschreven;
- je abonnement binnenkort wordt verlengd;
- je account wordt geblokkeerd;
- er een probleem is met een bestelling of betaling;
- je snel contact moet opnemen met een ‘helpdesk’;
- je op een link moet klikken om een afspraak, betaling of account te controleren.
Vaak probeert de afzender je onder druk te zetten. Je zou bijvoorbeeld vandaag nog moeten reageren om een betaling te voorkomen. Die haast is een bekende phishingtruc. Microsoft adviseert juist om bij onverwachte berichten die om onmiddellijke actie vragen niet direct te handelen, maar eerst te controleren of het bericht echt is.
Wat moet je doen bij een verdachte agenda-afspraak?
Klik niet op links, QR-codes of bijlagen in de afspraak en bel ook niet zomaar een telefoonnummer dat erin staat. Lijkt de afspraak bijvoorbeeld van je bank, verzekeraar of een andere organisatie te komen? Open dan zelf de officiële website of app en controleer daar of er iets aan de hand is. Gebruik dus niet de contactgegevens uit de verdachte afspraak. Dat sluit aan bij het algemene phishingadvies van onder meer Microsoft en de Rijksoverheid.
Een uitnodiging die je niet herkent kun je vervolgens als spam of phishing melden en verwijderen. Bij Google Calendar kun je een verdachte uitnodiging bijvoorbeeld via Meer acties > Melden als spam rapporteren. De afspraak wordt dan uit je agenda verwijderd.
Let bij Outlook op met zomaar op ‘Weigeren’ klikken. Daarmee kan in sommige situaties een reactie naar de organisator worden gestuurd. Bij een verdachte uitnodiging is verwijderen zonder antwoord daarom verstandiger wanneer die mogelijkheid wordt aangeboden.
Zo verklein je de kans op ongewenste afspraken
Gebruik je Google Calendar? Dan kun je instellen dat uitnodigingen alleen automatisch aan je agenda worden toegevoegd als ze afkomstig zijn van een bekende afzender. Ga op de computer naar Instellingen > Afspraakinstellingen > Uitnodigingen toevoegen aan mijn agenda en kies Alleen als de afzender bekend is. Google heeft dit jaar bovendien de mogelijkheden uitgebreid om afzenders van ongewenste agenda-uitnodigingen te blokkeren. Na blokkeren ontvang je geen nieuwe uitnodigingen meer van die persoon.
Het belangrijkste advies blijft eenvoudig: neem de tijd. Een onverwachte afspraak in je agenda is niet per se betrouwbaar omdat hij in je agenda staat.
Toch op de link geklikt?
Alleen een link openen betekent gelukkig niet gelijk dat criminelen je gegevens hebben. Heb je vervolgens een wachtwoord of andere gegevens ingevuld? Verander dan zo snel mogelijk het wachtwoord van het betreffende account. Gebruikte je hetzelfde wachtwoord ook ergens anders, verander het daar dan ook. Schakel waar mogelijk tweestapsverificatie in.
Heb je bank- of creditcardgegevens doorgegeven, neem dan direct contact op met je bank of kaartuitgever. Microsoft adviseert bij een geslaagde phishingpoging ook om betrokken wachtwoorden onmiddellijk te wijzigen en meervoudige verificatie in te schakelen.
Kortom: zie je ineens een afspraak die je niet zelf hebt gemaakt of waarvan je de afzender niet kent? Behandel hem net zoals een verdacht mailtje: klik niet, reageer niet overhaast en controleer zelf of het verhaal klopt.
