Phishing gericht op webwinkeliers: trap er niet in (cases uit de praktijk)

Het gebeurt vaak op vrijdagmiddag. Je bent druk, je wilt naar de borrel en er komt een mailtje binnen van je hoster. “Let op: uw domeinnaam verloopt over 24 uur. Klik hier om te verlengen.” Je klikt, je logt even snel in en klaar, denk je. Maandagochtend is je klantenbestand gedownload en zijn je uitbetalingen omgeleid naar een buitenlandse rekening.

Phishing herkennen is voor een webshop niet meer zo makkelijk als vroeger. De mails staan niet meer vol spelfouten. Ze zijn gepersonaliseerd, gebruiken het logo van Mollie of Shopware en spelen in op je angst.

De drie meest voorkomende trucs

Als partner zien wij helaas wat er misgaat. Dit zijn de scenario’s die we nu het vaakst tegenkomen.

1. De Mollie- of Adyen-verificatie. Je krijgt een mail dat je betaalaccount geblokkeerd wordt als je je niet opnieuw legitimeert vanwege de witwasregels. De link leidt naar een levensechte kopie van het inlogscherm. Zodra je inlogt, hebben ze je gegevens, en daarmee veranderen ze het bankrekeningnummer waarop je webshopomzet wordt uitbetaald.

2. De Shopware-security-update. Een mail die van je platform lijkt te komen: “Kritiek lek gevonden. Installeer deze patch nu.” Je downloadt een bestandje en uploadt het naar je shop. In werkelijkheid installeer je zelf een achterdeur waarmee hackers bij al je klantdata kunnen.

3. De Channable- of Bol.com-koppeling. “De koppeling met Bol.com is verbroken. Log opnieuw in.” Omdat verkopen via marktplaatsen voor je omzet cruciaal is, raak je in paniek en klik je direct.

De gevolgen zijn niet mals

Trap je erin, dan is de schade vaak groter dan alleen geld.

1. Datalek melden. Als hackers bij je klantgegevens konden, zoals adressen en e-mailadressen, moet je dit melden bij de Autoriteit Persoonsgegevens en moet je al je klanten inlichten. Dat is funest voor je reputatie.
2. Financiële schade. Omzet die naar een andere rekening is overgemaakt, krijg je zelden terug.
3. Blacklisting. Gaat je shop spam versturen, dan blokkeert Google je domein en ben je onvindbaar.

Preventie: je digitale slotgracht

Het antwoord is saai, maar het redt je bedrijf.

1. Tweestapsverificatie is heilig. Zet 2FA aan op alles: je Shopware-login, je hosting, je Mollie-account en je e-mail. Zelfs als hackers je wachtwoord hebben, komen ze zonder die code op je telefoon niet binnen. Bij retailZ is dit een harde eis: zonder 2FA geen toegang.

2. Controleer de afzender, en dan ook goed. Klik op het adres van de afzender. Staat er support@mollie-payments-security.com, dan is het fout, want echte mails komen van mollie.com. Twijfel je, klik dan niet op de link maar ga zelf via je browser naar de site en log daar in. Staan er geen meldingen, dan was de mail nep.

3. Train je team. Jij bent misschien scherp, maar hackers zoeken de zwakste schakel, en dat kan je stagiair zijn. Maak security een vast onderwerp in je teamoverleg.

Twijfel je over je beveiliging

Security is onderhoud, geen eenmalig klusje. Ben je bang dat er al deurtjes openstaan in je shop, of wil je zeker weten dat je back-ups bestand zijn tegen ransomware? Dan draaien we een security scan. Voorkomen is goedkoper dan genezen.