De werkwijze: spionage via de achterdeur
Het principe is schrikbarend eenvoudig en maakt gebruik van een functie die berichtendiensten juist voor het gemak van hun gebruikers hebben ingebouwd: het koppelen van extra apparaten (bijvoorbeeld via WhatsApp Web). Zodra iemand maar een paar seconden fysieke toegang heeft tot uw ontgrendelde smartphone, kan diegene via een QR-code of een per sms verstuurde bevestigingscode een ander apparaat – bijvoorbeeld een pc of tablet – aan uw account koppelen. Opsporingsdiensten passen deze tactiek al toe tijdens verhoren, wanneer mensen hun smartphone vrijwillig afgeven. Maar het gevaar komt zeker niet alleen van de overheid: ook een jaloerse partner die 's avonds naast u op de bank zit of uw baas op kantoor kan een onoplettend moment aangrijpen om snel aan ‘ghost pairing’ te doen. De desastreuze gevolgen van zo'n koppeling:
- Realtime meekijken: De aanvaller ziet elk nieuw bericht dat u verstuurt of ontvangt tegelijkertijd op zijn eigen scherm.
- Synchronisatie van oude chats: Afhankelijk van de berichtendienst worden bij het koppelen ook bestaande, oudere chatgesprekken alsnog op het apparaat van de derde partij geladen.
- Ongemerkte manipulatie: Via een gekoppeld apparaat kan iemand niet alleen passief meelezen, maar vaak ook namens uw account berichten schrijven en versturen. Daardoor kan de bewijskracht van chats, als het erop aankomt, volledig worden gemanipuleerd.
Waarom versleuteling hier niet helpt
Tegen deze methode helpt zelfs de beste end-to-endversleuteling niet. Voor het systeem is het apparaat van de aanvaller geen onbevoegde derde, maar een officieel tweede kanaal waarvoor u toestemming hebt gegeven. Het beveiligingsmechanisme wordt dus niet gekraakt, maar simpelweg via een toegestane route omzeild. De methode komt weliswaar aan het licht zodra u in de app-instellingen de actieve sessies bekijkt, maar wees eerlijk: wie controleert die lijst nu dagelijks? Precies daarop rekenen pottenkijkers. Vaak wordt pas na uren, dagen of zelfs weken ontdekt dat iemand stiekem meeleest.
Het risico voor bedrijven: schaduw-IT en bedrijfsspionage
Voor bedrijven is dit probleem nog veel ernstiger. Als medewerkers interne bedrijfsinformatie, klantgegevens of projectdetails uitwisselen via privékanalen of onvoldoende beveiligde berichtendiensten, lopen bedrijven het risico dat grote hoeveelheden gegevens uitlekken:
- Verlies van bedrijfsgeheimen: Via een ongemerkt gekoppeld apparaat kunnen vertrouwelijke afspraken rechtstreeks bij concurrenten of onbevoegde derden terechtkomen.
- Overtredingen van compliance-eisen en de AVG: Het onversleuteld synchroniseren van zakelijke chats naar privéapparaten van derden is in strijd met de geldende privacyregels en kan voor bedrijven kostbare juridische gevolgen hebben.
Zo beschermt u zich effectief
(Veiligheidsregels voor dagelijks gebruik)
Als uw IT-partner raden wij bedrijven en particulieren met klem aan om de volgende veiligheidsregels tot een vast onderdeel van hun dagelijkse routine te maken:
- Controleer regelmatig gekoppelde apparaten: Kijk in de instellingen van uw apps (WhatsApp, Telegram, Signal) onder ‘Gekoppelde apparaten’ of ‘Sessies’. Verwijder onmiddellijk elk apparaat waarvan u niet zeker weet dat u het zelf hebt ingesteld.
- Beveilig uw vergrendelscherm: Laat uw smartphone nooit onbeheerd en ontgrendeld liggen – niet thuis en ook niet op het werk. Gebruik veilige pincodes, Face-ID of vingerafdrukvergrendeling.
- Schakel appvergrendeling in: Veel chatapps bieden in de privacyinstellingen de mogelijkheid om de app zelf extra te beveiligen met een aparte code of biometrische beveiliging. Schakel deze functie in!
- Wees voorzichtig met sms-codes: Deel nooit verificatiecodes die u per sms ontvangt en voorkom dat anderen zomaar op uw scherm kunnen meekijken.
- Duidelijke richtlijnen voor chatapps binnen het bedrijf: Gebruik voor zakelijke communicatie uitsluitend speciaal daarvoor bedoelde zakelijke chatapps die door uw IT-dienstverlener zijn goedgekeurd. Verbied het versturen van bedrijfsgegevens via chatapps die uitsluitend voor privégebruik bedoeld zijn.
Digitale privacy begint bij bewust omgaan met hardware. Hebt u ondersteuning nodig bij het beveiligen van uw bedrijfscommunicatie of het inrichten van veilige communicatiekanalen voor uw medewerkers? Als IT-dienstverlener staan wij u altijd graag met advies terzijde.
Schrijf hier …