"Goed betaalde werknemer gevaarlijker dan hackers"
Bedrijven hebben meer te vrezen van goed betaalde werknemers dan van externe hackers, zo stelt KPMG topman Stan Gallo. Tijdens een evenement over fraude vertelde Gallo dat de doorsnee fraudeur geen hacker is die vanuit een donkere zolderkamer opereert, maar eerder een 'insider' die al binnen de organisatie zit. In 65% van alle fraudegevallen gaat het om eigen personeel dat toegang tot de IT-systemen heeft en zowel geld naar eigen rekeningen overmaakt of intellectueel eigendom verkoopt.
Gallo gaf als voorbeeld een moeder die zichzelf met 1,2 miljoen dollar beloonde door het factuursysteem van haar werkgever te manipuleren. Ze ontdekte dat de betaalgegevens op een gedeelde netwerkschijf werden bewaard. Ze wijzigde vervolgens de bestanden en vulde haar eigen rekening in. Ze gebruikte haar positie om de betaling goed te keuren en verborg de transactie tussen de duizenden andere betalingen die het bedrijf deed.
Vertrouwen
Gallo merkte op dat vrouwen veel meer stelen dan mannen, maar dat de meeste diefstallen het werk van mannen zijn. In veel gevallen is hebzucht de motivatie om de werkgever te duperen dan dat werknemers het geld echt nodig hebben. De gemiddelde fraudeur verdient een salaris van 84.000 euro. In veel gevallen lukt het niet om het gestolen geld terug te krijgen, omdat de fraudeurs dit al aan hun levensstijl hebben opgemaakt. Gemiddeld wist het team van Gallo negen procent van het gestolen bedrag terug te krijgen.
Eén van de problemen waardoor bedrijven kwetsbaar zijn, is dat ze zich alleen op externe dreigingen richten. "Als je aan veiligheid denkt, heeft iedereen stevige externe veiligheidsprocedures, maar werknemers hebben vertrouwen, en ze misbruiken dat", besluit Gallo.
Veiligheid is een gevoel, geen fysieke werkelijkheid.
Van alle aanvallen komt 80% van buiten en 20 van binnen uit. Van de aanvallen die van buitenaf komen slaagt misschien 20%. Van alle aanvallen van binnenuit slaagt 80%. Het is dus de kleinste groep aanvallen die het gevaarlijkst is.
En dat is ook niet vreemd als je bedenkt dat een hacker, behalve binnen moet komen, ook nog moet uitzoeken welke systemen interessant zijn en welke niet. Een interne medewerker hoeft niet eens in te breken (ze hebben al toegang tot het netwerk), ze weten vaak waar de interessante spullen staan en hebben al behoorlijke kennis van de procedures.
100 aanvallen
80% buiten, 20% binnen
80 aanvallen buiten, 20% slaagt = 16 succesvol
20 aanvallen binnen, 80% slaagt = 16 succesvol
Zowel binnen als buiten is dus even gevaarlijk :-) ;-)
(afz. aluhoedje)
100 aanvallen
80% buiten, 20% binnen
80 aanvallen buiten, 20% slaagt = 16 succesvol
20 aanvallen binnen, 80% slaagt = 16 succesvol
Zowel binnen als buiten is dus even gevaarlijk :-) ;-)
(afz. aluhoedje)
Dit is al Jaar en Dag bekent, de meeste voorkomende vorm van diefstal is het eigen personeel egaal hoeveel dat zo iemand verdiend, zij kennen als niemand anders de zwakke schakels van een bedrijf.
Het is een feit dat al jaren bekent is...
Nog een mooie avond hiero.
80% van 20% = 16
het moet ook zijn 90 om 10 ;)
Wat mij ook opvalt is dat het mensen met een hoger inkomen zijn. Ik zeg voor iedereen een max loon van 80.000 euro probleem op gelost.
Gallo gaf als voorbeeld een moeder die zichzelf met 1,2 miljoen dollar beloonde door het factuursysteem van haar werkgever te manipuleren. Ze ontdekte dat de betaalgegevens op een gedeelde netwerkschijf werden bewaard. Ze wijzigde vervolgens de bestanden en vulde haar eigen rekening in. Ze gebruikte haar positie om de betaling goed te keuren en verborg de transactie tussen de duizenden andere betalingen die het bedrijf deed.
• Een directeur die €150000, en een schoonmaker die €18000 verdient
• 2 of meer mensen die €84000 verdienen
Wat ik erger vind en wat mij betreft lichtelijk onderbelicht wordt is hoe lichtzinnig er binnen dit bedrijf, in het voorbeeld van de moeder, met vertrouwelijke gegevens omgegaan wordt. Gelegenheid geven tot diefstal is dit weliswaar niet helemaal maar ik denk dat het bedrijf zelf ook wel haar verantwoording mag nemen.
Het lijkt me overigens ook dat de mensen die hier komen bekend zijn met de interne / externe (80 / 20) verhoudingen.
Je zou bijna die schoonmaker, met zijn/haar loon van 18.000, nog een bonus meegeven omdat ze het voor elkaar krijgen flink te frauderen.
Wat een NON-informatie. Het hele artikel. Het is een open deur!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
