E-mailblunders, zwakke wachtwoorden, het openen van besmette e-mailbijlagen en het niet installeren van beveiligingsupdates; ook het afgelopen jaar waren mensen de voornaamste oorzaak van datalekken, zo blijkt uit het Data Breach investigations Report (DBiR) 2016 van Verizon.

Het rapport omvat meer dan 100.000 incidenten, waarvan er 3141 bevestigde datalekken waren. Veel van de aanvallen waarbij aanvallers gegevens wisten te stelen worden door veelvoorkomende beveiligingsproblemen veroorzaakt. Zo worden nog steeds oude kwetsbaarheden aangevallen waarvoor soms al meer dan 10 jaar updates bestaan. In het rapport meldt Verizon dat kwetsbaarheden uit 1999 en 2001 nog steeds worden aangevallen. Verder blijkt dat de Top 10 van meest aangevallen kwetsbaarheden voor 85% van alle aanvallen verantwoordelijk is.

Een ander veelvoorkomend beveiligingsprobleem is phishing. In totaal werden er ruim 9500 phishing-incidenten gemeld, waarbij er 916 tot een bevestigd datalek leidde. In de meeste gevallen stelen de aanvallers inloggegevens. "De communicatie tussen de crimineel en het slachtoffer is veel effectiever dan de communicatie tussen werknemers en het securitypersoneel", aldus het rapport.

Een andere oorzaak van datalekken is kwaadwillend personeel en werknemers die misbruik van hun rechten maken. In deze categorie werden ruim 10.000 incidenten geteld, waarvan er 172 voor een bevestigd datalek zorgden. De meeste datalekken werden veroorzaakt door werknemers die hun rechten misbruikten. Ook het verkeerd omgaan met gegevens kwam veel voor.

E-mailblunders

Waarbij sommige werknemers opzettelijk datalekken veroorzaken, is er ook een categorie van onbedoelde fouten, zoals het versturen van e-mails, documenten en post naar de verkeerde persoon. In deze categorie werden meer dan 11.000 incidenten gerapporteerd, waarvan er 197 tot een bevestigd datalek leidde. Ook komt het geregeld voor dat gegevens onbedoeld op internet worden gepubliceerd of online te vinden zijn.

Volgens Verizon is het handig om een overzicht bij te houden van veelvoorkomende fouten waar een organisatie mee te maken krijgt. Het verzamelen van deze informatie kan namelijk helpen bij het ontwikkelen van nieuw trainingsmateriaal. "De menselijk factor speelt een belangrijke rol", zegt Laurence Dine, één van de auteurs van het rapport, tegenover Security.NL.

"Awareness is de eerste en beste verdediging tegen cybercriminelen en het gebrek aan bewustzijn in sommige organisaties zorgt voor het herhaaldelijk succes van de meeste cyberaanvallen", aldus Dine. Het trainen van personeel is volgens hem dan ook de oplossing. "Organisaties moeten onthouden dat werknemers nog altijd het meest waardevolle onderdeel van een bedrijf zijn en ook de intelligentste. Ze moeten dan ook worden getraind in de securityregels die binnen het bedrijf gelden." Het Data Breach investigations Report zal morgen worden gepubliceerd.