Parkeersites blijken bron van infostealers: CFLW waarschuwt IT-beslissers

CFLW richt zich op het opbouwen van een hoogwaardige intelligence-positie. Waar traditionele cybersecuritybedrijven optreden als 'first responders' bij incidenten, brengt CFLW de activiteiten van cybercriminelen in een vroeg stadium in kaart. Het bedrijf is internationaal succesvol met dark web monitoring, de analyse van cryptocurrency-transacties voor attributie, en 'BigPhish', een in samenwerking met TNO ontwikkelde technologie om phishingactiviteiten vroegtijdig te detecteren.

Doorbraak in de strijd tegen kindermisbruiknetwerken

Een belangrijk resultaat van deze intelligence-aanpak was operatie Alice. Dit internationale opsporingsonderzoek begon ruim drie jaar geleden toen CFLW op het dark web een netwerk van ruim 1200 laagdrempelige websites ontdekte waarop kindermisbruikmateriaal werd verhandeld tegen betaling in Bitcoin.

"In de traditionele opsporing is het ondoenlijk om duizenden Bitcoin-adressen handmatig na te lopen," legt Van Staalduinen uit. "Wij hebben data science-methodieken ingezet om die transactiestromen grootschalig en geautomatiseerd in kaart te brengen." In samenwerking met een Oostenrijkse partner en het Openbaar Ministerie in Beieren werd het netwerk blootgelegd. Het politieonderzoek dat daarop volgde leidde uiteindelijk tot de ontmanteling van een omvangrijke infrastructuur van 373.000 websites die door één Chinees netwerk werd beheerd. De technologie die CFLW hiervoor ontwikkelde, wordt inmiddels wereldwijd door opsporingsdiensten gebruikt.

Parkeersites en infostealers

Naast het dark web richt CFLW zich op de risico's van zogeheten 'domain parking websites' op het openbare internet. Criminelen registreren massaal domeinnamen die sprekend lijken op bekende merknamen, zoals financiële instellingen of pakketdiensten. Voor grote organisaties loopt het aantal van dit soort 'impersonations' op tot in de duizenden.

Uit een recent negen maanden durend onderzoek met de TU Delft bleek dat deze schijnbaar onschuldige parkeersites gevaarlijker zijn dan voorheen werd aangenomen. Veel van deze websites schotelen nieuwe bezoekers geautomatiseerd een 'infostealer' voor onder het mom van een software-update. Die schadelijke software ontfutselt vervolgens inloggegevens aan de gebruiker. Met die buitgemaakte inloggegevens voeren criminelen later gericht hacks uit op bedrijfsnetwerken, zoals recent het geval was bij diverse gemeenten en overheidsinstanties.

Verantwoord gebruik van AI en datagovernance

Bij het analyseren van deze grote hoeveelheden dreigingsdata speelt kunstmatige intelligentie een ondersteunende rol. CFLW zet AI in om grote datasets te filteren en fakeshops of phishingkits te herkennen, maar benadrukt dat de menselijke verantwoordelijkheid en de herleidbaarheid van data voorop blijven staan.

"AI werkt alleen als je unieke datasets hebt. Maar als je een juridisch opsporingsproces inzet, kun je nooit aan een rechter vertellen dat 'de AI het heeft gezegd'. De data moet uitlegbaar en verklaarbaar zijn," aldus Van Staalduinen. Bovendien hanteren ze strikte governance-regels: gevoelige casusdata verlaat de eigen beveiligde omgeving nooit via externe AI-modellen.

Handelingsperspectief voor IT-beslissers

Voor IT-beslissers en CISO's valt er volgens Van Staalduinen veel winst te behalen door de eigen digitale voetafdruk proactief te monitoren door middel van Domain Risk Monitoring. Organisaties kunnen niet voorkomen dat criminelen variaties op hun merknaam registreren, maar kunnen door actieve monitoring wel vooraf inzicht krijgen in potentiële dreigingen. Met de komst van strengere regelgeving zoals de NIS2-richtlijn worden organisaties bovendien expliciet verantwoordelijk gehouden voor de beveiliging van hun eigen digitale assets, inclusief de schaduw-IT en merkimitaties op het internet.