Ik heb 10 fietsen gewonnen!

Vandaag won ik weer een fiets, of twee. En gisteren ook enkele. En eergisteren won ik zelfs 5 fietsen. Sterker nog: in de afgelopen twee dagen heb ik zeker tien fietsen gewonnen. En ik speel niet eens mee in een loterij. Maar goed, dat zegt de Postcode Loterij-mail in mijn inbox, dus het moet waar zijn.

Ik kijk omhoog naar mijn dakgoten, ruim plek voor het stallen van tien fietsen. Misschien hebben de buren er ook nog iets aan, dan hebben we allemaal extra beweging. Of ik zet ze op Marktplaats. Gratis op te halen, wie het eerst komt, wie het eerst maalt.

Maar goed, dit is niet eens het grappigste. De afgelopen drie weken is er ergens op het internet een datalek geweest en daarna is mijn mailbox letterlijk ontploft. We praten niet over een paar phishingmails per dag. Nee, we praten over wel 100 tot 150 van die dingen per dag, vlak na die datalek. Met allemaal fraaie linkjes erbij om op te klikken. Omdat jij dat wilt, toch? Klik op deze link en je bankrekening wordt beveiligd. Of niet, eigenlijk.

Dus goed. Ik zit hier met:

• 10 fietsen (ik weet niet wat ik ermee moet doen)
• 30 datingverzoeken (blijkbaar ben ik erg in trek)
• 19 overschrijvingen van mijn bank die klaarstaan (spannend!)
• 8 notarismails met erfenissen (klassiekers, die gaan nooit weg)
• 17 security alerts (op verschillende accounts, hetzelfde moment, identieke tekst)
• En dan nog een stel mails die me complimenteren over mijn bedrijf en mijn diensten en of ze de PR voor me mogen doen.

Dat laatste is eigenlijk best uitzonderlijk. Ze hebben mijn naam, mijn bedrijfsnaam, een beschrijving van wat ik doe en allemaal mooi opgesomd. Ze zeggen: "Wat biedt je aan? Dat is tof! Kunnen we je PR doen?"

Ik krijg er vijf van. Exact dezelfde tekst. Alsof ze uit dezelfde mal komen. Wat waarschijnlijk ook zo is.

Hier begint het lugubur te worden

Kijk, de eerste maanden van mijn internet-leven was phishing nog echt oubollig. Een pakketje dat bleef liggen (DHL! UPS! PostNL! Een mysterieus pakket!) tot je betaalde. Een notaris met een erfenis. Een prins in Nigeria die je vertrouwde. Die dingen werken nog steeds, maar ze voelen als klassiekers uit 2005.

Wat nu gebeurt is veel voortvarender. Veel meer doelgericht.

Want denk erover na: die vijf mails met precies dezelfde persoonlijke informatie over mijn bedrijf? Die zijn niet random. Iemand heeft die informatie opgehaald en in een template gezet. Dat kost moeite. Dat kost tijd. Dus er moet geld aan gekoppeld zijn. Dat is geen onzin meer, dat is operationeel.

En dan die 17 security alerts met identieke tekst, op hetzelfde moment? Dat is geen mensenhandel meer. Dat is geautomatiseerd. Dat is schaal.

Dit zijn niet zomaar criminelen in hun thuiskantoor. Dit zijn bedrijven. Ondergrondse bedrijven, ja, maar bedrijven nevertheless. Met processen. Met werknemers (waarschijnlijk tegen hun zin in ergens in een datacentrum). Met targets. Met ROI-berekeningen.

De economie van crimineel zijn is eigenlijk best interessant

Dus hier is wat me echt opvalt: deze hele wereld van phishing, spam en datalekkage? Dat is een echte economie. Een parallel-economie. En het werkt.

Waarom werkt het? Omdat het goedkoop is. Belachelijk goedkoop.

Een legaal bedrijf dat je een marketingmail stuurt, dat kost geld. Je hebt servers nodig, je hebt design nodig, je hebt compliance nodig. Per miljoen emails ben je al snel 500 tot 2000 euro kwijt. Daarboven komt nog: je hebt een conversie-rate nodig van minstens 2-5% om break-even te draaien. Anders ben je geld aan het verspillen.

Criminelen? Die hebben geen compliance. Die hebben geen merk. Die hebben geen reputatie die kapot kan gaan. Dus die sturen die miljoen emails voor 50 tot 200 euro. Misschien zelfs minder.

En hun conversie-rate? Die hoeft niet 2-5% te zijn. Die kan 0,05% zijn en het loont zich nog. Want één klik op die link en dank je wel wachtwoord? Dat levert geld op. Veel geld. Voor jou is het pijnlijk; voor hen is het winst.

De echte truc zit in de schaal. En in de locaties waar ze werken.

Die datacentra waar ze zitten, ergens in de wereld, die zitten niet toevallig in Friesland. Ze zitten in landen waar de handhaving matig is, waar uitlevering moeilijk is, waar VPN-gebruik normaal is en waar arbeid spotgoedkoop is. Waarschijnlijk werken daar honderden mensen, sommige vrijwillig, veel tegen hun zin in. Bedrijfsmatig gezien: lage arbeidskosten, geen regelgeving, geen risico op sluiting.

Het is hetzelfde model als het illegale call-centerwerk dat je in Oost-Europa hebt, of zoals voicephishing-operaties werken. Je bouwt een setup, je automatiseert waar je kan, je zet goedkope arbeid erop, en je blaast miljarden berichten de wereld in.

En weet je wat het ergste is? Het werkt. Het werkt zo goed dat het blijft bestaan. Omdat de winsten echt zijn en de gevolgen 0.

Zou het werken als de hele wereld gewoon 1 week niet zijn mails of telefoons beantwoord?

Kijk wat ik mij afvraag: Hoe kunnen we die economie ontregelen? Ik bedoel bij aanslagen/oorlogen crashen beurzen. Dus wat kunnen wij doen om te zeggen: Ho stop!

En ik denk dus dat zij, die de economie van phishing aansturen een flinke beurscrash ervaren als de hele wereld gewoon zeker een week geen digitale wereld zou gebruiken. Geen mails, geen telefoons, geen sms.... gewoon helemaal niets. Zou dat werken?

Of zou er een redirect mogelijkheid zijn om al deze berichten terug aan ze te sturen?

Dus: hoe kraken we dit?

Ik heb geen oplossing. Ik weet niet hoe je een hele ondergrondse economie tegenhoud. En eerlijk: een hele week niet online, dat is niet realistisch. Niemand gaat dat doen.

Maar er móet toch iets zijn? Iets wat wél werkt? Want dit kan zo niet blijven. Of kan het wel blijven?

Dus ik vraag het aan jou: Hoe breekt dit systeem? Is het de technologie die te zwak is? Of is het gewoon omdat we allemaal individueel hier tegen vechten en niet als één front onze krachten bundelen?

Wat zou wél werken? Niet de utopie, ik weet dat we geen week offline gaan. Maar wat zou impact hebben? Wat zou ze echt raken?

Graag hoor ik je gedachten. Want ik block en verwijder en markeer als spam, maar dat voelt als ruis dempen terwijl de muziek nog aan staat.

#DataLek #SecurityBreach #Phishing #PhishingMail #DataCenter #KrachtenBundelen #Idee

PS. Dit is minicolumn nummer 12 in de rij van de schrijfchallenge Jeanette Benschop om weer de lol van het schrijven te krijgen. Doe je mee?