Vrijdagavond, tien na zes. Op de helpdesk zitten nog twee agenten, het wachtrijscherm toont vier bellers. De volgende oproep is een man die zich voorstelt als Maarten van finance. Hij staat op de luchthaven, zijn vlucht vertrekt over veertig minuten, zijn nieuwe gsm weigert de authenticator over te nemen en hij is overal uit buitengesloten terwijl maandag de kwartaalafsluiting begint. Hij heeft zijn personeelsnummer bij de hand. Hij kent de naam van zijn manager, en weet dat ze tot woensdag met verlof is, waardoor ze hem dus niet kan bevestigen. Hij is beleefd, licht gegeneerd, precies zo gestresseerd als een echt mens zou zijn. De agent heeft vandaag eenenveertig tickets afgesloten. Eén authenticator resetten duurt vier minuten en maakt zowel de wachtrij als de avond van deze man korter.

Dat telefoontje, op de details na, is hoe MGM Resorts in september 2023 onderuitging. En in spiegelbeeld is het ook hoe duizenden werknemers zich door een “valse IT-medewerker” software laten installeren of codes laten voorlezen. Dezelfde zwakte, twee richtingen: aan de telefoon kan geen van beide kanten bewijzen wie hij is.

Eén telefoontje, tien dagen stilstand

Begin september 2023 zochten aanvallers van de groep die als Scattered Spider bekendstaat een MGM-medewerker op via LinkedIn, belden ze de IT-helpdesk en deden ze zich voor als die medewerker. Volgens de berichtgeving duurde het gesprek ongeveer tien minuten. De reset die ze loskregen leidde naar geprivilegieerde toegang in de Okta-identiteitsomgeving van MGM, en van daaruit naar ransomware over het hele concern: afgelinte gokautomaten op de casinovloer in Las Vegas, dode digitale kamersleutels, platliggende reservatiesystemen, zowat tien dagen verstoring. In een beursmelding een maand later schatte MGM de schade op ongeveer 100 miljoen dollar voor dat kwartaal, plus zo’n 10 miljoen aan eenmalige responskosten, en bevestigde het dat klantgegevens waren gestolen, tot socialezekerheids- en paspoortnummers toe.

De zaak-Clorox is minder bekend en leerzamer voor wie zijn servicedesk uitbesteedt. In augustus 2023 belde iemand naar de helpdesk die Cognizant voor Clorox uitbaatte en vroeg wachtwoord- en MFA-resets voor medewerkersaccounts. Volgens de rechtszaak die Clorox in juli 2025 aanspande gaven de agenten die gewoon af, zonder personeelsnummer, zonder managersnaam, zonder ook maar iets van wat de geschreven procedure eiste; de klacht citeert transcripties waarin de agent de inloggegevens simpelweg overhandigt. Clorox stelt dat fabrieken op manuele werking moesten overschakelen en dat er maandenlang producttekorten waren, en eist ongeveer 380 miljoen dollar. Wat de rechter ook beslist: verificatie aan de helpdesk is voortaan een bestuurskwestie waarover geprocedeerd wordt. Wie zijn resetprocedure bij een leverancier legt, moet weten dat het contract nu even zwaar weegt als de firewall.

Dezelfde truc werkt in de omgekeerde richting

Draai de rollen om en het script blijft werken: de aanvaller belt een medewerker als helpdesk. “Goeiemiddag, IT-beveiliging hier. We zien malwareverkeer vanaf uw toestel, ik moet even meekijken, installeert u deze ondersteuningstool?” Of goedkoper nog: “Ik heb net een reset naar uw gsm gestuurd, leest u mij de code voor zodat ik zeker weet dat u het bent?” Een variant maakt het slachtoffer eerst murw met een regen van MFA-pushmeldingen om twee uur ‘s nachts, en belt ‘s ochtends als “IT” die de overlast komt oplossen.

Dit is geen theorie. De gezamenlijke waarschuwing van CISA en de FBI over Scattered Spider (advisory AA23-320A), voor het eerst gepubliceerd in november 2023 en nog in juli 2025 bijgewerkt, beschrijft exact dit dubbele draaiboek: aanvallers die zich bij de helpdesk voordoen als medewerker om resets los te krijgen, én aanvallers die zich bij medewerkers voordoen als IT om inloggegevens te oogsten en remote-accesstools te laten installeren. Ook het Nederlandse NCSC beschrijft social engineering als aanval op de mens in plaats van op de techniek, en het Belgische CCB richt zich met Safeonweb voor bedrijven op precies deze bewustwording. Wat de telefonische variant zo effectief maakt: de meeste werknemers zijn nog nooit spontaan door hun eigen IT-dienst opgebeld, maar ze hebben ook geen enkele manier om te controleren of dit telefoontje echt is.

Waarom kennisvragen niet meer werken

De meeste helpdesks verifiëren bellers met vragen naar wat die beller hoort te weten: personeelsnummer, geboortedatum, naam van de manager, kantoorlocatie, misschien het laatste ticket. Twintig jaar geleden was dat een redelijke filter. Vandaag staat het organogram op LinkedIn, zitten geboortedata en adressen in datalekken, en bevatten infostealer-logs die voor een paar euro verkocht worden de browsergeschiedenis, opgeslagen wachtwoorden en vaak schermafbeeldingen van het intranet. De aanvaller heeft dat allemaal open staan terwijl hij belt.

Daaronder schuilt een wranger probleem, dat me in incidentrapporten telkens weer opvalt: de aanvaller doet het beter dan de echte medewerker. De echte Maarten, in paniek bellend vanaf de luchthaven, hapert bij zijn personeelsnummer en weet niet meer welk ticket hij in maart indiende. De oplichter antwoordt onmiddellijk, want hij heeft zich voorbereid. Agenten die op gespreksduur en klanttevredenheid worden afgerekend, leren zelfverzekerdheid te lezen als echtheid, en zelfverzekerdheid is nu net het enige waar een professionele social engineer nooit gebrek aan heeft. Kennisgebaseerde verificatie faalt niet alleen tegen deze tegenstander; ze selecteert hem er actief uit.

De echte tegenmaatregelen, met hun echte prijs

Terugbellen is de sterkste eenvoudige controle: leg op en bel de medewerker terug op het gsm-nummer uit het HR-systeem, nooit op het nummer waarmee hij belde. Het werkt omdat de aanvaller dat toestel niet in handen heeft. Maar de kosten zijn reëel: nummers verouderen, nieuwkomers staan nog niet in het systeem, en een simswap, ook een techniek van Scattered Spider, kan het terugbelnummer kapen. Het klassieke voorwendsel “ik ben mijn gsm kwijt, daarom bel ik met dit nummer” is precies ontworpen om terugbellen zinloos te doen lijken. Dat is het niet: een verloren-gsm-verhaal moet het verificatieniveau verhogen, niet verlagen.

Videogesprekken met een liveness-check, waarbij de agent de beller vergelijkt met de HR-foto, leggen de lat hoger. Wees eerlijk over het plafond: realtime face-swapping is intussen wegwerptechnologie, en een helpdeskagent die naar een gecomprimeerd videobeeld tuurt is geen deepfakedetector. Video maakt de aanval duurder, niet onmogelijk.

Managergoedkeuring voegt een tweede mens toe. Ze is ook traag, breekt wanneer die manager in een vliegtuig zit, en roept de vraag op hoe je die goedkeuring zelf verifieert. Een e-mail “van” de manager is exact even vervalsbaar als het oorspronkelijke telefoontje.

Passkeys en FIDO2 veranderen wat een gestolen reset waard is. Wie met phishingbestendige sleutels werkt, heeft geen wachtwoord om af te geven en geen code om voor te lezen. Maar de inschrijvings- en herstelprocedure wordt dan het nieuwe kroonjuweel: de helpdeskhandeling “registreer een nieuwe passkey voor deze gebruiker” staat gelijk aan het uitreiken van een identiteit. Behandel ze als een geprivilegieerde wijziging met je zwaarste verificatie, niet als een routineticket.

Een verificatieprotocol voor beide richtingen

De vorm van een verdedigbare procedure, samengeperst:

Deel de handelingen in risicoklassen in. Een wachtwoordreset, een MFA-herinschrijving en een reset op een geprivilegieerd of directieaccount zijn drie verschillende dingen. Elke klasse krijgt zwaardere verificatie, en de hoogste klasse wordt nooit in één inkomend gesprek afgerond.
Verbied statische kennis als bewijs. Alles wat over iemand op te zoeken valt, bewijst niets. Het mag een ticket routeren; het mag er nooit een goedkeuren.
Bel altijd terug op het nummer uit het HR-dossier. Beweert de beller dat dat nummer dood is, dan escaleert de aanvraag naar verificatie ter plaatse of via video met een tweede goedkeurder. Escaleert, nooit omgekeerd.
Behandel MFA- en contactgegevenswijzigingen als geprivilegieerde operaties. Verwittig het oude toestel en de manager, en houd de wijziging kort in een wachtvenster waarin de echte medewerker bezwaar kan maken.
Geef agenten het recht om nee te zeggen. Zet zwart op wit dat geen enkele directeur, hoe kwaad ook, recht heeft op een reset binnen hetzelfde gesprek. Een agent die onder druk weigert, wordt bedankt, publiek.
Vertel medewerkers wat IT nooit zal doen. IT belt nooit spontaan met de vraag om een code voor te lezen, een push goed te keuren, software te installeren of een wachtwoord te delen. Eén zin, herhaald tot ze saai wordt.

Voor de omgekeerde richting volstaat één gewoonte bovenop die laatste regel: leg op en bel zelf terug via het gepubliceerde interne helpdesknummer of maak een ticket aan, en meld het oorspronkelijke telefoontje ook als je er niet bent ingetrapt. De eerste medewerker die een valse IT-oproep meldt, is meestal de enige waarschuwing die het securityteam krijgt dat er een campagne loopt.

Verificatie die niet op kennis of stem steunt

Alles hierboven leunt nog altijd op een kanaal waarin identiteit eerst beweerd en dan betwist wordt. Die asymmetrie is de reden waarom we Hongi bouwen. Twee mensen koppelen één keer, fysiek, door een QR-code te scannen; daarna ziet elk van hen een roterend codewoord dat elke 30 seconden ververst en offline op hun eigen toestel wordt berekend. Belt er iemand die beweert een collega te zijn, of de IT-dienst, dan vraag je het actuele codewoord. Een oplichter kan het niet kennen: het zit in geen enkel datalek, het valt niet te klonen zoals een stem, en het is alweer veranderd voor het herbruikt kan worden.

Voor een klein team werkt dat vandaag al met de gratis app: koppel elke medewerker met de helpdesk, of collega’s onderling, op een namiddag. En laat me eerlijk zijn over de grenzen: op ondernemingsschaal wil je directory-integratie en een SDK in je bestaande tooling, en dat spoor staat op onze roadmap, niet in het product. Interesse in die richting? De details staan op onze pagina voor organisaties, en de FAQ legt uit hoe het codewoordmechanisme onderliggend werkt.

De helpdesk zat vroeger achter de perimeter. De telefoontjes hierboven zijn hoe het klinkt nu hij de perimeter ís. Verifieer ernaar.