Niemand Is Veilig! Ethisch Hacker Legt Uit Hoe Bedrijven Worden Gehackt en Hoe je je Kan Beschermen!

Hikers werken, zoals er heel vaak gezegd wordt, ook in films enzo, hikers werken echt in de shadows. Je ziet ze niet, je hoort ze niet, totdat opeens alles locked is en er een ransomware aan je broek hangt van een miljoen of twee miljoen euro. Dan hoort je ze en dan zie je ze. En dan zit je te laat. Mijn naam is Niels Aerts, founder van Expose Security en je luistert naar Ben's Mentors.

Voor we beginnen, welkom. En dankjewel om week na week naar deze show te luisteren en te kijken. Dat betekent de wereld voor ons en het is ongelooflijk wat we al met Ben's Mentors hebben kunnen doen. Maar vooral, het voelt alsof we dan nog maar aan het starten zijn. We gaan nog zoveel waarde voor jou creëren en het zou jammer zijn als je daar iets van mist. Dus volg Ben's Mentors op dit platform en klik op het belletje om een melding te krijgen bij elke nieuwe aflevering. En als je geniet van deze gesprekken, zou het me een enorm plezier doen als je ook een rating kan geven. Dit vraagt maar 10 seconden en helpt ons samen groeien naar nog betere content en nog meer topgasten.

Dank je wel en geniet van het gesprek. Dag Niels. Aangenaam, dag. Als ethisch hacker heb je al veel gezien. Wat is het heftigste incident dat je ooit al hebt moeten oplossen? Ik ben een klant van mij in de overheidssector. Ik ben ooit om twee uur op gebeld geweest toen ik in Duitsland zat. Met een echt telefoontje van, wij worden op dit moment onder heel veel stress gehackt.

Hebben we je nu nodig? Want dat moet opgelost worden. ben ik effectief uit bed gestapt, onderbroek broek aan en beginnen hekken. Of ja, beginnen terug te hekken en te mitigeren eigenlijk. Ja, want dat is het dus dat je doet. Het is een wereld waar weinig mensen iets van weten, maar het is zo belangrijk. Daarmee dat ik ook heel graag met jou wil praten. Vertel eens even wat je exact doet en we gaan straks over jouw verhaal beginnen.

Wat ik exact doe, is dat ik bedrijven onder de loep ga nemen en ik ga bedrijven eigenlijk testen. Ik moet ervoor zorgen dat ik wonderbilties of kwetsbaarheden ga vinden die normaal hackers ook gaan vinden. En ik ga dat natuurlijk doen voor ik leer dat een echte hacker dat doet. En op basis van dat gaan wij dan kijken, oké, we hebben dit nu gevonden. Hoe gaan wij dat oplossen? Wat zijn de actieplannen en het termijn dat wij dat in kunnen oplossen? En ik doe dat in een heel specifieke manier dat andere bedrijven eigenlijk het niet gaan doen. Dus ik doe dat niet heel statisch met checklisten.

Heel veel bedrijven doen dat met checklisten. Ik doe het echt op een speciale, dat noem je een APT, Advanced Persistent Threat. Dus eigenlijk de hackergroepen. Echt op die manier ga ik een bedrijf ook benaderen. Ja. Ik ken jou nu al een beetje, en ik weet dat er heel veel termen worden gesmeten.

We zullen ons best doen om die wat uit te leggen, maar dat heb je hier dus al goed gedaan. Je doet dat niet alleen, je hebt een bedrijf dat ook serieus aan het groeien is. En dat is ook waarschijnlijk omdat dat dat risico veel groter wordt. De hackers worden altijd beter. En we zijn steeds meer met technologie bezig.

Dus het is ook belangrijk om de technologie die we gebruiken zo goed mogelijk te beschermen. Merk je dat er steeds meer van die inbraken worden gedaan bij bedrijven? Ja, toch wel. Ik heb daar ooit eens een studie over gedaan. Elke 4,36 seconden gebeurt er een hack in de wereld. En dat kan van groot tot klein. En dat kan van de bakker om de hoek gaan

tot echte grote multinationals. Dus je ziet dat meer en meer komen. Elk jaar verdubbelt ook de aantal ransomwares of de aantal virussen die uitgestuurd worden naar bedrijven. Dat verdubbelt ook elk jaar. En dat gaat blijven verdubbelen al niet nog meer. Zeker met AI en met al die nieuwe technologieën van quantum computing en al die zaken.

Dat is allemaal heel mooi dat ze daarmee bezig zijn. Dat helpt ons ook echt om te evolueren binnen IT en tech. dat komt met zoveel kwetsbaarheden ook en met zoveel risico kijken want natuurlijk, als wij dat kunnen gebruiken dan gaat een hacker dat ook kunnen gebruiken in Rusland, in China, in Korea die gaan dat ook allemaal kunnen gebruiken

en die gaan dat op een heel ander niveau gaan gebruiken als dat een normale mens, wij eigenlijk gaan gebruiken Voordat we hier begonnen had je ook even getoond hoe vaak dat bedrijven geld betalen aan hackers, omdat hun data wordt gegijzeld en die bedragen, ik viel

daar van achterover. Dus daarom is het zo belangrijk om daar effectief mee bezig te zijn en aandacht te besteden aan je cybersecurity, ook omdat je daar ook al weet je daar totaal niks van. Maar we gaan straks ingaan op

wat hij allemaal kan doen, wat wij als ondernemers of bedrijven kunnen doen om ons te beschermen. Maar we gaan eerst eens jouw verhaal vertellen. Want toen ik dat hoorde, ik viel bijna achterover. Dus neem mij eens mee terug door je verhaal

Dat begon toen je kleiner was, als gamer. Als gamer? Ik ga helemaal terug gaan. Ik ben begonnen met de allereerste computer in mijn handen toen ik elf jaar was, tien, elf jaar. En ook met de allereerste telefoon, gsm, van toen met zo'n antenne, eigenlijk zelfs. Zo ben ik dus begonnen. En heel gefascineerd.

Ik zat er heel veel achter en dat was toen nog met drivejes voor games te spelen. En dat was superfijn. En dan ben ik zo een gamer geworden. En toen ik 14, 15 jaar was en ik begon het middelbaar te gaan en dat begon meer mainstream te worden voor te gamen, ben ik echt heel intensief gaan gamen. Verschillende games. En ik deed het eigenlijk als uitlaatklep.

Ik ben altijd iemand geweest, ik heb ADD. Dus dat wil zeggen, opletten, aandacht erbij houden. moeilijk. Ik ben niet hyperactief. Dat ben ik, zover ik weet, niet. Maar ik heb heel moeilijk mijn aandacht erbij. Dat heb ik nu soms nog. Als ik iets doe wat

me niet 100% interesseert, dan wijk ik vrij snel af. En dat was een beetje een uitklaatklep om mij terug echt te laten focussen. Omdat ik in de klas heel vaak werd bekeken van die kan niet opletten.

Ik heb niet echt een heel fijne, lagere basisschool gehad. Helemaal niet verre van. Omdat ik het heel moeilijk had met communicatie ook en met mijzelf te zijn, ik wou altijd mee in de

pack gaan, dus ik ging dan naar huis, ik sloot mij op en ik begon te gamen, en dat heb ik echt voor jaren gedaan, van 14, 15 jaar tot, eigenlijk 20, 21 jaar heb ik dat gedaan niks anders, gewoon gamen en later toe

ook heiken en dan ben ik dus begonnen en ik wou heel snel wou ik goed zijn. Dat ben ik wel altijd geweest. Ik ben competitief. Dus ik ben dan stil

begonnen met ook competitive gaming te doen. Op het niveau van oké, we willen e-sporter worden, we willen echt professioneel gamer worden, maar ik kon nooit tegen mijn verlies. En toen ik dan zo

minder tegen mijn verlies kwam, 15, 16 jaar, ik ben dan zo beginnen op te zoeken hoe kan ik nu permanent winnen? Ik wil altijd winnen. Toen kwam ik dus op de markt van cheats terecht.

En ik begon daar zomaar mee te spelen. En zo is er dan stil eens aan begonnen, van oké, we gaan dan cheaten. Maar op een gegeven moment was er een punt dat ik dacht, het begint saai te worden, want ik won altijd, want ik ga eens in een cheaten.

En dan ben ik me beginnen verdiepen in de zin van, hoe werkt dat nu eigenlijk? Hoe kan dat nu dat één simpele kleine software ervoor kan zorgen dat ik altijd win, permanent. En dat

gaat van wallhack tot één bot tot alles. En ik ben dat beginnen te onderzoeken En zo kwam ik dus eigenlijk op het feit van Eigenlijk is dat niet zo moeilijk Jij vindt basically Een kwetsbaarheid In de anti-cheat of the game

En die ga jij Opnieuw de hele tijd Zolang je game on the run is Exploiteren En daar schrijf jij een loop rond Om dat de hele tijd te exploiteren En dan krijg jij wallack En dan ga je die game

Dat niet de bedoeling is dat die game doet wat dus is, je tegenstanders door muren laten zien enzovoort. Zo ben ik in dat gaming-stram ingekomen. Als echt fanatieke gamer uit Assa uitlaatklep. In mijn jonge jaren had ik een heel vervelende en moeilijke periode in school zelf. Ook BSO gedaan. Omdat ik gewoon niet kon studeren. Ik werd altijd een beetje benadeeld.

Mijn broer was een heel slim persoon. Die had altijd Latijn gedaan. Daar keek iedereen naar op. En ik, hotelschool, BSO, kon niet studeren, ik kon niet veel, mijn aandacht erbij houden. Dus ja, dan ging ik maar gewoon gamen, dat was het enige wat ik goed in was op dat moment. Waar ik wel in uitbelang. Ik vind het interessant als je zegt, ik ga in die games de kwetsbaarheden gaan zoeken en die exploiteren, want dat is ook wat je nu doet, aan de goede kant dan.

Maar er is nog een tussenfase. Ja. Hoe ben je dan van dat gamen naar de grijze zone van het hacken gegaan? Dat is een heel lang proces geweest. Dus ik heb dan zelf, ben ik beginnen met de games en de cheats, of de cheat engine op dat moment, de reverse engineering, om te kijken hoe dat werkt. En dan werk je met heel laagdrempelige code,

dat je computer kan lezen en dat je game kan lezen, maar dat niet detecteerbaar is. Dat is het hele ding. Je cheat mag niet detectabel zijn of je gaat geband worden. En ik ben dan zelf beginnen met die dingen te schrijven en na te kijken, werkt dat? Test, werkt dat? En ik ben dan heel veel accounts in je band geweest van mij

omdat dat niet werkt. Tot op een gegeven punt dat ik dacht, oh, dit werkt. En dit blijft werken. Met hier en daar wat tweaks en hier en daar wat bij. Met aanpassingen als de game geüpdatet wordt, blijft dat werken. En dan ben ik zo in heel die cheatwereld gekomen. Tot op een gegeven moment zei iemand waar ik mee samenwerkte, van, kun jij niet eens iets anders maken dan een cheat?

Ik zeg, ik kan wel vrij laagdrempelig coderen, dat is dan in de taal C of de taal assembly, dus echt computertaal van wat je computer zelf kan lezen. Ik kan dat wel proberen. Ja, we zijn eigenlijk bezig met een virus te ontwikkelen van dat bedrijven of dat dat altijd iets gaat exploiteren, maar niet op een game. Wel interessant, ik wil dat wel eens doen.

Zo ben je dan ingeraakt door virus en ransomware te beginnen ontwikkelen op een heel natuurlijke manier. Waar dat voor gebruikt werd, dat ga ik er tussenin laten. Dat weet ik zelf ook niet altijd honderd procent zeker. Het zou niet altijd heel kosher zijn geweest, Maar zo ben je dan een beetje ingerold in die cybersecurity wereld dan echt. Of in dat hacken effectief. Wanneer besefte je dan dat je weg moest uit die grijze zone?

En hoe heb je dat dan gedaan? Op sommige momenten, toen ik Virus & Ransomware aan het maken was, begon het zo heel warm te worden. Dat ik echt al dacht van, dit is echt niet wat het hoort te zijn. Of dit is echt niet meant voor gewoon testing purposes. want dan zeiden ze al tegen mij van ja, dit is voor testing purposes om ons eigen bedrijf veiliger te maken, om te kijken

of die virus en die ransomware effectief werken op ons bedrijf maar op een gegeven moment dacht ik van ik denk toch niet dat dat echt voor hun bedrijf is en dan ben ik daar stil gedaan om weg te gaan beginnen stappen, want natuurlijk wil ik wel niet ik wil niet de onethische kant

op dat niveau, daar wil ik natuurlijk niet in springen, op dat moment en nu nog steeds niet En dan ben ik eigenlijk die mensen zelfs aan het beginnen ghosten, zal ik maar zeggen. Die zal ik niet meer beginnen sturen en zeggen oké, nu ga ik andere kant op. En dat was ook de periode dat ik eigenlijk naar de hogeschool ging. Dus na mijn zevende jaar in middelbare hotelschool, zei ik tegen mijn ouders ik ga geen kok worden. Ik ga IT studeren.

Omdat ik natuurlijk zat de hele dag aan mijn computer. En mijn ouders zijn mij daar altijd enorm hard aan ondersteund. En die hebben gewoon gezegd, weet je, doe maar. Dus ik ga hogeschool in. En dat was het punt dat ik ook dan zeg van... Oké, nu ga ik stil dat ik dan weg ga van dat onethische gebeuren... van dat ransomware en virus te creëren. Of maken.

Tot op een gegeven moment... Een kamerad van mij die ik wel kende van de middelbare school... die zat toevallig bij mij in de klas. In de hogeschool. En die zei... Je weet toch dat je daar echt goed geld mee kunt verdienen? Met ethisch heiken. En ik zeg...

Dat kan, ik weet dat niet. die liet mij dan een platform zien en dat is een bug bounty platform waar dat effectief bedrijven zich op gaan zetten en zeggen jij mag ons hacken binnen deze scope of work daarbuiten is dat

wel illegaal dan, maar daarbinnen niet, en als je iets vindt moet je dat melden, en als dat dan effectief werkt en wat jij zegt klopt, dan krijg je dat voor betaald en zo niet, ja dan is het no cure no pay, dan is het niks ja, en hoe is het voor jou dan begonnen?

hoe ben jij daarmee begonnen? en wat zijn die prijzen die daar tegenover staan? ik ben daarmee begonnen door het feit van hij zei dat tegen mij en ik dacht, interessant, ik ga eens bekijken dat ik thuis ben, ik kom thuis van les ik ben gaan onderzoeken en ik zie dit lijken wel vrij simpele dingen die je kan oplossen

omdat ik saddel in dat codeer wereldje en dat vulnerability vinden wereldje en dat mij dat zo stil, ik zal mee beginnen testen de prijs die je er dan tegenaan gaat smijten dat ligt echt van bedrijf tot bedrijf af ik heb bedragen gezien van 30.000 euro, ik heb bedragen gezien

van 500 euro, van 2000 euro ik weet dat Apple zelfs een bounty weggeeft als je een volledige takeover van je iPhone kunt aantonen dat daar smijten ze miljoenen euro's naar wauw dat is ongezien, die bedragen zijn

immens soms En waarom doen zij dat dan? Wat zijn de risico's als die bedrijven dat niet doen? Het probleem is dat als bedrijven dat niet gaan doen, dat ze zichzelf blootstellen voor een prooi te worden. Dus zelf geëikt te worden. Dus grote bedrijven moeten heel vaak compliance worden. Compliances behalen en compliant worden met bepaalde standaarden,

zoals een ISO en een NIS. Dat zijn standaarden die aantonen, kijk, ik ga goed om met data. De data van mijn klanten bewaren wij goed, de data van mijn klanten verwerken wij goed. En wij gaan er veilig mee om. Dat is een beetje in heel korte termen wat die compliances doen. Maar om dat aan te tonen, moet jij effectief een audit laten doen op je bedrijf, die ook laat zien, kijk, wij zijn effectief veilig. En dat is langs twee kanten, je kunt dat doen door een deel van je bedrijf als bug bounty online te gooien

en te zeggen, hacker maar gewoon op loos en vind vulnerabilities dat wij in onze compliances kunnen gebruiken om compliant te worden. En langs de andere kant, de meer kritische dingen die ze niet graag online publiekelijk gooien voor de hackers te vinden, dan gaan ze zeggen, we gaan een bedrijf aanspreken die een audit of een pen-test of een penetration-test

of een ethical hack gaan doen op ons bedrijf heel specifiek voor die afgesloten infrastructuur eigenlijk. Wanneer is het voor jou duidelijk geworden dat je daar een bedrijf rond kon bouwen? Want toen je begon met die bug bounties en bedrijven waar ethisch begon te hacken, dan was het nog geen bedrijf. Maar nu, je bent oprichter van Expo Security, je doet het niet alleen, je hebt een heel team rond jou, dat ook serieus aan het groeien is. Wanneer heb je die overstap gemaakt naar ondernemer?

Overstap is gemaakt in 2021. En 2021, 2022. Dus eigenlijk 2021. En dat was omdat na twee jaar op de hogeschool had ik een enorm grote bounty gevonden. En die betaalde mij zeer goed uit. En toen heb ik gewoon gezegd, weet je, ik stop ermee. Ik ga gewoon werken.

Maar mijn ouders vonden dat maar niks. Dus die hebben gezegd, kijk, ga gewoon eerst werken onder een baas. En dan zul je wel zien of je een zelfstandige wilt worden. Dus ik zeg, oké, ik ga met mijn baas werken. Ik heb twee jobs geprobeerd. Eén job stopt me totaal niet aan, want die hadden dat verkocht als security engineer. En ik was uiteindelijk gewoon een helpdesk. Dus ben ik daar weggegaan na twee maanden.

En de tweede job was dan bij AppState, dat is de T-groep. En dat is hier heel toevallig, van mijn kantoor hier, is dat hier echt vogelvlucht, nog een kilometer vanaf. En die hebben mij eigenlijk gewoon gezegd, je gaat helpdesk doen. en die hebben gezegd dat op een manier van je gaat helpdesk doen en certificaten behalen wij gaan u helpen, wij gaan u opleiden

dat je weer een security engineer kunt worden dus ik dacht, weet je dat vind ik fair, dan zeg je tenminste dat ik een helpdesk ga doen, dan ga je niet zeggen je gaat security doen om de helpdesk te worden en dan heb ik daar een jaar gewerkt enorm veel ervaring op gedaan en om te compenseren dat ik geen bachelor diploma heb

heb ik 26 certificaten verhaald in 6 maanden tijd puur op de kosten of van EPSIS oftewel op mijn eigen kosten om echt te leren in dat cybersecurity gegeven te komen om eigenlijk meer het corporate cybersecurity te leren, want

ik kon hacken, ik wist hoe ik bedrijven moest expose als vulnerabilities ik wist hoe ik dat moest doen maar ik ken de corporate site er totaal niet van en dan na dat jaar heb ik gezegd ik weet genoeg, ik heb genoeg kennis misschien ben ik zelfstandig gegaan

maar dan was ik nog zo'n beetje aan het twijfelen tot opeens een overheidsinstantie mij stuurde en mij belde zelfs. En die zei, wij zoeken hackers. We hebben u nodig. Jij moet komen. En dat was kind of a non-negotiable.

En ik zeg, ja, ik wil dat wel doen. Ik heb een job. En ik kan niet zomaar van fulltime naar fulltime gaan. En die daar gaat niet fulltime zijn, zegt hij. Je moet freelancer worden. Dus toen heb ik een manzaak opgericht. Ben ik op een slag genomen. En mijn baas toen

heeft mij daar enorm aan ondersteund. En die heeft ook echt gezegd, weet je, ik ben echt aan het kankeren. Ik ben in kantoor geworden en ik heb gewoon gezegd, stop. Eén of andere dag. En die heeft toen letterlijk gezegd, waarom? We hebben samen gezeten, heeft hij alles, heb ik toegelicht wat ik wou doen. En hij heeft toen gezegd, oké, ik apprecieer die eerlijkheid, dank je wel. En als je wilt, mag je vandaag gewoon stoppen.

Dan callen wij je de day. En dan zijn we even goeie vrienden en dan mag je gewoon vertrekken. En die zei dat op zo'n leuke, fijne manier. om echt zo van... Zelfs hij support mij daarin. Dan ben ik een freelancer geworden. Papa kende dan een boekhouwer, ik kende dat wel een beetje. En op een gegeven moment, maand één of twee,

is hij mijn boekhouwer al. Je moet BV worden. Je verdient te veel geld om een eenmaal ontzakt te worden. Ik ben dan BV overgeschakeld. En dan begin 2022 is dat stil eens aan een BV geworden. meer klanten beginnen aannemen, groter beginnen worden meer projecten

en zo is de stilte aangegroeid heel natuurlijk eigenlijk en hoe zag dat werken er dan uit dat je bijvoorbeeld voor die voor die overheid ging doen analyseren van toevallig malware en virussen het is echt gewoon

zij kregen continu threats en continu vulnerabilities binnen, virussen binnen en heel veel problemen binnen. Van userproblemen tot softwarematische en infrastructuurproblemen. En ik moest dat

permanent analyseren, waar dat van afkwam, hoe dat er naar binnen kwam, en hoe wij de security konden hardenen, zeggen ze ook wel. Dus sterker maken op basis van wat er binnenkwam. En dat was de day-to-day. Ik vind dat echt crazy dat je op zo'n jonge leeftijd al

door overheden wordt aangesproken om hen te helpen. Hoe oud ben je nu? 25. 25. En je bent al een tijdje bezig. Hoe gingen die grote bedrijven daarmee om, als ze daar een jonge gast voor hun zagen?

Dat is een beetje dubbel. Langs de ene kant denken die, een jonge gast met goed veel ervaring, die zal dat wel kunnen. Anders is hij een zelfstandige geworden en anders zou hij daar geen bedrijf rondmaken. Langs de andere kant, autoriteit is toch een hele moeilijke dan.

Het is heel corporate soms. Ik zit bij heel grote banken ook. En overheidsinstants, dat is de grootste industrie waar ik in zit. Bank en overheid. En het is daar zo corporate, dat of ik nu enorm grote kwetsbaarheden vind, en ik kan bij zo'n spreke 500 servers op dit moment platgooien, ja, dan word ik zo'n beetje onder mijn duiven geschoten,

in de zin van, wow, die heeft niet veel te zeggen, nog altijd niet. Of ik word overruled door managers die zogezegd meer ervaring hebben. Dus het is een beetje dubbel. Aan de ene kant weten ze dat ze mij nodig hebben en ze huren mij daar ook voor in, voor echt die kennis. En voor te laten zien waar ze de mis in gaan. Aan de andere kant, op meetings met stakeholders moet ik mij soms echt stevig verdedigen.

Omdat dat echt met CISOs, dus Chief Informational Security Officers, of de CTO's, of de CEO's zelfs, en dan een hele groep van alle managers. Ik heb een keer zelfs voor een kamer van 20, 30 man allemaal C-suite, allemaal managers, allemaal grote stakeholders, moeten zeggen ik, als toen

23, 24-jarige, waar zij de mis in gingen, waar zij fout deden, om het dan nog eens budget te vragen, om het op te lossen. Ik moest dat vragen. Om te zeggen, jij moet hier nu een half miljoen voor vrijmaken. Dat was niet

de makkelijkste aanpak. Dan ben ik gegrild geweest. Maar dat is gelukt, dat gaat goed. Ik ben altijd heel transparant, heel eerlijk, heel communicatief. Ik zeg gewoon waar het op staat. Dat is wel belangrijk in die sector.

Het heeft geen nut, vind ik, om dingen achter te houden. En te zeggen, dit kan wel mis zijn, dit kan misschien niet mis zijn, ik ga even doortesten voordat ik dat ga melden. Nee, ik meld dat nu. En ik test wel door, terwijl ze al weten dat dat op tafel ligt.

En daar appliceren ze meestal wel van mij, dat ik zo transparant ben. Oké, we gaan dan eens kijken naar hoeveel gevaar dat mensen en bedrijven lopen. We hebben hier van alles. op tafel liggen.

Dat zijn gewoon kabels en USB-sticks. Dat ziet er allemaal normaal uit. Klopt. Voor de mensen die aan het luisteren zijn er een audio. We hebben hier wat materiaal op tafel liggen. Schakel zeker over naar video als je het wilt zien. Wat zijn die dingen hier? Wat doe je daarmee?

Bijvoorbeeld, dit is mijn nieuwste speelgoedje. Speelgoedje. Dit vind ik heel leuk. Dit heeft eigenlijk allemaal antennes. en ik kan daar wifi-signalen mee onderscheppen, maar ook mee dupliceren. Dus als ik twins of tweelingen wil maken, dan zeggen iedereen dat het van het netwerk gegooid wordt

en iedereen met mijn netwerk laten te verbinden. Dan zie ik hier alle trafiek overgaan, niet geïncrypteerd, dus dat ik gewoon plaintext wachtwoorden, gebruikersnamen, kan dat hier allemaal doorzien gaan. En dan kan ik zo data krijgen van iedereen in een bedrijf. Zo heb ik ooit binnengelopen bij een klant van mij. En ik heb dan met deze tool gedaan, niet met deze. Dit is iets meer on-steroid, zal ik maar zeggen.

En ik heb dan gewoon iedereen van het netwerk gegooid. Dat was ongeveer een twintig, dertig man. En iedereen met mijn netwerk werd geconnecteerd. En twee, drie minuten later had ik admingegevens, usergegevens. En kon ik gewoon simpelweg de infrastructuur binnenwandelen. Dat is een heel leuk ding. Dit is een... Daar ben ik het meest benieuwd naar.

Dat zijn gewoon kabels en dingen die we dagelijks gebruiken. Wat is het verschil? Wat zijn dat? Hier heb je een microchip in. Een microcomputer, eigenlijk. En daarom dat dat oranje ding rondzit, want dat is echt gewoon een simpele, echte USB-C-kabel. Dan laadt je je gsm ook gewoon op, gelijk in een normale USB-C-kabel.

Maar daar heb ik rondgehangen. Stel, ik ga dat thuis gebruiken. Dan ga ik niet echt goed zingen. en die microcomputer is ook echt zo kei klein. En dat kan twee dingen. Dat kan scripts, genaamd payloads, daarop slaan. En als je dat in je gsm steekt, dan gaat hij die scripts en die payloads gaan uitvoeren.

En ik heb dan een soort van... Echt zoals in de films een beetje. Een command-and-control-center noemt dat. Dat is een centrale centrale waar alles in terechtkomt. En ik kan dan zien, ah, jij bent, je hebt geconnecteerd met je gsm, dat is een iPhone 15 Pro Max. En ik kan dan vanuit die command en control, daar staat het ook voor, ik kan controleren wat jij doet met je gsm. En dan kan ik effectief virussen uitsturen van mijn thuis gewoon naar je gsm. Ik kan phishing mails uitsturen, ik kan je opnieuw laten inloggen op de wifi, ik kan je opnieuw laten inloggen op je gmail.

En ik krijg dat allemaal gewoon binnen. En dat kan ik met deze kabel met schuug-gsm erbij aansluiten. Dat vind ik gestoord. Stel, je bent in een luchthaven en daar steekt ergens in de stopcontact een lader in. En je denkt, ik heb nog 5% op mijn gsm, ik ga dat even insteken. Dan heb ik alle data die ik wil. Ik kan daar gewoon letterlijk rond slingeren op de luchthaven. Niemand denkt dat dat iets raars is, want dat laadt gewoon op.

Een gratis kabel. Een gratis kabel, ik pak die gewoon snel mee. Op de seconde dat die mij verbinden, krijg ik een pop-up op mijn gsm. Want ik heb daar een command-control verbindt door naar mijn gsm. En dan krijg ik, pop, ben is geconnecteerd met deze gsm. Ik klik erop door en ik kan op mijn gsm alles doorvoeren, uitsturen, al die zaken. Ah nee. Super fijn.

Hetzelfde met die wifi waarschijnlijk. Ja, hetzelfde met die wifi. Ik vraag me dan af, al die gratis wifi dat je zo overal kunt krijgen, je geeft dan je gegevens waarschijnlijk af. Ja. Ja, wij denken, gratis wifi, leuk, ik kan verder scrollen. Klopt. Maar wat zijn de risico's daar dan?

De risico's zijn, gratis wifi, dat is niet 100% geïncrypteerd. Tegenwoordig is dat wel iets meer beveiligd, maar dat is zodanig opgezet dat Jan en alle mannen eigenlijk kan verbinden daarmee simpelweg met zijn gsm-nummer in te geven of een account aan te maken. Wat gaan mensen dan doen? Die gaan een account aanmaken en die gaan verbinden met wifi.

Maar als ik daar intussen zit met zo'n sniffer, noemt dat, en ik onderschep alle data, ik kan, dat zijn niet 100% goed geïncrypteerdes, kan ik gewoon plain text opnieuw alles zien wat iedereen aan het doen is, welke websites je gaat bezoeken waar je op een inloggegevens bent ik kan dat dan opslaan

dan kan ik dat op mijn computer zetten op mijn laptop zetten en ik kan dat volledig laten uitlezen met een tool genaamd Wireshark die leest al die pakketjes uit en dan kan ik alles gewoon mooi onder elkaar zetten en kijken oké, Ben heeft hier ingelogd, Niels heeft hier ingelogd deze website op dat moment

dan staan ze wachtwoord En het probleem is dan dat heel veel mensen dezelfde wachtwoorden gaan gebruiken voor heel veel accounts. Bijvoorbeeld, je hond en je geboortedatum willen niet zo veel gebruikt worden. En dan zie ik gewoon, dit is de e-mail, dit is de geboortedatum en dit is de wachtwoord. Ik ga dat proberen op Gmail, op Instagram gelogd en zo verder. Damn, dat is crazy hoe makkelijk dat mensen aan je data kunnen komen. Je sprak ook al over cookies.

Klopt. Wat is daar de deal mee? Want we moeten dat overal accepteren, dat komt op elke website op. Wat is het gevaar of het risico dat we daarmee lopen? Je hebt al gezegd, doe dat niet. Nee, ik zeg dat vaak, doe dat niet. Ik doe dat zelden tot nooit. Tenzij ik echt weet dat die website dat nodig heeft

en die kan niet functioneren zonder, maar heel vaak is dat niet eens het geval. Cookies is eigenlijk gewoon een schone woord voor ik sla je data en je log-in gegevens op en dat mag van je. Dat is letterlijk dat. Het probleem is dan dat er bestaat zoiets als credential harvesting. Credential harvesting is letterlijk wanneer een hacker

eigenlijk een virus gaat sturen op je computer en je opent die virus. Tegenwoordig zijn virussen zo geadvanced of zo sterk dat je nog gewoon een mail kunt open doen en de virus wel geïnfecteerd. Dus niet eens klikken op een link. Nee, klikken op een link, niet eens openen van een file. Gewoon echt al, ik open de e-mail

en zo advanced is dat die orde al geworden, dat jij dan een virus installeert, of een trojan, een trojanspaard eigenlijk, installeert, die gaat al je data op die browser, gaat die verpakken,

in één groot pakketje, en die gaat dat doorsturen simpelweg naar de eiker. Die hacker heeft dan de cookies. Niet login, Gmail, wacht, maar echt gewoon de cookies. Dat is gewoon een geëncrypteerde link, maar die geëncrypteerde link of URL of zin, die bevat je wachtwoord, je gebruikersnaam. Maar ook, dat is het enge van alles,

je twee-factor-authenticatie zit ook in je cookie. Wat is het voor het zeggen als iemand je cookie heeft? van YouTube, bijvoorbeeld, die moet geen 2FA meer doen op zijn gsm. Die is gewoon direct ingelogd. En ik als hacker, wat doe ik? Ik gebruik een browser, genaamd

Octobrowser, waar ik gewoon letterlijk cookies kan copy-pasten. Ik run de browser en ik ben volledig ingelogd op iedereen zijn gebruikers. Zonder 2FA, zonder iets. Gewoon gmail,

ik kan er overal aan. Bedrijfsgmail, ik kan er zomaar aan. Teams, ik kan er zomaar in. OneDrive, gewoon overal zomaar in net zo'n cookies, gewoon simpelweg maar jij denkt dat het onschuldig is om accept cookies te doen omdat je een vervelende pop-up vindt

ga jij zeggen, dat is letterlijk ik krijg er echt schrik van je wilt gewoon die cookies weg, accepteren dat ik die website kan gebruiken maar daar het is best meestop om. Ja, ik raad dat af tenzij je het echt moet voor de functionaliteiten

van de website anders werkt de website gewoon niet dan zou ik hem accepteren. Maar zelfs dan zou ik zelfs niet eens een login maken of iets in die aard. En geloof me, 99% van de

websites, als je cookies de client, no one cares. Je kunt dat nog steeds gebruiken. Je kunt gewoon gebruiken en werken. En dan kun je wel inloggen en van zondag je ding doen. Die slaat niks op. Een bericht van je host.

Als founder of CEO ben je het gezicht van je onderneming. En een van je taken is om je bedrijf en je missie in de kijker te zetten. En als je vandaag nog niks doet met social content, dan mis je zoveel. Want om het vertrouwen van je doelgroep te winnen,

moet je ze op regelmatige basis bereiken en moeten zij weten wat jij voor hen kan doen. Maar ik weet dat dat tijd kost en dat dat niet je core business is. En daarom doen wij exact dat voor ondernemers. Wij helpen jou aan een founder brand dat je zaak omzet en impact doet groeien op een leuke

manier en zonder al het werk. Elke dag opnieuw zie ik de resultaten die onze content voor ondernemers creëren. Meer info in de show notes. Ik zit niet zo vaak tegenover een hacker

of een ethisch hacker. Dat gebeurt niet zo regelmatig. Dus ik ben wel benieuwd naar deze. Wat moeten wij weten van hoe hackers werken om de ernst ervan te begrijpen? Hackers werken zoals er heel vaak gezegd wordt, ook in films en zo, dat is dan wel waar. Hackers werken echt in de shadows.

Je ziet ze niet, je hoort ze niet, totdat opeens alles locked is en er een ransomware aan je broek hangt van een miljoen of twee miljoen euro. Dan hoort je ze en dan zie je ze. en dan zit je te laat. Wat ik tegen iedereen zeg, tegen al mijn klanten, tegen al mijn prospects,

hackers weten meer van je dan je denkt. Jij gooit zomaar alles op social media, jij gooit zomaar alles online, jij logt zomaar overal in en je laat zien wie jij bent. En dat is goed, ik doe dat zelf ook. Maar als ik kan zien wie jij bent, kan een hacker dat ook zien.

En een hacker bekijkt dat altijd met een andere pet. de reden waarom hackers goed zijn is die zijn goed in het opmerken of het zien van patronen die kunnen patronen zien in de behavior of in hoe dat mensen werken of hoe dat bedrijf werkt dat is hoe dat hackers effectief goed zijn in zijn ding dan op basis van dat gaan die die patronen

proberen doorbreken en zoveel mogelijk data verzamelen van het bedrijf, van de mens om zo lang mogelijk lang of zo lang mogelijk eigenlijk die data bij zich te houden tot ze uiteindelijk zeggen oké, nu heb ik zoveel

na zes maanden, zeven maanden, acht maanden, tien maanden, twaalf maanden, you name it dat ze kunnen zeggen we hebben genoeg. Nu kunnen we de knop duwen om alles te lokken en ransomware te vragen. En dat wil dan zeggen dat ze geld vragen om je gegevens terug te geven. Ja, exact. En zelfs dan zijn ze niet zeker

of ze de gegevens effectief gaan verwijderen. Ik heb al meegemaakt dat een klant het bedrag betaalt of wou betalen. Of hij had een voorgaande bedrag betaald, dan kwamen ze naar mij om het op te lossen. En wat deed ik dan? Ik ga als eerste zoeken op de darkweb waar de problemen liggen en of ze nog effectief geleakt zijn. Ik open twee links, ik zie hun data gewoon open op het internet staan, op de darkweb staan. Niet eens verkocht, gewoon gratis. dan zeg ik ja mannen, ik hoop dat je je wachthoor

en al je dingen toch en je security hardening toch van zonnetje hebt aangepast, want alsjeblieft hier is de lead die je vorig jaar hebt gehad en daar heb je het je vorig jaar een paar honderdduizend euro tegen aangekletst en het staat gewoon nog altijd online, dus ik hoop voor u echt waar dat jij goed je data hebt gerecoverd en goed ermee om zit gegaan

want anders zet je hier morgen opnieuw ransom aan betalen ja, dus mensen kunnen gewoon als mensen kunnen binnenbreken als hackers kunnen binnenbreken in je bedrijf kunnen die data ergens online dat is dan in de dark web daar zullen we straks ook iets over hebben

en dan kunnen andere mensen daar gewoon aan en kunnen die daar gebruiken of misbruiken. Klopt. En het is echt super simpel. Wij kunnen nu op de dark web gaan en 30 bedrijven data downloaden en ik kan hier nu

30 bedrijven ransomware houden. Simpel is dat. Het is echt niet moeilijk. En over welke bedragen hebben we het dan als welke bedragen vragen die hackers aan bedrijven voor

die data terug te geven? Dat hangt echt af van de grootte van het bedrijf. Meestal is dat een percentage van de revenue. Dus die gaan gewoon kijken, 300 miljoen euro revenue, wij willen 5%. En die vragen gewoon dat.

En that's it. Of wij willen 10%, wij willen 30 mil, wij willen 15 mil. Omdat ze weten, die doet zoveel revenue, die zullen wel betalen. En anders dan, die gaan geen 300 mil vragen, want die weten dat die kunnen betalen of niet willen betalen.

Logisch. Dat is heel vaak een percentage. Oftewel, wat ze ook heel vaak doen, stikproefgewijs, kijken hoeveel data hebben wij nu? Wat zouden wij eigenlijk kunnen met die data? En hoeveel zouden wij daarvoor kunnen verkopen? En dan gaan ze rondhoren bij hun hackervriendjes en ze gaan zeggen, hoeveel zou jij geven

voor dit landbouwbedrijf? Eigenlijk. Om de data te kopen. Ah, wauw, 500.000 euro. Oké, ça va. Die verkopen we dan. aan het bedrijf terug voor 500.000 euro. Dan weten ze ook genoeg.

Dus één van die twee. Een beetje met een natte vinger, oftewel op basis van percentage, revenue. Ja. Dus dan is het eigenlijk al te laat, hè? Ja, dan is het te laat. Kunnen jullie eigenlijk liefst de mensen, ondernemers en bedrijven helpen om die dingen te voorkomen?

Mhm. Dus wat zijn veelgemaakte fouten of waar zijn bedrijven het meest kwetsbaar voor rekkers? De meest gemaakte fout, dat is en dat blijft social engineering. Dat ga ik altijd blijven zeggen, zeker nu met AI. Always social engineering? Eigenlijk de manipulatie techniek van hackers. Hackers gaan de mens manipuleren om data te verkrijgen van haar of hem.

Zoveel mogelijk data te verkrijgen. En die data gaan ze dan gebruiken om dat te exploiteren. Bijvoorbeeld, er is een nieuws gekomen. MGM Resort. Dat is een bedrijf in Las Vegas. Een casino en een hotel in Las Vegas. We hebben die gewoon simpelweg gedaan. Die hebben gebeld aan de receptie.

Die hebben gedaan alsof zij een van de managers waren. En die zegt, ja, ik ben aan het inloggen vanuit het buitenland. Ik zit op excursie of ik zit op buitenlandse activiteit. Ik kan niet inloggen. En ik moet een admin-account hebben. want anders kan ik mijn job niet van zoendik doen. Maar die hebben research gedaan in eerste instantie en die wisten effectief dat die manager of die C-suite

of wat het ook was, op excursie in het buitenland was. Dus dat is waar. Wat heeft hij dan gedaan? Over de telefoon gewoon. User wachter erop genoemd. Reset, password gezet. Nog geen vijf minuten later lag heel dat bedrijf plat. Mensen waren letterlijk opgesloten in hun hotelkamers

omdat die met R&V D-chips werken en die hebben gewoon gezegd, alles wordt uitgeschakeld. Het bedrijf heeft miljoenen verloren, casinos werkten niet, overal blauwe schermen op die casinos, dat werkte allemaal niet. Die hebben die ransomware effectief moeten betalen. Anders dan kon het er niet uit. Dus die hackers wachten eigenlijk gewoon heel lang totdat er iemand een fout maakt en dan...

Ja. Dan is het... Exact, exact. Dan hangt het gewoon. En wat kun je dan doen om dat te voorkomen? Ik denk dat dat het belangrijkste is. Voorkomen is echt gewoon leer je personeel. Dat is een vrij dom verwoord dat ik nu ga zeggen.

Maar leer je personeel omgaan met een computer. En dat klinkt stom, echt waar. Maar geloof me. Ik ken nu nogal mensen die niet weten wat bijvoorbeeld een ctrl-a is om alles te selecteren. Dat zijn de mensen die jij aanneemt om sales te doen voor jou of om receptie te doen voor jou of voor services te doen voor jou, die niet weten hoe een ctrl-a of ctrl-c of ctrl-v werkt.

Je kent die commando's allemaal niet. Dan wil ik niet weten, als er een hacker inbelt, om te vragen wat de user account is en hij doet zich voor als iemand van de klanten... Simpelweg zo'n phishing-mail of zo. Ja, die klik je dan gewoon op. En dan is het interesse gewoon... Oh, cool.

Klik. Hup. Data doorgestuurd. Ik ga binnenloggen. Data doorgestuurd, ja. Dat zijn de basisdingen. Dat moet op orde zijn. Ik denk dat meer dan 80% van de hacks gebeuren effectief door social engineering.

Iedereen denkt dat een hacker altijd permanent achter de computer zit om zo alles te manipuleren, te exploiteren en ervoor te zorgen dat die binnen geraken. Het is echt zo simpel als gewoon in je telefoon pakken en bellen naar iemand van de receptie op de service en ze komen te vragen of je wacht of te resetten. Ja, damn. Bedrijven moeten dat wel weten. Maar dus om zich daartegen te beschermen, jij helpt hen daarmee.

Ja. Hoe ga je dan te werk? Dat is de manier die andere bedrijven, of minder bedrijven die ik ken, hoe ik het doe. Ik zeg tegen een bedrijf, ik doe geen pentest. Ik ga niet een week nakijken hoe je infrastructuur eruit ziet.

En dat is heel cru gezegd, wat dat een bedrijf die 10 20 jaar bestaat waar dat zij op 10 20 jaar hebben opgebouwd kan ik niet op een week tijd helemaal gaan na checken of alles effectief veilig is en zo gaan bedrijven wel effectief concurrentie we mij het verkopen wij doen het op anderhalf week tijd gaan wij hele security testen het gaat niet het is een bedrijf die bestaat 10 20 jaar die doen die bouwen het de infrastructuur letterlijk op, die stapelen gewoon. We hebben nu een nieuwe server nodig, we hangen die er wel gewoon aan.

Netwerk verbreden, we hangen die er wel gewoon aan. En jij denkt dat jij dan gaat hacken over een week tijd en alle vonnerwildes kun je niet spouwen. Nee, je kunt misschien één website hacken over een week tijd, met een fatsoenlijke loginportaal en een CRM-systeem achter.

En dan weet je misschien genoeg over alleen dat. Wat ik dan doe, ik zeg tegen die mensen, je hebt drie keuzes. Drie maanden samenwerken, zes maanden samenwerken. of negen maanden samenwerken.

Dat is alles wat je hebt. Dan ben je drie tot zes tot negen maanden tijd, ga ik van nul tot honderd, echt van A tot Z kijken, alles uit de box halen. Van social engineering, tot fysiek langsgaan, elk device dat ik in mijn hackertas heb zitten te gebruiken, tot bellen, doen alsof ik telenet ben, tot langsgaan, doen alsof ik Proximus ben

en zeggen dat ik de fiber kom regelen. Allee. Alles. Tot zelfs mijn computer ergens aanhangen en dit leuke ding eens gaan gebruiken, dat in je modem steken en kijken of dat werkt. Allee, tot natuurlijk de basis, softwarematisch de website gaan testen,

stress testen. En dat doe ik voor een lange termijn. Waarom? Dat wil niet zeggen dat ik ook effectief zes maanden nodig heb om dat bedrijf neer te gooien. Ik heb een klant met een bank, daar heb ik 2000 suivels kunnen nekken op een week tijd. En dat is een van de grootste banken

dat je ooit mee kunt voorstellen. Die suivels hebben twaalf maanden geduurd. Op eerste week hebben wij dat kunnen doen. Ik meld dat, maar ik doe het door. Waarom? Het wil niet zeggen dat je één ding vindt dat het genoeg is. Als je één ding vindt, op zeker een korte tijdspanne, dan ga je veel meer vinden op een maand, twee maanden, drie maanden, vier maanden tijd en langer.

En dat is wat een eikeren doet. Maanden. Kijken. Onderzoeken. Patronen bekijken hoe je bedrijf werkt. op basis van dat gaan ze zeggen dit is je impact.

Wat ga ik zeggen? Dit is je impact. Dit kan ik nu exact uitvoeren en je verliest 20 miljoen. Dit kan ik nu exact uitvoeren en je bent bankrupt. Dit kan ik nu uitvoeren en je servers liggen uit

voor 24 uur, minstens. En dat is het voordeel als je met mij gaat samenwerken. Echt die lange termijnvisie van het echt simuleren van een hacker nakijken. Zo werk ik. Dat is dus het concept van ethisch hacken waarschijnlijk ook.

Je gaat zoals criminele hackers werken, maar dan om te beschermen in plaats van om pijn te doen. Dat drie maanden duurt, is toch drie maanden. Als dat zes maanden duurt, zes. Kan ook langer duren. Als we dan kijken, want dat is bedrijven, de bedrijvenkant is heel belangrijk. Hoe kunnen wij als individuen onszelf beschermen voor aanvallen? Dus die phishing gebeurt veel vaker.

Het is zo snel gebeurd, ze worden er ook beter in. Om eerlijk te zijn, ik heb het zelf ook al meegemaakt. Gelukkig niks verloren, heel veel chance, houtverstalen. Maar het gebeurt heel snel. Wat kunnen wij doen om onszelf beter te beschermen? Eigenlijk zeg ik altijd, twee à drie dingen kun jij sowieso doen. Eigenlijk drie sowieso. En dat is één, een tweestapsverificatie op alles.

I know, dat is kut. Ik moet nog vaak mijn gsm... Dat is niet nice. Het duurt te lang voordat je ingelogd bent op YouTube en YouTube-video's te kijken. Het is niet altijd even even gedaan, maar doe dat. Maar daarnet zei je dat sommige hackers, inclusief jezelf, ook die tweestapsverificatie kunnen overbruggen.

Klopt, en dat is als je de cookies accepteert. Dus zo min mogelijk ook eens accepteren. Hoort daarbij. Als tweede, wachtwoord. Wat ik ook heel veel zie. Maak dat sterk genoeg. En gebruik niet één wachtwoord voor elke Gmail, elke account dat je gebruikt.

Ongeacht, nogmaals, dat hij met credential harvesting, je credentials kunnen harvesten en simpelweg gewoon kunnen inloggen. Of je nu twaalf cijfers of dertig cijfers gebruikt, supercomplex of niet, ze kunnen dat gewoon copy-pasten. Dus dit is moeilijker dan het woord. Ik zeg niet dat het makkelijk is. helemaal niet, maar je kunt een hacker al zo moeilijk mogelijk maken

om te beginnen met zoveel mogelijk verschillende wachtwoorden te gebruiken zoveel mogelijk lange wachtwoorden te gebruiken en als derde, en dat is hetgene waar dat een hacker heel weinig tegen kan doen, tot zelfs niks gebruik je eigen spidey senses

je spidey senses, je spider senses dat je alles dubbel gaat checken alles, ik ben heel panisch erop. Ik ben daar heel op aan. Alles dubbel checken. Als je een mail krijgt,

denk even na. Moet ik een mail krijgen van de bakker? En is dat wel legit? Denk gewoon na. Ga niet zomaar rondklikken. Ga niet zomaar doen alsof je alles

kent van het internet. Want geloof me, je kent pas alles van het internet als je echt de donkere kant gaat zien van het internet. Dan kent je alles. Maar heel veel mensen gaan die kanten nooit zien.

dus die denken Google Chrome en Microsoft en Google die beveiligen alles zo goed ik klik wel wat rond en dat komt goed maar als er phishing is dan Microsoft het wel melden of Google nee dus ik gebruik nu Spidey Census

om alles te wel checken check de link, check check met wie je aan het bellen bent, check op Discord wie is die guy eigenlijk, ken ik die guy moet die mij sturen, wil die gewoon niet daten van mij manieren waarop dat hijkers of mensen sturen naar jou, dan weet je meestal al genoeg.

Als dat niet oprecht overkomt, laat dat vallen. En de bank gaat waarschijnlijk niet via mail vragen naar je gegevens. Exact. Ook niet via telefoon. Weet je wat een bank gaat vragen? Dat is nu een heel stom voorbeeld.

Dat pand. Ik zat hier net. Ik wil mijn zetel verplaatsen van waar ik eerst zat tot waar ik nu zit. ik moet effectief langs gaan tekenen

om gewoon te zeggen ja we zijn verhuisd omdat fraude een bank gaat dat ook wonen kom op een kantoor langs wij gaan uw rekening niet verhogen toen ik naar Dubai ging vorig jaar moest ik mijn creditcard verhogen

want ik wist niet wat er ging gebeuren daar toen was de eerste keer dat ik naar Dubai ging ik moest gaan tekenen effectief om mijn budget van mijn kredikarten te verhogen. Fysiek, ja. Een bank gaat niet bellen. Dus zij zien wel echt dat je veilig bent. Ze gaan je niet zo snel om je gegevens vragen.

Exact. Dan, we gaan stilaan moeten afronden, want onze tijd zit er jammer genoeg al bijna op. We zouden kunnen blijven doorgaan, denk ik. Maar om het wat concreet te maken. Stel, jij bent CEO van een KMO. Wat zou jij doen om je bedrijf minder hackbaar te maken? U, zoals ik net al zei, uw personeel te goed opleiden

en af en toe is iemand laten langskomen om te laten spreken over de nieuwe features en de nieuwe dingetjes dat de leuke grote multinationals aan het uitbrengen zijn zoals AI, kent iedereen wel weet iedereen wel wat AI is wat het inhoudt, hoe je het gebruikt

die dingen, sowieso twee laat uw bedrijf af en toe een sanity of een health check doen dat kan geen kwaad om gewoon eens iemand te laten kijken of het effectief al veilig is

en op basis van dat ga dan structureel met SLA's dus eigenlijk standaarden hoe lang bepaalde dingen moeten lopen voor het op te lossen wat ik zeg meestal, ik vind het niet al kwetsbaar of onderbelend of kwetsbaar

ik geef daar twee maanden tijd voor om dat op te lossen dat is stapsgericht met een plan van aanpak, kijken hoe ziet het bedrijf eruit en hoe gaan we dat oplossen? En laat u adviseren door externe partijen om daar effectief mee te helpen als je het zelf niet weet. Internate is internate, dat is leuk, dat is allemaal goed.

Maar die ziet een bedrijf heel anders, een interne security engineer, als dat ik als externe security engineer dat ga bekijken. Ik bekijk dat vanuit een andere pet, vanuit een andere visie. Ik bekijk dat ook een beetje vanuit ondernemer naar ondernemer. Ik zou ook niet willen dat mijn bedrijf gehackt wordt, ik zou ook niet willen dat uw bedrijf gehackt wordt. dus dat is een heel andere relatie en dat zijn dingen die je echt wel zo moet doen

je personeel opleiden en af en toe is een health check laten doen door iemand met expertise daarin ik ben heel benieuwd naar het volgende, een paar korte vragen om af te ronden jij moet altijd klaarstaan voor je klanten en je gaat fysiek langs om te zien

of ze te hekken zijn met al die USB's ik durf het al bijna niet uit te raken hoe zien je dagen eruit of hoe ziet je tijdsbesteding eruit Want soms ben je ook nog s'nachts aan het werken, en word je s'nachts gebeld door de minister van een of andere overheid, omdat die op dat moment in crisis zijn. Hoe ziet je leven eruit?

Heel hektisch, heel druk. Ik zit heel veel op de baan. En crisismanagement heel veel. Dus dingen die nu opgelost moeten worden, nu geïmplementeerd moeten worden. Niels, kom langs, we moeten dat fixen. Jij moet dat testen. Een heel ad hoc werk.

Dat zijn dagen dat ik rustig hier op kantoor zit, Met het sales team, ik heb dat hele bord vorige week nog te vol krassen. Voor sales technieken en zo. Dat zijn ook dagen die ik doe natuurlijk. Maar ik denk dat mijn dag heel veel meetings. Echt 70% van de dag is meetings.

Of autoritten. Podcast luisteren en rijden. En andere 30% is disaster recovery. En crisis management heel veel. Dus je leeft zo met

de druk of de stress dat er altijd iets kan gebeuren en dat je altijd moet aanstaan. Maar dat is op zich geen probleem. Dat is een beetje ingebakken bij mij. Daarom dat ik ook altijd aan mijn klanten zeg, ik ben 7 op 7 bereikbaar. En zelfs 24 uur op 7 bereikbaar. Street 6, op een zondag, om 1 uur s'nachts.

Wel, je moet je niet schamen. Je moet niet denken, oh, maar het is weekend. We gaan afwachten voor morgen. Nee, een incident, zeker een security incident, dat kan niet wachten tot morgen. Bel mij nu. En ik vind dat niet erg. Dat zijn soms kutdagen.

Ik vind dat niet erg. Het zijn heel lange dagen. Maar het is wat het is. Part of the job. En daar betalen bedrijven één voor. En twee, ik wil echt ook de assurance geven aan een bedrijf van ik ben er voor u. Ik ben er voor u of ik nu 200 klanten heb, of ik nu 20 klanten heb,

of ik nu vijf klanten heb. Elke klant is voor mij gelijk. En iedereen moet veilig zijn. Dat is ook de reden waarom ik echt met de bodem van mijn hart kan zeggen er is nog nooit een bedrijf geweest dat bij mij klant is geworden en gehackt is geweest. Dat kunnen heel veel bedrijven niet zeggen. Ik moet dus als recovery doen,

maar ze zijn nog nooit gehackt geweest. Nog nooit een ransomware moeten oplossen bij een klant van mij. Maar achteraf, als er een ransomware is geweest door een ander securitybedrijf die niet goed een job deden, dan bellen ze mij om te zeggen hoe we dat nu gaan oplossen naar de toekomst toe. En dat is belangrijk voor mij. En dan werk ik met alle plezier 24-7 voor klanten.

Het maakt me niet uit. Jij bent ethisch hacker, cybersecurity expert Waar lig jij vandaag zelf wakker van als het over cybersecurity gaat? AI AI En waarom? Dat evoluut zo snel Dat gaat ook gewoon zo snel

En ik heb ransomware en tools en virussen gezien Van hackers die volledig gemaakt zijn met AI Dat je echt denkt Je moet het zelfs niet meer kunnen coderen, om een bedrijf echt plat te gooien. Dat is gewoon één prompt. Dat noemt Warm GPT. Dus je hebt ChatGPT en dan Warm van Warm.

En dan GPT, dat is eigenlijk een variant van ChatGPT, maar die is unfilterd, uncensored, en die is gespecialiseerd in het maken van malware, ransomware, virussen, trojans, remote access trojans. Die is daarin gespecialiseerd. Je kunt daar letterlijk één prompt, one-liner, inzetten. Maak een ransomware voor dit bedrijf. Dit is de revenue van dat bedrijf.

Zo denk ik dat de infrastructuur eruitziet. Maak mij daarbij ook een phishing-email, die ik kan sturen, spearphishing-gewijs, naar alleen de C-suite-members, die perfect in orde is, geen taal-mistakes. Twee minuten later heb je en de ransomware, en de phishing-email, en kun je gewoon stilletjes aan. En een kwartier later heb je een bedrijf gehakt.

Dit is voor educational purpose, of niet? Ja, zeker, educational purpose. Hoe beschermt je je daartegen? Is daar een beginnende aan? Daar is heel weinig beginnende aan. tot zelfs geen beginnen aan. Want wij als mens, als bedrijf, als IT-bedrijf, wij moeten snel reageren.

Wij moeten blijven bijleren. Maar wij outperformen een hacker niet. Een hacker gaat altijd ten eerste zijn die van iets nieuws weet. Waarom hadden er zero-day attacks bestaan? Een zero-day attack is van het moment dat Microsoft of een groot bedrijf een update uitstuurt. Plat. Waarom?

Omdat die vulnerability is al gevonden. De update is nog niet eens van Sunic Live. En de vulnerability is al gevonden. Hackers zijn zo snel dat jij als bedrijf moet echt gewoon weten prioriteiten stellen. Alles monitoren. Alles nakijken.

Alles dubbelchecken. En de nodige, de juiste mensen paraat hebben staan om ervoor te zorgen dat als er toch iets gebeurt dat je gewoon één telefoon kunt doen en zeggen, kom nu, help. Dat is het enige wat je nog kunt doen daartegen. Je kunt, er is geen security hardening om echt hijkers voor goed tegen te houden. Is er niet.

Als je denkt dat dat dat is, dan heb je echt een probleem. Als je denkt dat je echt veilig bent, dan leef je gewoon wolksgenaam. Dan ben ik heel zeker dat jij over een week, of dat ik, over een week tijd ook 2000 servers kan plaatsgooien. Damn, dat is wel crazy. Oké, ik ga hier zo met wat meer paniek naar huis. Maar ja, dat is wel een kleine reality check die wel nodig is denk ik. Laten we het proberen positief af te ronden.

Zeker. Jij bent nu mentor van de podcast. Ja. Als je nog één boodschap of één advies of één tip of iets uit je ervaring kunt meegeven aan de luisteraar, wat zou dat zijn? Die tip zou zijn... Ongeacht dat het niet altijd even makkelijk is

om op security- en op IT-niveau echt goed te zitten, weet dat er mensen zijn over heel de wereld, ik ben niet de enigste, die je kunt bellen, dat je kunt van zeggen, Niels, help. En de dag erna staat hij aan je deur. Dat is het positieve. Als ik ergens positief mee wil eindigen,

dan zal het dat zijn, dat je weet, er zijn mensen die je kunnen helpen en die je willen helpen. 7 op 7, 24 op 7. Oké, dus nog een handje toesteken. Dat is mooi. Je bent niet alleen hierin. En als het ooit misloopt, er zijn ook wel mensen om te helpen.

Ik ben wel blij dat er zo'n ethisch hackers bestaan, dat niet iedereen zo'n slechte bedoelingen heeft. All right, Niels, dikke merci om een inkijk te geven in de wereld van hacking en cybersecurity. Het is een wereld waar we niks van weten, maar die wel heel belangrijk is en die steeds belangrijker wordt. Dus dank wel om dat te doen. Ik ga sowieso linken naar je kanalen in de beschrijving

voor als mensen er meer over willen weten. En als er bedrijven zijn die zich willen laten beschermen of hackers een stapje voor willen zijn, dan denk ik dat er maar één adres is om te zijn. Ja, je mag altijd bellen. Mijn persoonlijke nummer staat gewoon op de website. Liefst en liefst nachts. Je website is exposesecurity.com.

Je kunt daar een gratis audit vragen. We checken je bedrijf op 48 uur of het nodig is om een bandtest te doen. En op basis van dat kijken we verder. Oké, super. Dank je wel, Niels. Heel graag gedaan, jij bedankt. Dank je wel om te luisteren naar Ben's Mentors.

Ik nodig je van harte uit om je te abonneren op het podcast, zodat je geen enkele aflevering mist. Heb je van het gesprek genoten of wil je de podcast steunen? Geef dan gerust een rating en volg onze Instagram pagina at Ben's Mentors voor leuke content en een nog leukere community. Tot de volgende!