Social Engineering Test
Geautoriseerd, scenariogebaseerd testen van hoe uw mensen, processen en pand standhouden tegen een aanvaller die geen enkele exploit aanraakt.
De meeste inbraken beginnen bij een mens: een overtuigend telefoontje naar de servicedesk, een e-mail van een leverancier die er goed uitziet, een bezoeker die achter een medewerker door een deur loopt. Technische maatregelen gaan ervan uit dat de menselijke laag standhoudt. Een social engineering test toetst die aanname met dezelfde voorbereiding die een aanvaller zou investeren, onder schriftelijke toestemming en strikte rules of engagement, en rapporteert wat er gebeurde als een gemeten uitkomst, niet als een oordeel over personen. U leert welke voorwendsels werken, welke processen ze stoppen, of iemand ze meldt, en wat u moet veranderen.
Wat is een social engineering test?
Een social engineering test is een gecontroleerde, geautoriseerde poging om toegang, informatie of een handeling van uw organisatie te verkrijgen door mensen te manipuleren in plaats van systemen. Hij begint met een OSINT-fase (open-source intelligence) om te leren hoe uw organisatie zich presenteert, wie waar werkt, welke leveranciers en tools zij gebruikt en hoe een geloofwaardig voorwendsel eruitziet. Daarna worden afgesproken scenario's uitgevoerd: telefonische pretexting (vishing), waar in scope inclusief het met AI klonen van de stem van een bekende bestuurder, gerichte spear phishing, MFA-moeheid door herhaalde pushmeldingen, imitatie van IT of de helpdesk om een wachtwoordreset of een sessie op afstand te verkrijgen, en fysieke scenario's zoals tailgating, het klonen van toegangspassen of het plaatsen van een vreemd apparaat. Elk scenario heeft een omschreven doel, een stopvoorwaarde en een contactpersoon bij u die het op elk moment kan afbreken.
Belangrijkste Capaciteiten
OSINT en voorwendselontwikkeling
Publieke voetafdruk, medewerkers- en leverancierskaart, gelekte credentials, informatie over gebouw en toegangspassen, en de voorwendsels die een aanvaller daaruit zou bouwen (MITRE ATT&CK T1589 tot T1598).
Vishing en deepfake-stem
Telefonische pretexting richting medewerkers, de servicedesk en finance, inclusief geautoriseerd AI-stemklonen van een bestuurder om betalings- en toegangsgoedkeuringen te toetsen.
Spear phishing en MFA-moeheid
Handgemaakte, gerichte e-mails en berichten aan specifieke rollen, credentialoogst met veilige opvang, en pushmeldingsmoeheid tegen MFA-beschermde accounts (T1566, T1621).
Fysieke binnendringing
Tailgating, zwakke sloten en deurbesturing, klonen van toegangspassen, toegang buiten kantooruren, onbeheerde werkplekken en het plaatsen van drop devices of vreemde netwerkimplantaten (T1200).
Helpdesk- en IT-imitatie
Wachtwoordresets, het opnieuw inschrijven van MFA, sessies voor ondersteuning op afstand en het ontgrendelen van accounts, aangevraagd onder een valse identiteit, om verificatieprocedures van begin tot eind te toetsen.
Autorisatie, ethiek en rapportage
Schriftelijke toestemming van een bevoegde functionaris, rules of engagement, vooraf afgesproken omgang met gegevens, en rapportage op procesniveau zonder dat een individu zonder toestemming wordt genoemd.
Voor wie is een social engineering test?
Organisaties waarvan de laatste phishingcampagne goed scoorde en die willen weten of een vastberaden, voorbereide aanvaller verder komt; finance- en treasuryteams die blootstaan aan CEO-fraude en factuurfraude; beheerders van fysieke locaties met gevoelige ruimtes zoals datacenters, laboratoria, ziekenhuizen en productielocaties; servicedesks die wachtwoorden en MFA resetten voor duizenden gebruikers; en organisaties onder NIS2 of DORA die moeten aantonen dat hun mensen en processen worden getoetst, niet alleen hun systemen. Kan één telefoontje geld verplaatsen of een deur openen, dan is dit de test die laat zien of dat ook gebeurt.
Hoe een social engineering test verloopt
Doelen, juridische grondslag en rules of engagement
We bepalen wat succes betekent (een credential, een betalingsgoedkeuring, een deur), spreken uitsluitingen af, verkrijgen schriftelijke toestemming en stemmen af met juridische zaken, HR en waar nodig de ondernemingsraad.
OSINT en scenario-ontwerp
Open-source verkenning brengt mensen, processen, leveranciers en pand in kaart; scenario's worden uitgeschreven, op risico beoordeeld en door uw contactpersoon goedgekeurd voordat er contact wordt gelegd.
Scenario's op afstand
Vishing, spear phishing, MFA-moeheid en helpdeskimitatie worden uitgevoerd tegen de afgesproken doelen, waarbij elke interactie wordt gelogd en een stopvoorwaarde geldt.
Scenario's op locatie
Waar in scope proberen testers fysiek binnen te komen, passen te klonen en apparaten te plaatsen, met een autorisatiebrief en een escalatienummer voor uw beveiligingsmedewerkers op zak.
Detectie- en responscontrole
Wij leggen vast wie wat meldde, hoe snel, en of uw processen (verificatie, escalatie, incidentrespons) werkten zoals ontworpen.
Rapport, debrief en awareness-vervolg
Gemeten uitkomsten per scenario, grondoorzaken op procesniveau, geprioriteerde verbeteringen, een debrief met de leiding en materiaal voor uw bewustwordingsprogramma.
Hoe Wij Werken
Scenario-ontwerp en uitvoering door ervaren testers, onder leiding van Michael van Mameren, met schriftelijke toestemming en rules of engagement die zijn afgestemd met uw security-, juridische en HR-verantwoordelijken. Naar Nederlands recht is ongeautoriseerd binnendringen in een computersysteem strafbaar (computervredebreuk, artikel 138ab Wetboek van Strafrecht) en is ongeautoriseerd binnentreden van een bedrijfspand eveneens strafbaar, zodat de autorisatiebrief, de contactpersoon en de stopvoorwaarden geen formaliteiten zijn maar de juridische grondslag van de test. Opgevangen credentials of persoonsgegevens behandelen wij volgens een vooraf afgesproken protocol, wij gebruiken nooit echte malware en wij rapporteren op het niveau van proces en maatregel. Individuen worden in het rapport niet genoemd; het doel is een sterkere organisatie, geen personeelsdossier.
Wat U Ontvangt
Veelgestelde vragen over social engineering testen
De vragen die security-, HR- en juridische verantwoordelijken ons stellen voordat zij een social engineering opdracht autoriseren, eerlijk beantwoord.
Wat is een social engineering test?
Een social engineering test is een geautoriseerde simulatie van aanvallen die zich richten op mensen en processen in plaats van software: telefonische pretexting, gerichte phishing, MFA-moeheid, imitatie van IT of leveranciers en pogingen om fysiek binnen te komen. De test volgt op een OSINT-fase, voert afgesproken scenario's uit tegen omschreven doelen en rapporteert gemeten uitkomsten op procesniveau. Hij beantwoordt de vraag die een phishing-klikpercentage niet kan beantwoorden: of een voorbereide aanvaller daadwerkelijk binnenkomt.
Wat is het verschil met een phishingsimulatie?
Een phishingsimulatie stuurt een gestandaardiseerde campagne naar een brede groep en meet klik- en meldpercentages in de tijd; het is een trainings- en meetinstrument dat wij als aparte dienst aanbieden. Een social engineering test is gericht en multikanaal: een handvol zorgvuldig gebouwde scenario's tegen specifieke rollen, per telefoon, e-mail, bericht en in persoon, met een concreet doel zoals een wachtwoordreset of een betalingsgoedkeuring. Het ene meet bewustzijn in de hele organisatie; het andere toetst of uw processen een vastberaden aanvaller stoppen.
Wat is het verschil met red teaming?
Red teaming is een doelgerichte simulatie van een volledige aanvalsketen, waarin social engineering één mogelijke ingang is naast technische exploitatie, met als doel detectie en respons van begin tot eind te toetsen. Een social engineering test isoleert de menselijke en procesmatige laag, zodat die diepgaand kan worden onderzocht en apart gerapporteerd. Veel klanten voeren hem eerst los uit en nemen de succesvolle scenario's mee in een latere red team opdracht.
Is een social engineering test legaal in Nederland?
Ja, met schriftelijke toestemming. Ongeautoriseerd binnendringen in een computersysteem is strafbaar als computervredebreuk onder artikel 138ab Wetboek van Strafrecht, en ongeautoriseerd binnentreden van een pand is eveneens strafbaar, zodat de test schriftelijk moet worden opgedragen door iemand die namens de organisatie bevoegd is toestemming te geven. Het verwerken van persoonsgegevens tijdens de test vereist een grondslag onder de AVG, doorgaans gerechtvaardigd belang met een gedocumenteerde afweging, en waar de test kan worden gezien als het volgen van medewerkers kan de ondernemingsraad op grond van de Wet op de ondernemingsraden instemmingsrecht hebben. Wij bereiden deze stukken samen met u voor voordat het testen begint.
Worden medewerkers die in een scenario trappen bij naam genoemd?
Nee. Rapporten beschrijven scenario's, uitkomsten en het proces of de maatregel die faalde, niet de persoon die werd misleid. Wil een klant met een specifiek team nazorg doen, dan doen wij dat in een debrief die als leermoment is ingericht, nooit als disciplinaire maatregel. Een schuldcultuur vermindert het aantal meldingen, en melden is juist de maatregel die echte aanvallen onderschept; wij richten de opdracht in om die te versterken.
Gebruiken jullie deepfakes en AI-stemklonen?
Waar dat in scope is en expliciet is geautoriseerd, ja. Het klonen van de stem van een bestuurder is inmiddels een realistische fraudetechniek en wij toetsen of een gekloonde stem in combinatie met een plausibel voorwendsel een betalingsgoedkeuring of een toegangswijziging kan afdwingen. De gekloonde persoon geeft schriftelijk toestemming, de opnames worden na de opdracht vernietigd en het scenario is ontworpen om het verificatieproces te toetsen, niet om iemand in verlegenheid te brengen.
Wat kost een social engineering test?
Elke opdracht wordt op scope geoffreerd; er is geen vaste prijslijst. De factoren zijn het aantal en type scenario's, of er werk op locatie en reizen bij komt, de diepgang van de OSINT-fase, het aantal doelrollen en locaties, en of een hertest en een awareness-debrief zijn inbegrepen. Na een scopinggesprek ontvangt u binnen enkele werkdagen een schriftelijk voorstel met het aantal dagen en de lead tester bij naam.
Klaar om de menselijke laag te testen?
Realistische scenario's, schriftelijke toestemming, gemeten uitkomsten en een rapport dat processen verbetert in plaats van schuld toewijst.