Klantenservicemedewerkers geraakt
Odido meldt dat het lek is ontstaan door ongeautoriseerde toegang tot een klantcontactsysteem. De NOS geeft afgelopen vrijdag meer achtergrondinformatie. De hack bij Odido zou plaats hebben gevonden doordat aanvallers individuele klantenservicemedewerkers wisten te raken met phishingaanvallen. Mogelijk ging het om medewerkers van buitenlandse callcenters die Odido inhuurt, aldus de NOS. De NOS geeft daarbij aan zich te baseren op bronnen
Na het stelen van wachtwoorden wisten de criminelen zich tegenover de klantenservicemedewerkers succesvol voor te doen als ICT’ers van Odido. Daardoor konden ze de tweetrapsverificatie omzeilen. Op die manier was het mogelijk om in de Salesforce-omgeving terecht te komen die Odido gebruikt voor klantregistraties. Daaruit konden de criminelen gegevens downloaden.
Datalekken bij externe contact centers komen vaker voor
bron: klantcontact.nl
In het recente verleden zijn meer gevallen bekend van datalekken bij facilitaire contact centers na cyberaanvallen.
BPO- en callcenter-omgevingen zijn vanwege hun grote hoeveelheden gevoelige klantgegevens aantrekkelijke doelen voor cybercriminelen. Incidenten kunnen variëren van:
- Directe hacks van systemen of netwerken
- Interne datalekken via medewerkers of insiders
- Social engineering / phishing waarmee toegang wordt verkregen
- Incidenten via derde-partij platforms die door callcenters worden gebruikt
Daarom zetten veel organisaties nu sterk in op cybersecurity-maatregelen voor BPO-providers zoals geavanceerde detectiesystemen en strengere toegangscontroles.
Zelfs als er op papier een nagenoeg perfect securitybeleid worden gehanteerd, blijft het belangrijk om te beseffen dat de menselijke factor de zwakste schakel kan zijn, zeker in een klantcontact operatie.
Security awareness-trainingen kunnen helpen om het aantal geslaagde phishingpogingen te verminderen, maar zijn niet genoeg. Er kan altijd een medewerker vatbaar zijn voor de criminele praktijken van kwaadwillenden. Organisaties moeten eerder kijken naar de afscherming van data en niet alleen naar het personeel, juist omdat de mens nu eenmaal kan worden misleid.
IAM kan hier een grote rol in betekenen.