Cybercriminelen, hoe worden we ze de baas?

Alleen al in Nederland kost fraude jaarlijks 30 miljard, ofwel 10% van de Rijksbegroting. Meestal kan pas achteraf onderzoek ingesteld worden, waardoor de gemiddelde pakkans slechts 3% is. Tijdens SAS Forum op 6 oktober stelden experts in risico- en fraudemanagement dat er een krachtig wapen voor het grijpen ligt dat hier voorgoed verandering kan brengen. Dat antwoord schuilt in data.

Fraude is het bewust een ander bedriegen om winst te behalen of iemand schade te bezorgen. De daders variëren van hackers in een zolderkamer tot grote georganiseerde bendes. De ervaring leert dat fraude vaak van binnenuit een organisatie wordt gepleegd of gefaciliteerd. Op kleine schaal als eigen medewerkers opzettelijk onjuiste declaraties indienen bijvoorbeeld, of op grotere schaal zoals bij de miljoenenfraude met persoonsgebonden budgetten waarbij bewust foute indicaties werden afgeven. Georganiseerde externe fraudeurs worden vaak vergeleken met een roedel wolven dat precies de zwakste schakel weet te vinden.

Angst, onzekerheid en twijfel
Franklin Witter, Principal Industry Consultant Cybersecurity bij SAS startte zijn loopbaan als ethisch hacker. In die tijd was de stilzwijgende afspraak om bij de voorlichting geen gebruik te maken van de rond cybercriminaliteit heersende angst, onzekerheid en twijfel. “We hebben allemaal gezien waar dit toe heeft geleid”, stelt Witter. Een gestage stroom krantenkoppen over fraudegevallen zoals geknoei met software in de autobranche en geslaagde datahacks zoals die bij de Amerikaanse klanten van T-Mobile. “Het probleem is dat niemand weet waar de volgende aanval vandaan komt. Daardoor is het niet zozeer de vraag of, maar wanneer een organisatie het slachtoffer van fraude wordt.”

Informatievoordeel
Volgens Witter zijn de bedragen die fraudeurs aan onderzoek en voorbereiding besteden aanmerkelijk groter dan de budgetten waarover organisaties beschikken voor informatiebeveiliging. De cybercriminelen worden hierin gesteund door de wetenschap dat hen een hoog rendement op hun investering wacht. “Ze besteden gemiddeld 205 dagen aan het voorbereiden van hun aanval en verkrijgen daardoor een enorm informatievoordeel. De realiteit is dat de regelgebaseerde benaderingen die veel organisaties voor fraudepreventie volgen enorm veel alerts opleveren. Daarvan kunnen ze slechts een beperkt percentage valideren, aangezien ze simpelweg verdrinken in data.”

Indringers minder tijd geven
De uitdaging is volgens Witter om orde in de databerg te brengen en de ‘time on target’ van indringers te reduceren. “Daartoe moet je kunnen uitvinden waarin afwijkend gedrag zich onderscheidt van normale gedragspatronen. Dit doe je door bestanden te koppelen en te vergelijken, en door business rules in een hybride benadering te combineren met anomaliedetectie, voorspellende modellen en gedrags- en social network-analyses. Geavanceerde analytics-oplossingen voorzien hierin en bouwen slimme analytics in procesbeslissingen in. Daardoor kun je direct reageren kunnen op wat er gebeurt, op het moment dat het gebeurt.”

Fraude Film Festival
Iedereen kan slachtoffer worden van oplichting of fraude. Voorlichting is belangrijk om zowel het maatschappelijk bewustzijn als de kennis en weerbaarheid van mensen te vergroten. Daarom is SAS nauw betrokken bij de tweede editie van het Fraude Film Festival, dat vandaag en morgen plaatsvindt. Twee dagen met films en documentaires over fraude en de bestrijding ervan. Op het programma staan onder andere de films ‘Who’s Sorry Now’ en ‘Stop at Nothing: The Lance Armstrong Story’ en de documentaires ‘Zembla: Wie is de mol’ en ‘Deep Web’.