AI en OSINT: hoe aanvallers openbare informatie gebruiken
·Het belangrijkste in het kort
- OSINT is het verzamelen van openbare informatie: geen gestolen gegevens, maar namen, functies, vacatures, foto's en berichten die u zelf publiceert.
- Losse details lijken onschuldig. Samengevoegd leveren ze een nauwkeurig beeld van uw organisatie, uw mensen en uw lopende projecten.
- AI versnelt de stap van ruwe informatie naar een geloofwaardig bericht, belscript of nepfactuur. Taalfouten zijn daardoor geen betrouwbaar waarschuwingssignaal meer.
- Pretexting werkt niet omdat het spectaculair is, maar omdat het gewoon is: een leverancier, een collega, een koerier, een auditor.
- De AVG (art. 32 lid 1 sub d) vraagt om een procedure om beveiligingsmaatregelen op gezette tijdstippen te testen en te evalueren – daar past een social engineering-test logisch in.
- U hoeft niet van het internet te verdwijnen. U moet alleen weten wat openbaar staat en wie daar iets aan heeft.
Als mensen over een cyberaanval horen, stellen ze zich vaak iemand voor die wachtwoorden kraakt en servers aanvalt. De werkelijkheid is meestal eenvoudiger. De aanvaller kijkt eerst wat een organisatie en haar medewerkers zelf openbaar prijsgeven.
Dat heet OSINT, oftewel open source intelligence: het verzamelen van informatie uit open bronnen. Het gaat niet om gestolen bestanden. Het gaat om openbare informatie die gewoon op het internet staat.
AI en OSINT is een relevante combinatie omdat OSINT de basis vormt voor phishing, vishing, deepfake-oplichting en social engineering. AI versnelt het proces: het helpt om verspreide openbare details om te zetten in een geloofwaardig bericht, een belscript of een verzonnen zakelijke context.
Wat telt als openbare informatie?
Veel mensen zeggen: “ik publiceer toch niets gevoeligs.” Maar een aanvaller zoekt zelden één groot geheim. Hij zoekt puzzelstukjes.
Openbare informatie kan bestaan uit:
- namen van medewerkers,
- functietitels,
- de organisatiestructuur,
- de opbouw van e-mailadressen,
- telefoonnummers,
- foto’s van kantoren, conferenties en evenementen,
- vacatures en de daarin genoemde technologie,
- klantenlijsten, leveranciers en persberichten,
- reacties op LinkedIn en openbare berichten van medewerkers,
- documenten, presentaties en gegevens uit het handelsregister.
Op zichzelf lijken deze details onschuldig. Samen vormen ze een nauwkeurig beeld van een organisatie, haar mensen, haar projecten en haar interne prioriteiten. Daarom is een digitale voetafdruk een beveiligingsonderwerp en niet alleen een marketingonderwerp.
Hoe aanvallers het verhaal opbouwen
Stelt u zich een eenvoudig scenario voor. Een organisatie plaatst op LinkedIn dat ze een nieuw project heeft gewonnen. Medewerkers reageren op het bericht. Eén van hen heeft “projectmanager” in het profiel staan. Op de website staan contactgegevens. Een vacature noemt een specifiek CRM-systeem. Op een kantoorfoto is de naam van een leverancier te zien.
De aanvaller heeft opeens genoeg materiaal voor een overtuigend bericht:
“Hoi Martijn, hierbij de bijgewerkte CRM-export voor de nieuwe logistieke klant. Graag vandaag nog nakijken, morgen is de deadline.”
Dit is veel gevaarlijker dan generieke phishing. Er staat een naam in, een project, een tool en een werkcontext. Het bericht voelt logisch.
Waar AI de aanval verandert
AI helpt aanvallers om veel details snel te verwerken en om te zetten in geloofwaardige tekst. Een aanvaller kan openbare informatie in een AI-tool invoeren en vragen om een e-mail aan de financiële administratie, een gepersonaliseerd LinkedIn-bericht, een telefoonscript of nepcorrespondentie namens een leverancier.
AI stemt ook de toon af. Een bericht kan formeel, vriendelijk, kort, bestuurlijk of technisch klinken. Het bevat geen zichtbare taalfouten en precies genoeg detail om echt te lijken.
Daarom zijn spelfouten geen betrouwbaar waarschuwingssignaal meer. Moderne AI-phishing is vaak beter geschreven dan een gemiddelde interne e-mail. Dezelfde technologie is trouwens ook aan de verdedigende kant een testobject: wie zelf AI-functies inbouwt, laat die apart toetsen met een pentest van AI- en LLM-integraties.
Wat is pretexting?
Pretexting is het opbouwen van een verzonnen verhaal dat het slachtoffer overhaalt om iets te doen. De aanvaller bedenkt een aanleiding en speelt een rol.
Hij doet zich bijvoorbeeld voor als:
- een nieuwe leverancier,
- een klant,
- een collega van een andere afdeling,
- de IT-helpdesk,
- een koerier,
- een auditor,
- een sollicitant,
- een leidinggevende of een bankmedewerker.
Een goed voorwendsel is niet dramatisch. Het is alledaags. Het past binnen een normale werkdag. Precies daarom werkt het.
Voorbeelden van OSINT-aanvallen
LinkedIn-phishing
De aanvaller kiest een medewerker uit op LinkedIn. Hij bekijkt de functie, de reacties, de collega’s en de interesses van die persoon. Vervolgens stuurt hij een bericht als recruiter, als zakenpartner of als iemand die dezelfde conferentie bezocht.
Het doel kan zijn om het slachtoffer naar een nagemaakte inlogpagina te sturen, een schadelijk bestand af te leveren of alvast vertrouwen op te bouwen voor een volgende stap.
Factuurfraude
De aanvaller zoekt uit wie de financiële administratie doet en met welke leveranciers de organisatie werkt. Daarna stuurt hij een bericht dat eruitziet als een verzoek van een leverancier om het bankrekeningnummer te wijzigen. Zonder verificatie gaat het geld naar de rekening van de aanvaller.
Nepondersteuning aan de telefoon
Vacatures verraden vaak welke systemen een organisatie gebruikt. De aanvaller belt een medewerker en doet zich voor als de ondersteuning van precies die tool: “Goedemiddag, ik bel over uw CRM-systeem. We voeren vandaag een migratie uit en moeten uw toegang verifiëren.”
Voorbereiding van een deepfake
Openbare video’s, webinars en podcasts bevatten stemfragmenten van bestuurders en managers. Een aanvaller kan die hergebruiken voor telefonische oplichting. Hoe meer openbaar materiaal er bestaat, hoe eenvoudiger de voorbereiding wordt.
| Openbare bron | Wat de aanvaller eruit haalt | Praktische maatregel |
|---|---|---|
| LinkedIn-profielen en reacties | Namen, functies, rapportagelijnen, lopende projecten | Prestaties delen, geen interne details; medewerkers hierover instrueren |
| Vacatures | Gebruikte systemen, versies, cloudleveranciers, securitytooling | Technische specificaties beperken tot wat de kandidaat echt nodig heeft |
| Foto's van kantoor en evenementen | Badges, schermen, whiteboards, leveranciersnamen, toegangspassen | Vaste controle op beeldmateriaal vóór publicatie |
| Website en persberichten | E-mailformaat, klanten, leveranciers, verantwoordelijken | Algemene functionele postbussen in plaats van persoonlijke adressen |
| Video's, podcasts en webinars | Stemfragmenten voor vishing en deepfakes | Terugbelverificatie via een bekend nummer bij elk financieel verzoek |
| Handelsregister en jaarstukken | Tekenbevoegdheid, bestuurders, groepsstructuur | Vierogenprincipe bij betalingen en rekeningwijzigingen |
Het Nederlandse juridische kader
OSINT en pretexting raken drie regels die in Nederland concreet zijn.
Verzamelen van openbare informatie is niet hetzelfde als toegang nemen. Zodra iemand zonder recht binnendringt in een geautomatiseerd werk, is er sprake van computervredebreuk: artikel 138ab van het Wetboek van Strafrecht. Voor een geautoriseerde test is schriftelijke toestemming van de opdrachtgever daarom de kern van de opdracht. Er bestaat in Nederland geen register en geen vergunning voor pentesters; wat een test rechtmatig maakt, is de opdracht en de reikwijdte die u vooraf vastlegt. In wat een pentest is leest u hoe die afbakening er in de praktijk uitziet.
De AVG vraagt om periodiek testen. Artikel 32 lid 1 sub d noemt als beveiligingsmaatregel, waar passend, “een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid” van technische en organisatorische maatregelen. Dat is de enige Europese bepaling die testen met zoveel woorden noemt. Menselijke controles – herkennen, melden, verifiëren – vallen daar net zo goed onder als technische controles. Loopt er toch een datalek uit een geslaagd pretext, dan meldt u dat binnen 72 uur bij de Autoriteit Persoonsgegevens (AVG art. 33).
De Cyberbeveiligingswet komt eraan. De Nederlandse omzetting van NIS2 treedt op 15 augustus 2026 in werking en raakt naar schatting 8.000 organisaties. De wet verplicht tot registratie via mijn.ncsc.nl, tot een zorgplicht, tot melden van een significant incident binnen 24 uur en legt de verantwoordelijkheid expliciet bij het bestuur, inclusief training van bestuurders (art. 24 lid 5). De RDI houdt toezicht op de digitale infrastructuur, het NCSC is het CSIRT.
Belangrijk om te weten: de zorgplicht schrijft geen pentest voor. Ze vraagt om een risicoanalyse en om “passende en evenredige maatregelen”. Een social engineering-test is één manier om aan te tonen dat u die maatregelen ook echt beproefd hebt, geen wettelijk verplichte doos om af te vinken. Voor financiële entiteiten ligt dat anders: artikel 7 van de Cyberbeveiligingswet verwijst hen door naar DORA, en daar is testen wél een expliciete verplichting. Voor leveranciers van de rijksoverheid geldt hetzelfde via het BIO-kader. Wilt u weten hoe dit zich verhoudt tot een certificering die u misschien al hebt, lees dan is ISO 27001 genoeg voor NIS2.
Dit artikel is informatief en vormt geen juridisch advies. De uitleg van de Cyberbeveiligingswet, de AVG en het Wetboek van Strafrecht is algemeen van aard; laat uw eigen verplichtingen beoordelen door een juridisch adviseur.
Hoe u de digitale voetafdruk verkleint zonder van het internet te verdwijnen
Het doel is niet om te stoppen met communiceren. Organisaties hebben marketing, verkoop, LinkedIn, een website en zichtbaarheid nodig. Het doel is om bewust te delen.
Voor individuele medewerkers
- Publiceer niet te veel details over interne processen.
- Overweeg of elke werktool in uw profiel hoeft te staan.
- Wees voorzichtig met berichten van onbekenden.
- Klik niet zomaar op links in LinkedIn-berichten zonder verificatie.
- Let op foto’s waarop schermen, badges, whiteboards of interne documenten zichtbaar zijn.
- Verstuur werkdocumenten nooit via een privéaccount.
Voor de organisatie
- Loop na wat er op uw website staat.
- Controleer vacatures en schrap overbodige technische details.
- Maak afspraken over openbare kantoorfoto’s.
- Train medewerkers op OSINT en social engineering.
- Leg verificatiestappen vast voor betalingen en rekeningwijzigingen.
- Bewaak domeinnamen die op die van uw organisatie lijken.
- Maak het melden van verdachte berichten zo eenvoudig mogelijk.
Die laatste twee punten zijn goedkoper dan ze klinken. Een meldknop die in twee klikken werkt, levert vaak meer op dan een extra technische maatregel: hij verkort de tijd tussen het eerste slachtoffer en het moment waarop uw securityteam weet dat er een campagne loopt.
Waarom LinkedIn een tweesnijdend zwaard is
LinkedIn is nuttig. Het helpt bij merkopbouw, verkoop, werving en het delen van kennis. Tegelijk is het een uitstekende informatiebron voor aanvallers.
Dat betekent niet dat u ermee moet stoppen. Het betekent dat u nadenkt over wat u deelt. Een bericht als “ons finance-team werkt aan een grote audit met een externe leverancier” lijkt onschuldig voor marketing, maar is bruikbaar voor een aanvaller.
De beste vuistregel is eenvoudig: deel resultaten, geen interne details.
Praktische checklist voor marketing en HR
Marketing en HR publiceren doorgaans de meeste informatie. Zij hebben baat bij een korte checklist.
Vraag uzelf vóór publicatie af:
- Zijn er schermen, documenten of interne notities zichtbaar op de foto?
- Noemen we mensen bij naam naast gevoelige systemen?
- Geven we te veel detail over gebruikte technologie?
- Verraden we wie betalingen of toegangsrechten goedkeurt?
- Kan dit bericht dienen als aanleiding voor een vals contactverzoek?
- Plaatsen we vakanties of de afwezigheid van sleutelfiguren in realtime?
Hoe wij dit in een test nabootsen
Een social engineering-test volgt dezelfde volgorde als een echte aanval, maar dan binnen een vooraf vastgelegde reikwijdte en met schriftelijke toestemming.
- Openbare verkenning. We brengen in kaart wat er over uw organisatie te vinden is: domeinen, e-mailpatronen, vacatures, publieke profielen, gelekte inloggegevens uit eerdere datalekken. Uitsluitend openbare bronnen, geen inbreuk op accounts.
- Scenario-ontwerp. Uit dat materiaal bouwen we een handvol voorwendsels die aansluiten bij uw dagelijkse praktijk – een leveranciersverzoek, een interne mededeling, een telefoontje over een systeem dat u aantoonbaar gebruikt.
- Uitvoering. Afhankelijk van de opdracht via phishing-, vishing- en smishingsimulaties of als onderdeel van een breder red teaming-traject, waarin de menselijke ingang wordt gecombineerd met technische stappen.
- Rapportage en hertest. U krijgt de bevindingen, de gebruikte scenario’s en concrete verbeterpunten voor proces, techniek en training. Na het doorvoeren van maatregelen volgt een hertest.
Wat wij toetsen zijn organisatorische maatregelen, niet personen. Resultaten worden uitsluitend geaggregeerd gerapporteerd; individuele medewerkers worden niet beoordeeld of geïdentificeerd. Een simulatie die uitloopt op een lijst met namen levert niets bruikbaars op: ze beschadigt het vertrouwen dat u juist nodig hebt om meldingen binnen te krijgen. De vraag is niet wie er klikte, maar of het verificatieproces, de meldroute en de technische filters deden wat ze moesten doen.
Om diezelfde reden hoort een test samen te gaan met security awareness training. Meten zonder daarna iets uit te leggen verandert weinig; uitleggen zonder te meten ook niet. En wie wil weten hoe zo’n traject van begin tot eind loopt, vindt dat terug in red teaming in de praktijk en in wat een ethische hacker doet.
Conclusie
AI en OSINT vormen een gevaarlijke combinatie. Openbare informatie levert de aanvaller het materiaal. AI maakt daar een overtuigend verhaal van. En een medewerker die onder tijdsdruk staat, maakt een fout.
Het goede nieuws is dat het risico beheersbaar is. U hoeft niet van het internet te verdwijnen. U moet begrijpen dat alles wat openbaar is, ook tegen u gebruikt kan worden – en dat verificatie sterker is dan alertheid.
Stel uzelf vóór publicatie één vraag: “helpt deze informatie onze klanten, of helpt ze een aanvaller meer?”
