Gekloonde stemmen en synthetische video-oproepen duiken inmiddels niet alleen op in nieuwsberichten, maar ook in incidentrapporten. Denk aan een “dringende” betaling die via een CFO-achtige stem wordt aangespoord, of een verzoek aan de helpdesk om een MFA-reset te doen. Een deepfake readiness drill helpt om te achterhalen waar je verificatieproces faalt—zonder dat er echte schade hoeft te ontstaan.
Het mooie is: je kunt zo’n oefening plannen op jouw tempo. Je test niet of mensen “iets geks” aan het gesprek herkennen, maar of ze consequent dezelfde, duidelijke stappen zetten wanneer geld of toegang op het spel staat.
Waarom herkennen op gevoel niet genoeg is
Veel organisaties hebben training om medewerkers te laten letten op signalen zoals vreemd taalgebruik of verdachte e-mailkenmerken. Toch worden voice-clones en real-time videomanipulatie steeds beter, waardoor die zichtbare “tells” steeds minder betrouwbaar worden.
Daarnaast blijkt uit onderzoek en praktijk dat teams minder vertrouwen hebben in hun verdedigingskracht wanneer deepfakes worden ingezet tegen echte workflows. Zeker als de aanval ook nog eens leunt op hiërarchie en urgentie: een leidinggevende die “perfect” klinkt en met haast om actie vraagt, maakt mensen terughoudender om te controleren.
Daarom verschuift de focus: niet de vraag “kunnen mensen het horen?”, maar “blijven we ons proces volgen?”
Stap 1: bepaal welke stemmen (en welke oproepen) het meeste risico dragen
Begin met twee korte inventarisaties.
1) Wie is aantrekkelijk om te imiteren?
Maak een lijst met functies die betalingen kunnen autoriseren of medewerkers kunnen aansturen. Denk aan executives zoals CEO, CFO, CIO, CISO en general counsel. Vul daarna aan met rollen er net onder, zoals directeuren en VPs in finance, IT en HR—zij krijgen vaker verzoeken en lijken daardoor voor aanvallers een logisch doelwit.
Vergeet ook niet de buitenwereld: sleutelfiguren van leveranciers of een contact binnen een managed service provider die controle of toegang kunnen beïnvloeden.
2) Wie kan door een nep-oproep direct schade veroorzaken?
Maak daarnaast een tweede lijst met de mensen die de aanvraag echt kunnen uitvoeren of doorzetten. Denk aan accounts payable, treasury, payroll, HR, executive assistants, de IT-helpdesk en identity-admins. Juist die laatsten worden vaak te weinig meegenomen in oefeningen, terwijl zij via een stem die “echt” klinkt snel richting account takeover (ATO) kunnen bewegen—bijvoorbeeld door MFA te resetten of privileged toegang toe te kennen.
Breng tot slot de “materiaalfactor” in kaart
Voor wie imiteren het meest kansrijk is, kijk je naar hoeveel openbaar audio- of videomateriaal er beschikbaar is: earnings calls, podcasts, keynote-video’s en webinarfragmenten. Een paar minuten opgenomen inhoud kan al genoeg zijn om een plausibele kloon te trainen.
Wat je overhoudt is een compacte matrix: welke identiteiten zijn het belangrijkst om na te bootsen, en wie is het meest kwetsbaar voor dergelijke oproepen. In veel organisaties gaat het om “een paar tientallen” personen—goed te beheren.
Stap 2: schrijf je verificatieregels vóórdat je gaat oefenen
Een drill zonder duidelijke spelregels meet vooral instinct. Leg daarom vast wat medewerkers moeten doen bij verzoeken die geld of toegang raken. Effectieve regels hebben een paar gemeenschappelijke kenmerken:
- Callback buiten de aangeleverde contactroute om: bevestig verzoeken voor geldverplaatsingen, bankgegevens, credentials, MFA-resets of toegangswijzigingen via een telefoonnummer uit een interne directory of vendor master file—niet via een nummer uit het verzoek zelf.
- Duidelijke drempels: specificeer welke acties altijd verificatie vereisen, ongeacht wie er belt en hoe urgent het klinkt.
- Dual approval: laat twee mensen goedkeuren bij nieuwe begunstigden, gewijzigde bankgegevens, nieuwe privileged accounts en rolwijzigingen.
- Challenge phrases: voor de meest geïmiteerde executives en hun directe ondersteuning werkt een roterende zin/tekst als extra controlemoment.
- Geen blaam bij tijdig melden: als iemand al handelde op basis van een verdachte request, moet die persoon direct kunnen rapporteren zonder schaamte of consequenties.
- Expliciete toestemming om te pauzeren: spreek af dat het oké is om op te hangen en terug te bellen. Deepfake-fraude drijft op urgentie en hiërarchie; daarom moet “vertraging” niet voelen als een risico.
Die laatste regel is cruciaal. Als een medewerker bang is dat vertraging negatieve gevolgen heeft, wordt het moeilijk om te doen wat juist nodig is: stoppen, controleren en terugbellen.
Stap 3: bouw scenario’s die het echte patroon volgen
In het echt start een aanval zelden met één telefooncall. Meestal komt er eerst een e-mail of chat die context schept, gevolgd door voice of video om druk op te voeren. Je oefenscenario’s moeten datzelfde pad volgen.
Regel bovendien toestemming en afstemming voordat je scenario’s draait. Laat juridische, HR en alle betrokken executives vooraf tekenen voor het gebruik van hun identiteit in de oefening. Zonder toestemming kan zelfs het “oefenen met gekloonde stemmen” nieuwe problemen opleveren.
Veel teams beginnen met vier scenario’s die breed risico afdekken:
- Urgente wire van de CFO: een e-mail wijst op een vertrouwelijke acquisitiebetaling; daarna volgt een voicemail in CFO-stijl met het verzoek om vóór het einde van de dag te verwerken.
- Wijziging van bankgegevens van een leverancier: een bericht van een bekende vendor kondigt nieuwe gegevens aan, gevolgd door een Teams-gesprek om de update te bevestigen.
- Reset bij de helpdesk: iemand die op een VP lijkt meldt dat ze onderweg is, geen toegang heeft en MFA wil verplaatsen naar een nieuw toestel.
- Toegang opschonen met “audit” als dekmantel: een bericht over een kwartaalreview van rechten, gevolgd door een call waarin een identity admin wordt begeleid bij het verwijderen van rechten en—als verborgen onderdeel—het toevoegen van een extra account of privilege voor een “contractor” of auditor.
Stem de timing af op de drukpunten die aanvallers ook kiezen: kwartaalafsluiting, auditseizoen, dagen rond feestdagen en periodes waarin executives aantoonbaar op reis zijn.
Stap 4: oefen gefaseerd, met veilige stopvoorwaarden
Maak de drill niet meteen “live en breed”. Start met een tabletop-sessie: bespreek per scenario wat deelnemers zouden doen bij elke stap. Zo vinden jullie beleidsgaten goedkoop en snel, bijvoorbeeld wanneer niemand zeker weet welk nummer men moet bellen.
Daarna kun je opschalen naar een live simulatie met een kleinere groep.
- Brief een control group: het executive sponsor team, SOC-lead en finance-head moeten weten dat het om een oefening gaat, zodat een echte escalatie niet meteen “als incident” wordt afgehandeld.
- Houd geld en toegang buiten bereik: gebruik testaccounts, een betaling die stopt bij goedkeuring, en een sandbox-groep zonder echte privileges.
- Stop condities: als deelnemers stress ervaren of het scenario te veel “doorlekt” naar echte businessprocessen, stop dan direct en bespreek.
- Communiceer de afloop: vertel deelnemers altijd wat er gebeurde. Een drill die voelt als een val beschadigt het vertrouwen in het volledige programma.
Stap 5: meet niet alleen “goed/fout”, maar vooral waar het breekt
Een enkel pass/fail resultaat vertelt weinig. Kijk liever naar gedragingen achter dat resultaat. Zinvolle meetpunten zijn:
- Verificatie-rate: welk deel gebruikte echt de callback of challenge stap vóórdat ze iets uitvoerden?
- Tijd tot escalatie: hoe lang duurde het voordat iemand het verdacht meldde—en meldde die persoon?
- Meldroute: liep het verzoek naar het SOC via het verwachte kanaal of bleef het hangen in een inbox van een manager?
- Break points: op welk exact moment faalde het proces? Bij een onduidelijk directory-nummer, een ontbrekende drempel of een “executive” die aandrong op het overslaan van callback?
- Bundled requests: in het access-scenario: vroeg men door naar de verborgen privilege-grant, of keurden mensen het hele pakket goed omdat het merendeel “logisch” klonk?
- Welke signalen werden genoemd: deelnemers zeggen soms “het klonk precies als hem” of “de e-mail kwam eerst, dus ik ging uit van echt”. Die verschillen sturen je verbeteracties in een andere richting.
Besteed extra aandacht aan break points. Elke misser correspondeert met een concreet verbeterpunt in beleid, tooling of training.
Stap 6: debrief, herstel en maak de drill onderdeel van je routine
Plan de debrief bij voorkeur dezelfde dag. Houd het blameless: veel mensen voelen zich na een succesvolle “trick” vervelend. Leg uit dat het juist de bedoeling was om te laten zien waar controle ontbreekt.
Werk vervolgens de regels bij: pas de callback-directory aan, verscherp drempels en voeg succesvolle scenario’s toe aan je bestaande phishing- of awareness-programma. Zo verdwijnt de kennis niet na één ronde.
Herhaal minimaal twee keer per jaar, en ook tussendoor wanneer de lijst met hoog-risico identiteiten verandert: een nieuwe CFO, een acquisition, of een periode waarin executives veel publiek op beeld staan. Varieer bovendien de scenario’s zodat mensen niet “de script-kenmerken” gaan herkennen.
Waar tooling helpt (en waar proces leidend blijft)
Tools ondersteunen vooral twee momenten in de aanvalsketen. Ten eerste de opstartboodschap: een e-mail of chat die context creëert. Gedragsmatige e-mailbeveiliging die afwijkende executive- of vendor-verzoeken markeert kan de keten doorbreken voordat de call überhaupt plaatsvindt.
Ten tweede de call zelf. Sommige oplossingen analyseren real-time voice of video in platforms zoals Microsoft Teams en waarschuwen wanneer de persoon niet matcht met wat wordt geclaimd. Daarbij is privacy een belangrijk punt: let op of er wordt opgenomen of getranscribeerd, of dat de oplossing alleen signaalverwerking “in het moment” doet.
Als je vergelijkbare uitdagingen hebt rondom verificatie en identity security, kan ook een bredere kijk op Zero Trust je helpen. Bijvoorbeeld in dit artikel over Zero Trust en identity-strategieën met AI.
Start klein: zo zet je deze oefening dit kwartaal op
Een eerste deepfake readiness drill heeft geen enorme budgetlijn nodig. Als je start met:
- twee korte lijsten (wie is imiteerbaar, wie kan schade uitvoeren),
- een pagina met verificatieregels,
- vier scenario’s,
- een standaard debrief-template,
…dan kun je al gericht zien waar jullie proces breekt.
Voor extra inhoudelijke context rond deepfake-fraude is het ook nuttig om publieke waarschuwingen te bekijken. FinCEN beschrijft bijvoorbeeld hoe criminelen generatieve AI inzetten om executives te imiteren en medewerkers te sturen richting geldtransfers, inclusief aanwijzingen om in je drill-specifieke “red flags” te verwerken. Een praktisch bruikbare oefenvariant is het soort moment waarop iemand halverwege een gesprek van communicatiemethode wisselt en daarbij problemen met “techniek” aanhaalt.
Conclusie: maak verificatie proefbaar, niet alleen bespreekbaar
Deepfake-aanvallen worden overtuigender, waardoor vertrouwen op hoor- of kijkindrukken steeds minder werkt. Met een deepfake readiness drill leg je de nadruk op iets robuusters: consequente, vooraf vastgelegde verificatie bij geld en toegang. Door scenario’s te testen, break points te meten en daarna regels en workflows te verbeteren, maak je je organisatie minder kwetsbaar voor de volgende gekloonde oproep.
Wil je meteen materiaal om mee te starten? Overweeg dan om je oefening te koppelen aan bestaande security-programma’s en je interne callback-routes en drempels als eerste te herzien—dat levert vaak de snelste winst op.
Bron: https://thehackernews.com/2026/10/how-to-run-deepfake-readiness-drill.html
3 reacties