Niemöller, Segers en Spruyt: phishing op X maakt slachtoffers
Phishing-perikelen, en hoe je account te herstellen!
In de afgelopen maanden gaat er een vrij hardnekkig DM-phishing-’virus’ rond op X. Eerder ging dezelfde of een vergelijkbare scam al rond op Facebook, Instagram en andere Meta-platforms. Volgers of mensen waarmee je bevriend bent, vragen je via privéberichten of je op ze wilt stemmen voor een prijs, een positie of iets vergelijkbaars. Wie op de link klikt en zijn gegevens invult, is vervolgens zijn account kwijt. Dat account gaat weer anderen aanschrijven. Op die manier ontstaat een soort kettingbrief van kwade bedoelingen. NN ontdekte bovendien dat het virus ‘evolueert’, en de hackers met je blijven communiceren.
Zondagavond 10 mei ontving ik een DM van Bart Jan Spruyt, met een verdachte link in het bericht. Omdat ik afgelopen tijd meerdere van zulke DM’s ontvangen heb en X-accounts gecompromitteerd heb zien raken, plaatste ik de volgende tweet, met screenshot van het bericht.
Vreemde vraag, nietwaar? Een ‘kleine commissiepositie’ met een publieke stemming? Zonder naam of context te noemen? Dat moet genoeg reden zijn om niet te klikken.
De link naar ‘voteclub’ is een bekende scam-link, waarin naar gelang de afzender of het platform gevraagd wordt te stemmen voor een prijs, een positie, een e-sportsteam of een andere verkiezing waaraan de afzender zogenaamd deelneemt. Wie klikt, wordt gevraagd in te loggen met in dit geval je X-gegevens. (Wie de scam via Insta, FB of game-platform Steam krijgt, wordt gevraagd met die gegevens in te loggen). Wie daar in tuint en geen 2FA-authenticatie aan heeft staan, is direct z’n account kwijt.
De afgelopen tijd heb ik diverse accounts op deze manier zien verdwijnen, maar met BJ Spruyt gebeurde er iets ‘nieuws’: na plaatsing van bovenstaande tweet, verwijderde @BartJanSpruyt zijn mention uit mijn tweet en stuurde een nieuwe DM, met de bewering niet gehackt te zijn:
Op eerste gezicht niets vreemds mee, toch? Desalniettemin geloofde ik het niet en stelde dus vervolgvragen. Daarop kwam korte tijd later een antwoord dat mijn wantrouwen alleen maar groter maakte:
Dit leest als een geautomatiseerd maar bovendien verwarrend antwoord. Ga maar na: eerst was het een stemming voor een ‘commissiepositie, daarna ineens een ‘nominatie voor een auteursprijs’. Welke commissie? Wat voor auteursprijs? Normaliter zou een link direct naar de pagina van de organisatie wijzen, niet naar een non-descripte ‘voteclub punt forum’-URL.
Het kwam op mij over alsof er een AI chatbot aan het gehackte account is gekoppeld, want de incongruentie tussen de berichten is een soort hallucinatie die typisch is voor LLM’s. Maar het ernstige is dus dat de phishing-actor - op manipulatieve wijze - in gesprek gaat met mij naar aanleiding van mijn publieke waarschuwing dat BJ Spruyt is gehackt.
Daarop heb ik direct contact gezocht met Spruyt, via e-mail. Daarin bevestigt de echte Bart Jan Spruyt dat hij ‘nergens meer bij kan’ en dit aan X gemeld heeft, maar geen gehoor vindt. (Een mogelijke oplossing daarvoor vindt u verderop in dit verhaal).
Vanmorgen heb ik geprobeerd om nog een interactie met de phisher en/of zijn chatbot uit te lokken, vooralsnog zonder respons:
Een ander account dat onlangs in de phishing-val tuimelde en wier eigenaresse ik per DM probeerde te waarschuwen, heeft me daarop terstond geblokkeerd. Het account is nog altijd gecompromitteerd:
Varianten van de ‘stem op mij voor…’-vraag kreeg ik (en kregen vele anderen) de afgelopen tijd van verschillende mensen, maar nooit met exact dezelfde tekst. De taal leek zich aan te passen aan de persoon, en niet altijd staat er meteen een link bij.
Oudere mensen lijken bovengemiddeld vatbaar voor het virus en de grotere accounts vallen sneller op als ze in de val gelopen zijn, maar er zijn ook diverse kleinere accounts van jongere gebruikers ten prooi gevallen aan het phishing-truukje.
Zoals bij deze, reeds uit maart en van een niet heel oud iemand die zich gedwongen zag met een schone lei opnieuw te beginnen - het originele account is wel door X geschorst. Op de DM, die ik al niet vertrouwde, heb ik nooit gereageerd.
Berichten komen van mensen die echt bestaan, en die je mogelijk kent (in het echt, of uit het publieke debat). Je doet er goed aan om DM’s in quarantaine te gooien en een veilige afstand te bewaren tot linkjes die er niet onmiddellijk logisch uit zien, of berichten van bekenden die nét niet klinken zoals je van die bekende zou verwachten.
Ook Joost Niemöller en Gert-Jan Segers gefopt
Wat grote accounts betreft. Onlangs ging Joost Niemöller (>100k volgers) ook al voor de bijl. Het X-account van de hoofdredacteur van Ongehoord Nederland meldde trots de aankoop van een Bentley Bentayga (wel heel erg NPO-baasje!) en toonde zelfs een screenshot van een goed gevulde ING-rekening op zijn naam - beiden zogenaamd met dank aan en een verwijzing naar een account op naam van ‘The CryptoGirl’.
Dat profiel is nog in de lucht (veilige link naar publiek X-profiel, al zou ik interactie afraden - red.), al zijn de tweets sindsdien afgeschermd. Mogelijk is de eigenaar van dat account niet de dader, maar (een) doelwit van de digitale inbrekers. Je zou denken dat X dit account anders toch al wel verwijderd zou hebben? Wellicht is het onderdeel van een ‘crypto-vete’, maar dat is puur gissen, evenals naar het (niet) handelen van X.
Vandaag - 12 mei - lijkt ook Gert-Jan Segers (>80k volgers) op de val te hebben geklikt. Zijn account deelt eveneens (cryptische) crypto-berichten. Wonderlijke blunder wel: je moet niet alleen klikken op de fuiklink, maar daarna ook je persoonlijke inlog-gegevens invullen voordat de hacker werkelijk toegang vergaart tot je account. Een internetveteraan als Niemöller of een oud-Kamerlid met een gevoelige betrekking zouden toch beter moeten weten. Mogelijk hadden beiden eveneens geen 2FA-authenticatie ingesteld, een levensgevaarlijke omissie voor de digitale veiligheid van ieder account - hoewel de hacker ook 2FA lijkt te kunnen kraken.
Bij Segers valt op dat de toon van met name het tweede bericht op zijn tijdlijn ets ‘vaderlijks’ heeft, dat bij de persoon Segers zou kunnen passen. Hij heeft na zijn Kamertermijn immers ook met de meest vrome glimlach een positie bij het omstreden Otto Workforce ingenomen, dus hij kan je met het grootste gemak de crypto-piramide laten beklimmen! Aldus lijkt hier, concludeer ik uit de losse pols, ook een AI aan het werk die de uitingen aan de ‘persoonlijkheid’ van het account lijkt te willen matchen.
Belangrijker nog: het account van Segers solliciteert dus actief naar interesse, en vraagt om DM-verkeer. Vermoedelijk worden mensen die toehappen, aldaar verder de phishing-mist in gestuurd door wie het ook is die thans Segers’ account beheert.
De foto in het (FAKE!) screenshot in bovenstaande tweet is een echte selfie van Segers, gepost op 5 januari 2023. Na deze tweet van van mij, waarin ik het hack opmerk, heeft ook het onheus overgenomen Segers-account me direct geblokkeerd. De hacker/phisher heeft tevens direct de X-handle (naam) van het account aangepast door er een ‘01’ achter te zetten. Er is wel onmiddellijk een nieuwe @GertJanSegers opgedoken op X, hoewel ik niet weet of daar de voormalig ChristenUnie-leider zelf achter zit: het account heeft - op moment van schrijven - nog nul tweets en volgt alleen… Rob Jetten?
Hoe krijg je je X-account terug?
Het kan zijn dat het wel de Echte GJ Segers is, want om je X-account terug te krijgen, moet je het gehackte account monitoren. Dit is wat iemand me schreef die ook ten prooi viel aan de phishing, maar op de volgende manier toegang tot zijn eigen account wist terug te veroveren (naam afzender dus bij mij bekend):
“Ik kreeg eerst waarschuwingen in mijn Gmail van X dat er voor mijn account een nieuwe verificatiemethode was ingesteld, en daarna dat het gekoppelde emailadres was gewijzigd. Die wijziging kon ik gelukkig nog ongedaan maken. Vervolgens heb ik ook mijn wachtwoord veranderd.
Daarna was lange tijd het probleem dat de hacker via die nieuwe inlogmethode één van de twee verificaties in handen had, terwijl ik de andere had. Daardoor kon ik mijn account niet meer binnen via de two factor authentification. Gelukkig was de hacker ondertussen óók buitengesloten.
Je moet met het hulpformulier van X werken om de two factor authentication uit te laten schakelen. Je vult dan formulier in en krijgt daarna aanvullende vragen via email. Met screenshots en argumenten moet je bewijzen dat jij de echte eigenaar van het account bent.
En trouwens: terwijl je gehackt bent, moet je het account actief volgen. Je moet namelijk bij de herstelprocedure aangeven welke handle je account heeft, maar hacker verandert die handle meteen.
Mensen wiens accounts afgepakt zijn, moeten eerst alle X-mailtjes in hun inbox aflopen, want daar staan al redmiddelen in. Stap twee is het nieuwe handle vinden, zodat je het account kunt identificeren. Stap drie is het invulformulier van X en daarna bewijslast via een emailuitwisseling met X.”
Omslachtig, zoals je leest, maar wellicht heb je er wat aan als je zo onhandig, onverstandig, goedgelovig en - in alle eerlijkheid - onnozel was om op een vage “stem op mij”-link te klikken. Gelukkig is de Rijksoverheid deze week een “Denk Vooruit”-campagne gestart, want Vadertje Staat heeft becijferd dat de ‘weerbaarheid van bedrijven’ laag is tegen allerlei soorten uitval, verstoring of ‘vijandige opzet’. Als je ziet hoe makkelijk individuen nog altijd te verleiden zijn om te klikken op non-descripte linkjes, kan ik me daar alles bij voorstellen…
Nawoordje over AI, veiligheid en privacy
Medio vorig jaar verzuchtte ik dat AI het gevaar van ontvaardiging in zich herbergt. Nog geen bevallingstermijn later kun je in je eigen privé-berichten op sociale media zien hoe AI wordt ingezet door kwaadwillenden. In het hierboven beschreven geval is het nog relatief klein bier en vooral vervelend voor wie z’n account op deze manier kwijtraakt. In bredere zin zie je hoe (social) media-platforms verzuilen, steeds hardnekkiger worden in hun zelfbevestiging en hoe kunstmatige intelligentie daar een eroderende rol in speelt.
Algoritmes waren altijd al goed in het voeden van de outrage machine, maar zeker op platforms als Instagram, Facebook en X zie je de invloed van AI hand over hand toenemen. In propaganda (zoals de eindeloze Hamas-agitprop op Insta), in kunstmatig vervaardigde video’s die door Kees en Gerda op Facebook niet meer van echt te onderscheiden zijn, of hoe individuen die eerst geen drie coherente zinnen aaneen konden rijgen, hun invloed proberen te vergroten door met ChatGPT hele essays te X’en.
Nu al moet je zowel een goed begrijpend lezer zijn, als ook enige ervaring met LLM’s hebben om authentiek van artificieel te kunnen onderscheiden. De meeste mensen hebben het domweg niet door en dat kun je hen niet eens kwalijk nemen.
Het leidt wel, zo merk ik als dagelijkse gebruiker sinds 2009 op Twitter/X, tot een vertroebeling van ieder discours. Mensen praten met bots zonder het door te hebben. Hell, je ziet mensen zelfs in ellenlange discussies verzanden met Grok, waarvan je wéét dat het geen mens is maar een LLM. Mensen lezen AI slop als waarheid, of als authentieke tekst. Het schaadt zowel het vertrouwen in de inhoud als de kracht van de rede, wanneer de werkelijkheid vervaagt tot een onleesbaar of juist té leesbaar amalgaam van AI-content.
De verzuiling van socials, zoals het vertrek van veel links-politieke en -journalistieke gebruikers naar BlueSky, leidt bovendien tot verdere ver-echo-kamer-isering van zowel BlueSky (gebouwd als echokamer) en X (vervalt steeds meer tot echokamer, in een crypto-tombe). Daarbinnen worden de apenrotsjes krapper, je ziet zowel op BlueSky als op X hoe het gevecht om de topposities leidt tot onderlinge infighting, dogmatische en beperkende sociale spelregels en strenge mores die een actieve afbraak van speelruimte in de vorm van stijlvormen en humor tot gevolg hebben.
Simpeler gezegd: de lol gaat er keihard vanaf, pogingen daartoe worden met steeds meer agressie onthaald.
Je ziet zowel de algoritmische, tribale razernij als de ontvaardiging van wat ooit ambachtelijk denk- en schrijfwerk was ook terug in traditionele media, waarin columnisten van kranten die woede tot wapens smeden en de grenzen van vertrouwen actief ondermijnen - van Schimmelpenninck met zijn vervelende en doodsaaie kruistocht tegen een (vermeende) niet-bestaande ingezonden brievenschrijver in de Telegraaf, tot columnisten die zich statistisch meetbaar zelf op AI verlaten om hun “eigen mening” te formuleren.
Als je daar bovenop ook al niet meer kunt vertrouwen wat wederzijdse volgers, van wie je weet dat ze echt bestaan, in je DM gooien om op te klikken, waarna door AI gesteunde hackers er met je account vandoor gaan, breek je de laatste stukjes vertrouwen af op het internet. Waar je altijd al op je hoede moest zijn, maar wat er volgens mij nog nooit zo grauw, onoprecht en ongezellig bij gelegen heeft als nu.
TL;DR - klik niet zomaar op linkjes in een DM, en geloof niet alles wat je op internet leest. Vertrouwen komt te voet en AI’t te phish.
U las dit artikel gratis maar mocht het u enige meerwaarde verschaffen, dan stel ik een kleine donatie bijzonder op prijs. Dit zijn geen phishing-linkjes, ze leiden naar een echte, veilige betaalpagina…
Bijna Instant Update:
Odido gleed in m’n mailbox met een soort update, excuus en nadere toelichting over de recente ShinyHunters-hack. Hieronder de tekst van CEO Søren Abildgaard, link naar de genoemde video: odido.nl/veiligheid.
Ik werd ook benaderd door 'Joost Niemöller'. In het verleden heb ik prettig met hem samengewerkt en heeft hij met name mijn zus uitgebreid geholpen meet haar boek over haar ervaringen in de wereld van de inburgering. Na SARS_CoV_2 was dat over. Mijn verbazing was dus direct al heel groot. Ik schreef terug: "Geen touw aan vast te knopen". Daar had de phisher natuurlijk geen antwoord op.
Brave new dystopia.