Een nephelpdesk vraagt toegang tot je bedrijfsaccount

Een echt supportverzoek volgt meestal op iets wat jij zelf hebt aangevraagd. Een nephelpdesk draait dat om: het contact komt ongevraagd en heeft haast. Let op deze signalen:

• Jij hebt geen ticket of vraag openstaan, maar de beller kent wel de naam van je bedrijf of je dienstverlener.
• Er is een dreiging: je account wordt geblokkeerd, er zou verdachte activiteit zijn, een abonnement loopt vandaag af.
• Je moet een code voorlezen, een programma installeren of je scherm laten overnemen.
• Je mag niemand anders inlichten, of je moet het gesprek 'in de lijn houden'.
• Het terugbelnummer of de afzender komt uit het bericht zelf.

Eén signaal bewijst niets, want ook echte leveranciers bellen soms. Maar zodra een verzoek toegang, codes of schermbesturing combineert met tijdsdruk, behandel je het als onbevestigd tot je het zelf hebt gecontroleerd.

Je hoeft in het gesprek niet te beoordelen of de beller echt is. Je moet alleen weten wat je niet geeft. Deel tijdens een ongecontroleerde oproep nooit verificatiecodes, wachtwoorden, herstelcodes of de goedkeuring van een inlogmelding. Geef ook geen remote control en installeer niets op aanwijzing van de beller.

Waarom dat zwaar weegt, volgt uit de uitleg over tweestapsverificatie van Google: de tweede stap is bedoeld als extra beveiligingslaag voor het geval je wachtwoord wordt gestolen (het voorlezen van codes aan een vreemde is ons eigen veiligheidsadvies, niet iets wat die bron letterlijk zegt). Lees je die code voor aan een vreemde, dan geef je die bescherming zelf weg. Een toegangssleutel werkt anders, want die bestaat volgens die bron alleen op je apparaten en kunnen volgens die bron niet worden opgeschreven of per ongeluk aan iemand met kwade bedoelingen worden gegeven. Dat is geen garantie tegen elke vorm van misleiding.

Als een inlogmelding op je telefoon verschijnt terwijl jij niets probeert, tik je op 'Nee' als die optie er is. Een melding die je zelf niet hebt uitgelokt, keur je niet goed om de beller te plezieren. Eindig het gesprek neutraal: 'Ik bel u terug via ons vaste nummer.'

De kern is onafhankelijkheid. Je controleert nooit via contactgegevens die de beller of het bericht je geeft. Werk deze stappen af:

1. Noteer naam, bedrijf, tijdstip en wat er gevraagd werd, zonder iets uit te voeren.
2. Beëindig het gesprek of laat de mail onbeantwoord.
3. Zoek het contactkanaal op dat jij al kende: je contract, een eerdere factuur, je eigen aanmelding of het adres dat je zelf intikt in de browser.
4. Vraag via dat kanaal of er een lopend verzoek is op jouw naam en wie het heeft gestart.
5. Verwittig intern degene die de accounts beheert, ook als het verzoek vals blijkt.
6. Laat een echt verzoek schriftelijk bevestigen en alleen uitvoeren door de persoon die bij jullie bevoegd is.

Krijg je geen bevestiging, dan blijft het antwoord nee. Een gebrek aan bewijs is geen reden om toch mee te werken.

Gebruik deze tabel als snel beslisblad. De kolom 'Eerst' is wat je doet voor je ook maar iets uitvoert.

Twijfel je tussen twee rijen, kies dan de strengste. Wordt een verzoek geweigerd en blijkt het toch echt, dan kan de echte helpdesk het via je eigen kanaal opnieuw doen.

Dit is een verzonnen voorbeeld om de procedure te oefenen, zonder cijfers of afloop. Een medewerker aan de balie krijgt een telefoontje van iemand die zegt de 'helpdesk van de mailomgeving' te zijn. De beller vraagt de zescijferige code die net via sms is binnengekomen, 'om het account te behouden'.

Invoer: ongevraagde oproep, tijdsdruk, vraag naar een code.

Verwachte controles:

• De medewerker deelt niets en meldt dat er teruggebeld wordt.
• Ze noteert tijdstip, nummer en gevraagde actie.
• Ze geeft de notitie door aan de accountbeheerder, die via het contract of de eigen aanmelding een bekend kanaal opzoekt.
• De beheerder vraagt of er een lopend verzoek bestaat en laat het antwoord schriftelijk bevestigen.
• Is er geen bevestiging, dan blijft de vraag onbeantwoord en wordt gecontroleerd op ongewone inlogactiviteit.

De overdracht bevat dus drie gegevens: wat werd gevraagd, via welk kanaal, en wat er nog niet is gecontroleerd.

Ook als je niets hebt gedeeld, loont een korte controle. Kijk in de beveiligingsinstellingen van het betrokken account welke apparaten en inlogpogingen recent zijn geweest, en of er een onbekend telefoonnummer voor tweestapsverificatie is toegevoegd. Voor een Google-account geldt volgens Google dat een nieuw telefoonnummer voor tweestapsverificatie tot 7 dagen nodig kan hebben om vertrouwd te worden, en bij iets verdachts wordt het uitgezet met 30 dagen om te bevestigen; bij andere diensten kunnen die termijnen anders zijn. Exacte schermnamen en rechten verschillen per account, dus laat de beheerder nagaan waar die gegevens bij jullie staan. Gebruik je een account via werk of een andere groep, dan kunnen instellingen door de beheerder bepaald zijn.

Leg daarna drie afspraken vast: wie bevoegd is om externe supporttoegang goed te keuren, welk kanaal jullie voor verificatie gebruiken en dat codes nooit mondeling worden doorgegeven. De beveiligingsgids van MDN adviseert sterke authenticatie en geen wachtwoorden alleen, met toegangssleutels als sterkste optie en tijdgebonden eenmalige codes (TOTP) als alternatief. Die gids is bedoeld voor webontwikkelaars, dus gebruik hem als achtergrond, niet als volledige checklist voor je zaak.

Wil je weten welke zichtbare signalen je website naar buiten geeft, zoals contactgegevens en vertrouwenssignalen, bekijk ze dan via Marketing Scan. Een publieke scan ziet alleen wat zichtbaar is en toetst niet je interne accountbeveiliging.