Uit naam van de Inspectie SZW, onderdeel van het Ministerie van Sociale Zaken en Werkgelegenheid, gaat een mail rond met als onderwerp 'Officiële kennisgeving (WS2F4W6A) met betrekking tot een mogelijk onderzoek'. Deze mail is vals en verwijst mogelijk naar schadelijke, gevaarlijke malware.

De volledige tekst van de mail - afkomstig van het mailadres [email protected] - luidt als volgt:

Klachtnummer: 792122
11:50
 
Dit is een officiële kennisgeving met betrekking tot een mogelijk onderzoek (Inspectie SZW).
 
Wij hebben een klacht ontvangen tegen uw bedrijf met betrekking tot mogelijke inbreuken.
 
De belangrijkste reden die in de klacht wordt omschreven is het feit dat uw bedrijf in deze periode niet in staat is zich aan te passen en de huidige wetgeving te respecteren.
 
Wij zullen ons onderzoek aanvatten met het oog op een periode van de afgelopen twee maanden.
 
De klager zal anoniem blijven tot een eventueel proces begint.
 
Klik hier om de klacht online te bekijken.
 
Sancties:
mogelijke sancties kunnen bestaan uit het opschorten van de activiteit van uw bedrijf;
een klacht bij de plaatselijke openbare aanklager;
Voor wij verder gaan verwachten wij een antwoord van u. Een telefoongesprek zal ook worden ingepland om de situatie verder te bespreken. 

Let op: Er zijn meerdere mailadressen bekend. Zo is ook een mail van [email protected] bij ons bekend met dezelfde tekst en een afwijkend - maar net zo goed verzonnen - klachtnummer.

Wat zit hierachter?

Dat is eerlijk gezegd niet helemaal duidelijk. De mail bevat op twee plaatsen een link die op het eerste gezicht verwijst naar een video op het domein imperialcoperture.it. Dat is zo te zien een website van een Italiaanse producent van golfplaten en vergelijkbare materialen. De homepage van die website kunnen we moeiteloos bezoeken, maar de specifieke link naar de video wordt - afhankelijk van je browser - automatisch geblokkeerd.

Proberen we de link te volgen in Google Chrome? Dan verwijst de link ons naar de homepage van Google. Maar proberen we de link te openen in Mozilla FireFox? Dan verwijst dezelfde link ons vreemd genoeg naar de Engelstalige website van de Inspectie SZW met de bijbehorende domeinnaam inspectorateszw.nl.

Proberen we de link echter te openen op onze smartphone, dan zien we iets vreemds gebeuren. Dan verwijst dezelfde link namelijk naar het domein inspectieszw.digital. Een check van de domeinnaam leert ons dat dit domein pas vijf dagen in de lucht is.

Informatie over de houder van de domeinnaam is verborgen, en dat wijst erop dat de kans bestaat dat de eigenaar mogelijk geen beste bedoelingen heeft. Op een smartphone zien we het volgende scherm met de tekst 'Je bent op een mobiel apparaat. Gebruik uw Windows-pc om toegang tot de bestanden te bekijken'.

Het mailadres van de afzender was al verdacht, de verwijzing naar de website van een Italiaans bedrijf slaat in deze context ook nergens op en taalkundig klopt de zin die we op onze smartphone zien ook van geen kant. Stuk voor stuk goede tekens dat dat we te maken hebben met een afzender die zich anders voordoet dan hij of zij is.

We weten weliswaar niet precies wat de afzender moet, maar we zijn vooralsnog geneigd het in de hoek van malware of ransomware te zoeken, al valt ook phishing niet uit te sluiten. Redenen om aan te nemen dat het om malware of ransomware gaat, is dat er op de smartphone wordt verwezen naar 'bestanden' (met mogelijk kwaadaardige software). Ook lijkt het erop dat het voornamelijk bedrijven zijn die deze mail ontvangen, en het is voor criminelen een stuk lucratiever om ransomware naar bedrijven te sturen dan naar individuele consumenten. 

De belangrijkste les die we hieruit kunnen trekken is echter dat de afzender van deze mail met aan zekerheid grenzende waarschijnlijkheid niets goeds in de zin heeft. Krijg jij deze mail? Dan weet je dat je 'm gerust kunt verwijderen.

Ministerie van Sociale Zaken en Werkgelegenheid weet van niets

Er is overigens nóg een goede reden om te stellen dat we hier met een misleidende, valse en mogelijk zelfs schadelijke of gevaarlijke mail van doen hebben. Het Ministerie van Sociale Zaken is op de hoogte van deze mail, maar uit de omschrijving - zie de tweet hierboven - blijkt dat zij in ieder geval niet de afzender zijn. Opletten dus!

Bijschrift foto: De oplettende kijker heeft wellicht gezien dat het gebouw inderdaad het oude pand is van het Ministerie van Sociale Zaken en Werkgelegenheid. Toch even een disclaimer bijgevoegd waaruit blijkt dat ook wij daarvan op de hoogte zijn.