Dit onderzoek is een eerste verkenning in Nederland naar de impact op slachtoffers van online delicten, de behoeften van slachtoffers en de verantwoordelijkheden van politie, justitie en andere instanties bij de afhandeling van dergelijke delicten. Daarbij is er bijzondere aandacht voor de vraag in hoeverre en hoe de situatie en behoeften van slachtoffers van online criminaliteit afwijken van de situatie en behoeften van slachtoffers van traditionele offline delicten. Immers, als daar meer zicht op is wordt ook duidelijk of het bestaande slachtofferbeleid – dat ontwikkeld is voor traditionele offline delicten – voorziet in de behoeften van slachtoffers van online criminaliteit. Onder de noemer ‘online criminaliteit’ vallen diverse delicten die kunnen worden onderverdeeld in twee categorieën: cybercriminaliteit en gedigitaliseerde criminaliteit. Onder cybercriminaliteit vallen delicten waarbij de ICT-structuur zelf doelwit is én waarbij voor het plegen van dat delict ICT van wezenlijk belang is voor de uitvoering. Voorbeelden zijn het hacken van een database met persoonsgegevens of het platleggen van een website van een bank met een zogenaamde DDoS-aanval. Dit soort delicten wordt ook wel cyber dependent crimes genoemd. Onder gedigitaliseerde criminaliteit vallen traditionele offline delicten die ook online kunnen worden gepleegd. Voorbeelden zijn fraude via internet en de verspreiding van kinderpornografisch materiaal. Dit soort delicten wordt ook wel cyber enabled crimes genoemd. LinkedIn: https://www.linkedin.com/in/rutgerleukfeldt/
DOCUMENT
Deze studie kijkt naar de factoren die de intentie tot het doen van aangifte of melding na slachtofferschap van cybercrime verhogen en de motieven die daarmee samenhangen. In deze studie wordt gebruikgemaakt van een vragenlijst met daarin vignetten. De factoren die gemeten zijn in de vignetten zijn het type delict, de ernst van het delict, of er een relatie is tussen de dader en het slachtoffer en de mogelijkheden om aangifte te doen. Het blijkt onder meer dat het type en de ernst van het delict bepalende factoren zijn voor zowel meldings- als aangiftebereidheid van slachtofferschap na cybercrime. LinkedIn: https://www.linkedin.com/in/rutgerleukfeldt/
MULTIFILE
Cybercriminaliteit is een serieus en urgent maatschappelijke probleem. De winst in het tegengaan van cybercriminaliteit zal op korte termijn niet liggen in het opsporen van daders of het vergroten van toezicht op internet, maar eerder in het verbeteren van de cyberweerbaarheid van internetgebruikers. Het gedrag van mensen heeft invloed op de kans slachtoffer te worden van cybercriminaliteit zoals phishingen ransomware. Effectieve risicocommunicatie en voorlichting kunnen een belangrijke bijdrage leveren aan het zelfbeschermend en voorbereidend gedrag van eindgebruikers, en daarmee hun capaciteit om zichzelf en/of hun organisatie te beschermen tegen de mogelijke risico’s en effecten. Risicocommunicatie is maatwerk en is idealiter gebaseerd op de beleving en percepties van de doelgroep. Daarom is het van belang voor iedere doelgroep de communicatiestrategie te laten aanpassen aan hun kenmerken, percepties en gedragingen. Aangezien vooral jongeren en mkb’ers relatief vaak slachtoffer zijn van verschillende vormen van cybercriminaliteit, zijn deze twee groepen onderwerp van deze studie. Dit rapport beschrijft een exploratief onderzoek in opdracht van de VeiligheidsAlliantie regio Rotterdam (VAR), en uitgevoerd door Hogeschool Saxion en de Haagse Hogeschool. Het doel is het in kaart brengen van factoren die bijdragen aan zelfbeschermend gedrag door jongeren en mkb’ers ten aanzien van cybercriminaliteit en hoe dit gedrag door middel van effectieve risicocommunicatie kan worden gestimuleerd. Hiertoe is een conceptueel model ontwikkeld (het Cyber Resilience Model), dat inzicht geeft in de mogelijke factoren die de weerbaarheid en zelfbeschermend gedrag kunnen verklaren en voorspellen. Op basis van diepte-interviews en vragenlijstonderzoek onder jongeren en mkb’ers, is onderzocht hoe deze groepen scoren op de verklarende factoren en welke factoren het zelfbeschermend gedrag beïnvloeden. Uit de resultaten blijkt dat bij zowel jongeren als mkb’ers er sprake is van een sterke ‘optimistic bias’. Deze bias houdt in dat men het risico ziet en zich ervan bewust is, maar zichzelf veel minder vatbaar acht om slachtoffer te worden dan anderen. De meeste respondenten beschouwen cybercriminaliteit als een (groot) maatschappelijk risico, maar zien het niet als iets dat hen persoonlijk snel zal overkomen. Verder blijkt dat over het algemeen zowel jongeren als mkb’ers het nuttig vinden om zelfbeschermende of voorbereidende maatregelen te treffen tegen cybercriminaliteit. Zowel jongeren als mkb’ers voeren 8reeds verschillende zelfbeschermende maatregelen uit, maar de meerderheid is ook voornemens om in de toekomst aanvullende maatregelen te treffen. De analyses laten zien dat het zelfbeschermend gedrag van jongeren vooral wordt ingegeven door persoonlijke kenmerken (opleidingsniveau, leeftijd, geslacht en risicogevoeligheid), effectiviteitsverwachtingen, ervaring met slachtofferschap en de perceptie van eigen verantwoordelijkheid om jezelf te beschermen. Daarnaast blijkt dat de intenties om in de toekomst aanvullende zelfbeschermende maatregelen te nemen samenhangen met leeftijd en geslacht, waarbij jongere vrouwen de laagste intenties hebben om zichzelf (beter) te gaan beschermen tegen cybercriminaliteit. Opvallend is, dat de lager opgeleide, jonge vrouwen (jonger dan 18 jaar) het laagst scoren op zelfbeschermend gedrag. Bij mkb’ers wordt zelfbeschermend gedrag vooral bepaald door persoonlijke kenmerken (geslacht, slachtofferschap en risicogevoeligheid), effectiviteitsverwachtingen en subjectieve normen.
DOCUMENT
Hoewel de meeste ondernemers zich wel degelij k bewust zij n van de gevaren van cybercriminaliteit in het algemeen, blij ken ze zich er in veel gevallen toch nog te weinig tegen te beschermen. “Het lijkt erop dat ondernemers de risico’s van cybercriminaliteit vaak niet op hun eigen situatie betrekken. Dat is ten onrechte. Cybersecurity verdient de alertheid van íedere ondernemer. Continu!
DOCUMENT
De constatering dat onderzoek naar de menselijke factor binnen cybercrime en cybersecurity nog in de kinderschoenen staat, terwijl er een grote vraag is naar evidence-based praktisch toepasbare kennis is de reden dat De Haagse Hogeschool (HHs) en het Nederlands Studiecentrum Criminaliteit en Rechtshandhaving (NSCR) de handen ineengeslagen hebben voor de totstandkoming van dit lectoraat. Het lectoraat richt zich daarbij op een specifieke doelgroep: het midden- en kleinbedrijf (mkb). Het mbk is de backbone van de Nederlandse economie. Mkb’ers worden echter relatief vaak slachtoffer van cyberaanvallen en hebben niet de capaciteit om zich te weren tegen dergelijke aanvallen. Dit staat in schril contrast met het onderzoek dat wordt uitgevoerd op dit gebied. Onderzoek naar deze doelgroep ontbreekt bij de start van dit lectoraat nagenoeg compleet. Het doel van het lectoraat is om de kennispositie van het mkb op het gebied van cybercrime en cybersecurity te vergroten om zo het slachtofferschap en de impact van cyberaanvallen onder mkb’ers te verlagen. Omdat er nagenoeg geen studies zijn gedaan naar cybersecurity in het mkb zullen eerst basale vragen beantwoord moeten worden. Zo is inzicht nodig in slachtofferschap onder mkb’ers. Hoe vaak komen aanvallen op mkb bedrijven voor? Welke mkb bedrijven worden slachtoffer van cyberaanvallen en zijn er factoren die risicoverhogend of risicoverlagend werken? Wat is de werkwijze van criminelen? En van welke zwakke plekken maken criminelen gebruik om hun aanvallen uit te voeren? Tegelijkertijd moet worden onderzocht hoe mkb’ers zichzelf weerbaarder kunnen maken. Weten mkb’ers welke risico’s ze lopen, hoe ze aanvallen kunnen detecteren en afslaan? Welke factoren beïnvloeden de weerbaarheid? Welke interventiemogelijkheden zijn er om de weerbaarheid te verhogen? De bescherming van het mkb tegen cyberaanvallen ligt echter niet alleen bij het mkb zelf. Ook andere partijen hebben hierbij een rol. Daarom moet onderzocht worden welke rol politie en justitie nog hebben bij de aanpak van cybercrime gericht op het mkb.
DOCUMENT
Doel: Ontwikkelen van effectieve interventies die ambtenaren openbare orde en veiligheid kunnen inzetten om de cyberweerbaarheid van burgers en bedrijven binnen hun gemeente te vergroten. Probleemstelling: Ambtenaren openbare orde en veiligheid spelen een centrale rol in de zorg voor maatschappelijke veiligheid. Hun focus ligt van oudsher op de preventie van slachtofferschap van veelvoorkomende criminaliteit (zoals diefstal, vernielingen en vandalisme) en high impact crime (zoals woninginbraak, overvallen en straatroven) binnen hun verzorgingsgebied. Intussen heeft de digitalisering van de samenleving een ongeëvenaarde gelegenheid voor criminaliteit gecreëerd. Nederlandse gemeenten hebben cybercrime in de afgelopen twee jaar dan ook breed als beleidsprioriteit omarmd. Maar in de vertaling van deze beleidsprioriteit naar concrete acties gaat het mis. Duidelijk is dat de ambtenaren openbare orde en veiligheid een taak voor zichzelf zien in de preventie van cybercrime, maar waar te beginnen? De hoofdvraag van dit project luidt: Met welke interventies kunnen ambtenaren openbare orde en veiligheid de cyberweerbaarheid van burgers en bedrijven binnen hun gemeente vergroten? Doelgroep: De interventies worden ontwikkeld voor ambtenaren openbare orde en veiligheid van Nederlandse gemeenten. De doelgroepen van de interventies zijn jongeren, ouderen en mkb’ers.
DOCUMENT
Cybercriminaliteit is een veelvoorkomend probleem geworden in Nederland (CBS, 2022). Nederlandse gemeenten hebben cybercrime dan ook breed als beleidsprioriteit opgepakt. Gemeenten geven daarbij aan behoefte te hebben aan handvaten om hun inwoners en ondernemers weerbaarder te maken tegen cybercriminaliteit. In het project “Cyberweerbaarheid: Een gemeentelijk offensief ter preventie van slachtofferschap van cybercrime” werken professionals uit twaalf4 gemeenten en vier5 regionale veiligheidsnetwerken samen met onderzoekers van de Haagse Hogeschool, Hogeschool Saxion en het Nederlands Studiecentrum Criminaliteit en Rechtshandhaving (NSCR) aan wetenschappelijk onderbouwde interventies waaromee ambtenaren openbare orde en veiligheid de cyberweerbaarheid van burgers en bedrijven binnen hun gemeente kunnen vergroten. In dit rapport staat slachtofferschap van cybercriminaliteit onder mkb’ers centraal. Het midden‐ en kleinbedrijf (mkb) wordt relatief vaak slachtoffer van cybercriminaliteit en ondervindt hiervan in hoge mate schade (CBS, 2018; Notté et al., 2019). Met name de toename van slachtofferschap van ransomware binnen het mkb is een zorgelijke ontwikkeling. Het is van groot belang dat mkb’ers maatregelen nemen om een ransomware aanval te voorkomen en de schade zo veel mogelijk te beperken. Beschermende maatregelen worden echter door veel mkb’ers slechts in geringe mate ingezet (Bekkers et al., 2021; CBS, 2021; Notté et al., 2019; Veenstra et al., 2015). De cyberweerbaarheid van mkb’ers (het vermogen van een organisatie om cyberincidenten te weerstaan, daarop te kunnen reageren en van te herstellen, zodat de organisatie operationeel blijft) is daardoor te beperkt. In dit rapport presenteren we de ontwikkeling en evaluatie van een interventie genaamd “MKB Cyber Buddy’s”. Het doel van de interventie is om de weerbaarheid van mkb’ers tegen ransomware te vergroten. De interventie is er op gericht om mkb’ers niet alleen te informeren over cybercriminaliteit, maar ze ook door actieve deelname tot een positieve gedragsverandering te brengen. Onder mkb’ers verstaan we in dit onderzoek ondernemers met minimaal één en maximaal 250 werknemers. De hoofdvraag in dit rapport is: Is de interventie “MKB cyber buddy’s” een effectieve interventie voor Nederlandse gemeenten om de cyberweerbaarheid van mkb’ers in hun gemeente met betrekking tot ransomware te bevorderen? Het doel van dit rapport is tweeledig. Enerzijds beschrijft dit rapport de onderbouwing en ontwikkeling van de interventie “MKB Cyber Buddy’s”. Anderzijds beschrijft dit rapport de evaluatie van de pilot die is uitgevoerd in 2022, betreffende de effectiviteit, sterke kanten, valkuilen en onvoorziene gevolgen van de interventie. Hiermee zullen inzichten geboden worden in hoe de interventie verbeterd kan worden en in de toekomst op grotere schaal kan worden ingezet.
DOCUMENT
De uitbraak van het COVID-19 virus (i.e., coronavirus) in December 2019 in de Chinese stad Wuhan heeft een grote impact gehad op de manier van leven over de gehele wereld. Op 27 februari 2020 werd de eerste besmetting met het coronavirus in Nederland vastgesteld, waarna het aantal besmettingen snel opliep. Om de verdere verspreiding van het virus zo veel mogelijk te beperken werden er in Nederland – net als in de vrijwel alle andere landen –diverse vrijheid beperkende maatregelen ingesteld. Van 23 maart 2020 tot 1 mei 2020 gold in Nederland een zogenaamde ‘intelligente lockdown’ en werden mensen gevraagd om afstand van elkaar te houden, zo veel mogelijk thuis te blijven en werken, en werden scholen, sportclubs, horeca en winkels gesloten. In de twee jaar na de start van deze intelligente lockdown volgden er verschillende periodes met op- en afschalingen van restricties, waaronder nog twee ‘harde lockdowns’ die ingingen in december 2020 en december 2021. Vanzelfsprekend hebben deze maatregelen een grote invloed gehad op onze manier van leven en werken en hebben er waarschijnlijk nog nooit zoveel Nederlanders tegelijk vanuit huis gewerkt als tijdens de coronacrisis. Dit heeft ook geleid tot veranderingen op het gebied van criminaliteit. In het eerste jaar van de coronapandemie lag het aantal geregistreerde misdrijven in Nederland ongeveer 6 procent lager dan in dezelfde periode in het jaar daarvoor, waarbij de verschillen het grootst waren tijdens de periodes met de strengste maatregelen (i.e., de intelligente lockdown en harde lockdown). Deze daling in geregistreerde criminaliteit was met name duidelijk terug te vinden onder misdrijven die doorgaans gepleegd worden als het slachtoffer niet in zijn of haar eigen huis is, zoals woninginbraak, zakkenrollenrij en fietsendiefstal (Kruisbergen et al., 2021). Voor huiselijk geweld, wat doorgaans binnen het eigen huis(houden) plaatsvindt, werd juist gevreesd voor een toename, maar deze lijkt achterwege te zijn gebleven in Nederland (Coomans et al., 2022). Ook hebben verschillende experts in de media gewezen op de cyberrisico’s van thuiswerken.1 Dit is in het bijzonder voor midden- en kleinbedrijven (mkb) zeer relevant omdat mkb-bedrijven de ruggengraat vormen van de Nederlandse economie (zij zijn verantwoordelijk voor 63% van het Bruto Binnenlands Product, 71% van de werkgelegenheid, en een totale omzet van 1023 miljard euro)2 , terwijl we ook weten dat deze groep bedrijven relatief vaak slachtoffer wordt van cyberaanvallen en weinig middelen ter beschikking heeft om zich hiertegen te wapenen (Leukfeldt, 2018). Tegelijkertijd zijn mkb-bedrijven waarschijnlijk niet goed ingericht op het ondersteunen van (massaal) thuiswerken en hebben daarom in allerijl en met veelal beperkte middelen moeten improviseren om het thuiswerken mogelijk te maken. Dit onderzoek richt zich daarom op de vraag in hoeverre de uitbraak van het coronavirus en de daarmee gepaard gaande toename in thuiswerken gedurende de pandemie geleid hebben tot meer cyberonveiligheid voor zowel burgers als het mkb en wat we hiervan kunnen leren voor de toekomst. Hierbij kijken we naar de aard en omvang van dreigingen en incidenten en naar de impact die incidenten hebben gehad. Dit geeft inzicht in de wijze waarop plotselinge verschuivingen van offline naar online activiteiten leiden tot nieuwe cyberrisico’s en is voor het mkb van groot belang om te kunnen beoordelen welke maatregelen zij kunnen en moeten nemen ten tijde van crises en wat die maatregelen mogen kosten. Uit eerder onderzoek weten we dat mkb-bedrijven weinig inzicht hebben in cyberrisico’s (doordat aard en omvang vaak onduidelijk zijn) en daardoor niet weten welke maatregelen zij moeten treffen (Notte et al., 2019). Daarnaast hebben mkb-bedrijven vaak weinig middelen en kennis in huis om zich goed te kunnen wapenen tegen cybercriminelen. Drie onderzoeksvragen staan dan ook centraal in dit onderzoek: 1) In hoeverre is de aard en omvang van cybercriminaliteit veranderd tijdens de coronapandemie? 2) Wat waren de gevolgen van slachtofferschap van cybercriminaliteit tijdens de coronapandemie? 3) Is er een relatie tussen veranderingen in internetgebruik en slachtofferschap van cybercriminaliteit tijdens de coronapandemie? Om deze vragen te beantwoorden analyseren we in fase 1 van dit onderzoek eerst de bestaande literatuur en interviewen we tien experts van de politie, cybersecuritybedrijven en andere relevante stakeholders. De literatuurstudie en verkennende interviews gebruiken we vervolgens in fase 2 van dit onderzoek om een vragenlijst te ontwikkelen die we hebben uitgezet onder een steekproef van burgers en een steekproef van mkb’ers om de aard, omvang en impact van slachtofferschap in kaart te brengen.3 Hierdoor wordt een uniek beeld verkregen van de effecten van het coronavirus en veranderingen in ons internetgebruik.
DOCUMENT
In dit rapport ronden de lectoraten Maatschappelijke Veiligheid van Hogeschool Saxion en Cybercrime & Cybersecurity van de Haagse Hogeschool het RAAK-publiek project ‘Cyberweerbaarheid: Een gemeentelijk offensief ter preventie van slachtofferschap van cybercrime’ af. Samen met onze consortiumpartners richtten de lectoraten zich in dit twee jaar durende project op de hoofdvraag ‘Met welke interventies kunnen ambtenaren openbare orde en veiligheid de cyberweerbaarheid van burgers en bedrijven binnen hun gemeente vergroten?’. Duidelijk was dat cybercriminaliteitlle doelgroepen in de samenleving een actuele en urgente dreiging vormt. Allereerst werden daarom door het consortium de doelgroepen en specifieke delicten geselecteerd waarop – op basis van literatuur en interviews met experts die met de doelgroepen werken – met voorrang moest worden geïnvesteerd op de cyberweerbaarheid. Dit heeft geresulteerd in de keuze voor drie doelgroepen: jongeren voor phishing, misbruik van seksueel beeldmateriaal en geldezelen; ouderen voor digitale oplichting (waaronder phishing) en mkb’ers voor phishing en ransomware. Voor elk van deze doelgroepen is verdiepend onderzoek naar de weerbaarheid tegen de geselecteerde delicten uitgevoerd op basis van representatief vragenlijstonderzoek en verdiepende interviews onder leden van de gekozen doelgroepen. Tevens is daarbij onderzocht wat de verklarende variabelen zijn voor zelfbeschermend gedrag. Aan de hand van deze brede kennisbasis zijn door de onderzoekers van de hogescholen, in nauwe samenwerking met de consortiumpartners uit de praktijk, vier interventies ontwikkeld en geëvalueerd: 1. ‘Doorsturen doe je niet!’ om jongeren weerbaarder te maken tegen misbruik van seksueel beeldmateriaal; 2. Instagram-campagne om jongeren weerbaarder te maken tegen geldezelen; 3. Laat je geen h@ck zetten! om ouderen weerbaarder te maken tegen digitale oplichting; 4. MKB Cyber Buddy’s om mkb’ers weerbaarder te maken tegen ransomware. De interventies ter preventie van slachtofferschap van phishing konden, met het oog op de beschikbare tijd en capaciteit, helaas niet binnen de spanne van dit project worden ontwikkeld. In overleg met het consortium is besloten deze vier interventies te ontwikkelen en na implementatie te evalueren. De interventies die ontwikkeld zijn binnen dit project onderscheiden zich van bestaande interventies omdat de door ons ontwikkelde interventies evidence-based zijn. Daarmee vormen deze interventies een belangrijke bouwsteen in de landelijke beweging naar een evidence-based aanpak van cyberweerbaarheid. Inmiddels zijn de samenwerkende lectoraten van dit project door de Citydeal Lokale Cyberweerbaarheid gevraagd om te helpen met het verder uitrollen van deze evidence-based aanpak door alle beschikbare interventies buiten dit project van een procesevaluatie en effectevaluatie te voorzien. Dit wordt opgepakt vanuit het consortium bij de recent toegekende SPRONG-subsidie, waarmee de samenwerkende lectoraten met hun praktijkpartners uit dit RAAK-publiek project een duurzame bijdrage blijven leveren aan het evidence-based werken aan de cyberweerbaarheid van de Ne - derlandse samenleving. Daarbij blijft de kracht van maatwerk risicocommunicatie binnen be - staande, lokale netwerken een cruciale pijler in de aanpak van het grenzeloze vraagstuk van cybercriminaliteit. Helaas is de noodzaak voor die aanpak groter en actueler dan ooit.
DOCUMENT
Een grote groep Nederlanders wordt jaarlijks slachtoffer van phishing. Burgers en bedrijven nemen echter in te beperkte mate zelfbeschermende maatregelen. In dit onderzoek wordt in kaart gebracht welke factoren bijdragen aan de intentie om zelfbeschermende maatregelen te nemen tegen phishing door drie risicogroepen, namelijk jongeren, ouderen en mkb’ers. We passen de Protection Motivation Theory toe, en onderbouwen een uitbreiding van dit model met twee factoren: affectieve respons en subjectieve normen. Data is verzameld middels vragenlijstonderzoek bij een panelbureau onder jongeren (N=1179), ouderen (N=1191) en mkb’ers (N=1020). De sterkste voorspeller voor de intentie tot het nemen van zelfbeschermende maatregelen tegen phishing bleek de affectieve respons (zorgen maken om phishing), gevolgd door een negatief effect van zelfeffectiviteit en positieve effecten van waargenomen ernst (jongeren en mkb’ers) en subjectieve norm (mkb’ers). Implicaties van de bevindingen voor handhavers en interventies worden besproken.
DOCUMENT
