© 2025 SURF
Presentation given at EURCRIM 2022 conference
Introduction: Few studies have examined the sales of stolen account credentials on darkweb markets. In this study, we tested how advertisement characteristics affect the popularity of illicit online advertisements offering account credentials. Unlike previous criminological research, we take a novel approach by assessing the applicability of knowledge on regular consumer behaviours instead of theories explaining offender behaviour.Methods: We scraped 1,565 unique advertisements offering credentials on a darkweb market. We used this panel data set to predict the simultaneous effects of the asking price, endorsement cues and title elements on advertisement popularity by estimating several hybrid panel data models.Results: Most of our findings disconfirm our hypotheses. Asking price did not affect advertisement popularity. Endorsement cues, including vendor reputation and cumulative sales and views, had mixed and negative relationships, respectively, with advertisement popularity.Discussion: Our results might suggest that account credentials are not simply regular products, but high-risk commodities that, paradoxically, become less attractive as they gain popularity. This study highlights the necessity of a deeper understanding of illicit online market dynamics to improve theories on illicit consumer behaviours and assist cybersecurity experts in disrupting criminal business models more effectively. We propose several avenues for future experimental research to gain further insights into these illicit processes.
Presentatie gegeven op de NVC congres 2022.
Om mkb’ers in staat te stellen hun cyberweerbaarheid te verhogen, heeft de Haagse Hogeschool, samen met het Platform Veilig Ondernemen (PVO) en de VeiligheidsAlliantie regio Rotterdam (VAR) een webapplicatie ontwikkeld. Voor de financiering van de webapplicatie heeft het PVO een subsidie ontvangen van het Centrum voor Criminaliteitspreventie en Veiligheid (CCV). Cyberweerbaarheid is hier gedefinieerd als het vermogen om weerstand te bieden tegen bekende en onbekende vormen van cybercriminaliteit en snel te herstellen van een cybercrisis. Naast het ontwikkelen van de app is het doel om mkb’ers in de regio Rotterdam die de app hebben gebruikt: (1) meer bewust te maken van de risico’s van cybercriminaliteit in zijn algemeenheid en ook voor hun bedrijf specifiek; (2) inzicht te geven in weten welke maatregelen ze kunnen treffen om slachtofferschap te voorkomen en schade bij slachtofferschap te beperken; en (3) daadwerkelijk aan de slag te laten gaan met de gegeven tips. De evaluatie van de app vond plaats onder negen mkb’ers in de regio Rotterdam. Zij zijn geworven op cybersecurity congressen in Barendrecht en Dordrecht. De evaluatie bestond uit een nulmeting en een effectmeting op vier relevante kwaliteiten uit de ISO 25010-norm, namelijk de bruikbaarheid, effectiviteit, efficiëntie en het vertrouwen in de uitkomsten. De evaluatie laat zien dat het gebruik van de app door mkb’ers leidt tot meer bewustzijn van cyberrisico’s. Drie van de negen mkb’ers hebben ook daadwerkelijk adviezen die volgen uit het gebruik van de app opgevolgd en daarmee hun cyberweerbaarheid verhoogd. Een verbetermogelijkheid is de vraagstelling die in de app wordt gebruikt om de adviezen te bepalen. Deze was hier en daar verwarrend of sloot niet goed aan bij de organisatie en haar context. En hoewel de deelnemers aan de evaluatie over het algemeen enthousiast waren over de app bleek het in de praktijk lastig om deelnemers te werven. Ook het bewerkstelligen van gedragsverandering is een knelpunt gebleken, zoals blijkt uit het geringe aantal mkb’ers dat daadwerkelijk maatregelen heeft genomen op basis van de adviezen die volgden uit het gebruik van de app. Mogelijke verklaring hiervoor is de lage prioriteit die mkb’ers toekennen aan het nemen van maatregelen om hun cyberweerbaarheid te vergroten. Samenvattend kunnen we concluderen dat de app in de huidige vorm voldoende kwaliteit heeft om mkb’ers te helpen bij het verhogen van de cyberweerbaarheid. Vervolgonderzoek zou zich kunnen richten op de vraag hoe mkb’ers te motiveren in het gebruikmaken van de app en het opvolgen van adviezen.
Adversarial thinking is essential when dealing with cyber incidents and for finding security vulnerabilities. Capture the Flag (CTF) competitions are used all around the world to stimulate adversarial thinking. Jeopardy-style CTFs, given their challenge-and-answer based nature, are used more and more in cybersecurity education as a fun and engaging way to inspire students. Just like traditional written exams, Jeopardy-style CTFs can be used as summative assessment. Did a student provide the correct answer, yes or no. Did the participant in the CTF competition solve the challenge, yes or no. This research project provides a framework for measuring the learning outcomes of a Jeopardy-style CTF and applies this framework to two CTF events as case studies. During these case studies, participants were tested on their knowledge and skills in the field of cybersecurity and queried on their attitude towards CTF education. Results show that the main difference between traditional written exam and a Jeopardy-style CTF is the way in which questions a re formulated. CTF education is stated to be challenging and fun because questions are formulated as puzzles that need to be solved in a gamified and competitive environment. Just like traditional written exams, no additional insight into why the participant thinks the correct answer is the correct answer has been observed or if the participant really did learn anything new by participating. Given that the main difference between a traditional written exam and a Jeopardy-style CTF is the way in which questions are formulated, learning outcomes can be measured in the same way. We can ask ourselves how many participants solved which challenge and to which measurable statements about “knowledge, skill and attitude” in the field of cybersecurity each challenge is related. However, when mapping the descriptions of the quiz-questions and challenges from the two CTF events as case studies to the NICE framework on Knowledge, Skills and Abilities in cybersecurity, the NICE framework did not provide us with detailed measurable statements that could be used in education. Where the descriptions of the quiz-questions and challenges were specific, the learning outcomes of the NICE framework are only formulated in a quite general matter. Finally, some evidence for Csíkszentmihályi’s theory of Flow has been observed. Following the theory of Flow, a person can become fully immersed in performing a task, also known as “being in the zone” if the “challenge level” of the task is in line with the person’s “skill level”. The persons mental state towards a task will be different depending on the challenge level of the task and required skill level for completing it. Results show that participants state that some challenges were difficult and fun, where other challenges were easy and boring. As a result of this9 project, a guide / checklist is provided for those intending to use CTF in education.
De constatering dat onderzoek naar de menselijke factor binnen cybercrime en cybersecurity nog in de kinderschoenen staat, terwijl er een grote vraag is naar evidence-based praktisch toepasbare kennis is de reden dat De Haagse Hogeschool (HHs) en het Nederlands Studiecentrum Criminaliteit en Rechtshandhaving (NSCR) de handen ineengeslagen hebben voor de totstandkoming van dit lectoraat. Het lectoraat richt zich daarbij op een specifieke doelgroep: het midden- en kleinbedrijf (mkb). Het mbk is de backbone van de Nederlandse economie. Mkb’ers worden echter relatief vaak slachtoffer van cyberaanvallen en hebben niet de capaciteit om zich te weren tegen dergelijke aanvallen. Dit staat in schril contrast met het onderzoek dat wordt uitgevoerd op dit gebied. Onderzoek naar deze doelgroep ontbreekt bij de start van dit lectoraat nagenoeg compleet. Het doel van het lectoraat is om de kennispositie van het mkb op het gebied van cybercrime en cybersecurity te vergroten om zo het slachtofferschap en de impact van cyberaanvallen onder mkb’ers te verlagen. Omdat er nagenoeg geen studies zijn gedaan naar cybersecurity in het mkb zullen eerst basale vragen beantwoord moeten worden. Zo is inzicht nodig in slachtofferschap onder mkb’ers. Hoe vaak komen aanvallen op mkb bedrijven voor? Welke mkb bedrijven worden slachtoffer van cyberaanvallen en zijn er factoren die risicoverhogend of risicoverlagend werken? Wat is de werkwijze van criminelen? En van welke zwakke plekken maken criminelen gebruik om hun aanvallen uit te voeren? Tegelijkertijd moet worden onderzocht hoe mkb’ers zichzelf weerbaarder kunnen maken. Weten mkb’ers welke risico’s ze lopen, hoe ze aanvallen kunnen detecteren en afslaan? Welke factoren beïnvloeden de weerbaarheid? Welke interventiemogelijkheden zijn er om de weerbaarheid te verhogen? De bescherming van het mkb tegen cyberaanvallen ligt echter niet alleen bij het mkb zelf. Ook andere partijen hebben hierbij een rol. Daarom moet onderzocht worden welke rol politie en justitie nog hebben bij de aanpak van cybercrime gericht op het mkb.
Cybercrime – en daarmee cybersecurity – is een groot maatschappelijk probleem. De criminologische bestudering van cybercrime staat nog in de kinderschoenen. Het is echter niet alleen noodzakelijk om fundamenteel wetenschappelijk onderzoek uit te voeren (‘de lange termijn’), maar ook om met de praktijk de acute problemen en uitdagingen van vandaag en morgen te onderzoeken. Het merendeel van het onderzoek op dit gebied – en dan heb ik het over zowel fundamenteel wetenschappelijk als praktijkgericht onderzoek – komt tot nu toe uit de hoek van de technische wetenschappen. Technologie speelt natuurlijk ook een belangrijke rol bij cyberincidenten, maar we hebben het over mensen die cyberaanvallen uitvoeren, mensen die – wetend of onwetend – meewerken aan die aanvallen, mensen die slachtoffer worden en mensen die zich bezighouden met het tegenhouden van cyberaanvallen. Empirisch onderzoek naar de menselijke factor bij cybercrime en cybersecurity is schaars. De onder mijn redactie recent uitgebrachte onderzoeksagenda ‘The human factor in cybercrime en cybersecurity’ maakt dit helder.1 In die onderzoeksagenda zijn tientallen onderwerpen geïdentificeerd waar de komende jaren onderzoek naar moet worden gedaan omdat basale kennis ontbreekt. Tegelijkertijd zit het werkveld te springen om bruikbare kennis over manieren om zich te beschermen tegen cyberaanvallen. Dat laatste is iets wat we zeker gemerkt hebben het afgelopen jaar. Al voor de officiële start van het lectoraat Cybersecurity in het midden- en kleinbedrijf (mkb) stroomden de verzoeken binnen van gemeenten, brancheorganisaties en bedrijven om gezamenlijk onderzoek te doen. Dit is dan ook de reden dat we, ondanks dat het lectoraat nog geen jaar geleden is ingesteld, al flink wat onderzoeken voor en met de praktijk uitvoeren. De constatering dat onderzoek naar de menselijke factor binnen cybercrime en cybersecurity nog in de kinderschoenen staat terwijl er een grote vraag is naar evidence-based praktisch toepasbare kennis, is de reden dat De Haagse Hogeschool (HHs) en het Nederlands Studiecentrum Criminaliteit en Rechtshandhaving (NSCR) de handen ineengeslagen hebben voor de totstandkoming van dit lectoraat. Zowel De HHs als het NSCR hebben cybersecurity en cybercrime al enkele jaren geleden als prioriteit benoemd en hebben elk afzonderlijk onderzoeksprogramma’s op dit gebied. Voor De HHs geldt dat onderzoeken toepassingsgericht moeten zijn en dat de nieuwste onderzoeksmethoden en -technieken moeten worden toegepast om hoogwaardige producten op te leveren. Voor het NSCR geldt dat onderzoeken ook fundamentele kennis moeten opleveren. Het is echter steeds duidelijker dat bij onderzoek naar cybercrime en cybersecurity het beste van beide werelden nodig is. Het lectoraat heeft dan ook de nadrukkelijke opdracht deze twee onderzoeksprogramma’s te verbinden. Ik zal in deze inleiding een beknopte schets geven van de onderzoeksprogramma’s van deze organisaties en van de toekomstige onderzoeken binnen het lectoraat. LinkedIn: https://www.linkedin.com/in/rutgerleukfeldt/
Cybersecurity threat and incident managers in large organizations, especially in the financial sector, are confronted more and more with an increase in volume and complexity of threats and incidents. At the same time, these managers have to deal with many internal processes and criteria, in addition to requirements from external parties, such as regulators that pose an additional challenge to handling threats and incidents. Little research has been carried out to understand to what extent decision support can aid these professionals in managing threats and incidents. The purpose of this research was to develop decision support for cybersecurity threat and incident managers in the financial sector. To this end, we carried out a cognitive task analysis and the first two phases of a cognitive work analysis, based on two rounds of in-depth interviews with ten professionals from three financial institutions. Our results show that decision support should address the problem of balancing the bigger picture with details. That is, being able to simultaneously keep the broader operational context in mind as well as adequately investigating, containing and remediating a cyberattack. In close consultation with the three financial institutions involved, we developed a critical-thinking memory aid that follows typical incident response process steps, but adds big picture elements and critical thinking steps. This should make cybersecurity threat and incident managers more aware of the broader operational implications of threats and incidents while keeping a critical mindset. Although a summative evaluation was beyond the scope of the present research, we conducted iterative formative evaluations of the memory aid that show its potential.
In general, people are poorly protected against cyberthreats, with the main reason being user behaviour. For the study described in this paper, a ques-tionnaire was developed in order to understand how people’s knowledge of and attitude towards both cyberthreats and cyber security controls affect in-tention to adopt cybersecure behaviour. The study divides attitude into a cog-nitive and an affective component. Although only the cognitive component of attitude is usually studied, the results from a questionnaire of 300 respond-ents show that both the affective and cognitive components of attitude have a clearly positive, albeit varying, influence on behavioural intention, with the affective component having an even greater effect on attitude than the cog-nitive aspect. No correlation was found between knowledge and behavioural intention. The results indicate that attitude is an important factor to include when developing behavioural interventions, but also that different kinds of attitude should be addressed differently in interventions.
