De vraag die niemand stelt

Er belt iemand van de leverancier van het pakket waar jullie mee werken. Hij kent de naam van de applicatie, hij weet in welke versie jullie zitten, en hij verwijst naar het ticket van vorige week. Er is een storing en hij wil even meekijken.

Alles klopt. En juist dat is het probleem.

Kloppen is geen controle

Wat iemand aan de telefoon weet, zegt niets over wie hij is. Het ticketnummer staat in een e-mail die ergens in een gehackte postbus ligt. De versie staat in een vacaturetekst. De naam van de leverancier staat op de website, onder klanten.

Er wordt bij dit soort gesprekken heel precies gestuurd op iets anders dan overtuigingskracht: op tijdsdruk. Niet "geef mij toegang" maar "de dienst ligt eruit en ik ben nu bezig". De vraag die je zou moeten stellen, is niet ongepast — hij is alleen ongelegen, en dat is genoeg.

De enige controle die werkt

Hang op. Zoek het nummer van de leverancier zelf op — in het contract, op hun website, in het adresboek dat jullie zelf beheren. Bel terug.

Dat is de hele maatregel. Hij werkt om één reden: hij gebruikt geen enkele informatie die de beller je heeft gegeven. Alle andere controles doen dat wel. Het nummer in het display, het e-mailadres in de handtekening, het terugbelnummer dat hij noemt — dat is allemaal door de andere kant aangeleverd, en dus geen controle maar een herhaling.

Waarom het toch niet gebeurt

Het antwoord ligt niet bij de persoon aan de telefoon maar bij de organisatie eromheen.

In de meeste bedrijven is er geen enkel moment waarop iemand heeft gezegd: als je twijfelt, mag je ophangen. Dat is nooit uitgesproken, dus wordt het ingevuld met wat er wél is uitgesproken — dat de klant geholpen moet worden, dat we bereikbaar zijn, dat we niet moeilijk doen. Iemand die ophangt om terug te bellen, doet iets waarvan hij niet zeker weet of het mag.

Zolang dat zo is, is een training over social engineering een uitleg van iets wat medewerkers niet mogen toepassen.

Wat je vanmiddag kunt doen

Zeg het hardop, in een teamoverleg, in twee zinnen: als iemand belt en om toegang of gegevens vraagt, mag je ophangen en zelf terugbellen. Dat is geen onbeleefdheid en het is nooit een fout.

Zet er één ding bij dat het waarmaakt — een lijstje met de eigen telefoonnummers van de vaste leveranciers, ergens waar iedereen erbij kan. Zonder dat lijstje is "zoek het nummer zelf op" een opdracht die op een druk moment vijf minuten kost, en vijf minuten is precies wat er niet is.

De maatregel is niet de regel. De maatregel is dat opzoeken sneller gaat dan doorpraten.