De USB-stick op de parkeerplaats

Op de parkeerplaats bij het kantoor ligt een USB-stick. Geen goedkoop weggevertje van een beurs, maar een nette, met een label erop: salarissen 2026. Je raapt hem op. En dan begint het gesprek in je hoofd — met wie is hij van, hoe kom ik daarachter, ik kijk gewoon even.

Dat gesprek is precies waar op gerekend wordt.

Er staat geen bestand op

De aanname is dat de stick een map met documenten bevat en dat je pas iets riskeert als je zo'n document opent. Dat klopte tien jaar geleden misschien. Wat er tegenwoordig op zit, is meestal helemaal geen opslag.

Een USB-apparaat vertelt de computer zelf wat het is. Een stick die zich aanmeldt als toetsenbord, krijgt behandeld te worden als toetsenbord: er komt geen waarschuwing, er is niets om te bevestigen, en binnen twee seconden zijn er honderd toetsaanslagen doorgegeven die jij niet hebt getypt. Een terminalvenster dat opent en meteen weer sluit is alles wat je ervan ziet, en op een druk moment zie je dat niet eens.

Er bestaat ook een variant die het stroomcircuit van de USB-poort overbelast. Die kost je geen gegevens maar een moederbord. In beide gevallen is het onderscheid tussen "ik heb hem alleen ingestoken" en "ik heb hem geopend" verdwenen.

Waarom het werkt op mensen die het weten

Ik heb dit voorgelegd aan mensen die het antwoord kennen. Bijna iedereen zegt meteen: nooit doen. En bijna iedereen noemt in hetzelfde gesprek een uitzondering.

Ja, maar deze had het logo van onze eigen leverancier erop.

Ik heb hem in een oude laptop gestopt die toch offline staat.

Ik wilde hem juist teruggeven aan wie hem kwijt was.

Dat laatste is de sterkste, want het is een fatsoenlijke reflex. Iemand is iets kwijt en jij kunt helpen. Wie een stick achterlaat op een parkeerplaats, leunt niet op onwetendheid maar op behulpzaamheid — en die is veel betrouwbaarder aanwezig dan onwetendheid.

Wat je in plaats daarvan doet

Het antwoord is saai en dat is een kenmerk, geen gebrek.

Je steekt hem nergens in. Ook niet in een oude laptop, ook niet in een virtuele machine, ook niet "even kijken". De vraag wie hem kwijt is, is niet aan jou om te beantwoorden met hardware waar je zelf op inlogt.

Je geeft hem af bij wie in jouw organisatie over dit soort dingen gaat — de receptie, de servicedesk, de beveiliger. Als niemand weet wie dat is, is dát het probleem dat opgelost moet worden, en niet de stick.

En je vertelt het. Niet omdat er iets is misgegaan, maar juist omdat er niets is misgegaan: één melding van "er lag iets vreemds op de parkeerplaats" is voor een organisatie meer waard dan tien geslaagde phishingtests. Het is het enige signaal dat er iemand aan het proberen is.

Het echte ongemak

Wat deze truc zo hardnekkig maakt, is dat de juiste handeling voelt als overdrijven. Je geeft een stickje af bij de receptie en je hoort jezelf denken dat je er wel erg dramatisch over doet.

Dat gevoel is de kosten van de maatregel. Het is de enige kosten, en het is een stuk goedkoper dan de andere kant.