Hidde Kylstra: “Phishing wordt echt superrealistisch in de toekomst”
Het gesprek bouwt voort op een punt dat Hidde eerder maakte: security kan niet langer leunen op patronen die al bekend zijn. Nieuwe technologie maakt misbruik eenvoudiger, verfijnder en persoonlijker. De uitdaging wordt niet om alle dreigingen te voorspellen, maar om een organisatie te ontwerpen die snel ziet wanneer iets afwijkt en vervolgens handelt.
Hoe AI de grens tussen echt en nep volledig vervaagt
Hidde schetst een toekomst waarin medewerkers legitieme en kwaadaardige berichten nog maar nauwelijks uit elkaar houden. “Als je kijkt naar Sora, hoe goed filmpjes worden gemaakt of geluidsbestanden, dan wordt phishing echt superrealistisch in de toekomst.” Video’s waarin leidinggevenden opdrachten geven, telefoontjes die klinken alsof ze uit de organisatie komen, volledig synthetische gesprekken: volgens hem is dit geen verre toekomst, maar aan het ontstaan.
Dat maakt traditionele awareness veel minder effectief. Waar trainingen nu nog werken met herkenbare signalen, ziet Hidde dat die signalen verdwijnen. “Ik denk dat je met basishygiënemaatregelen er niet meer komt.” In plaats daarvan verschuift de aandacht naar technische verdedigingslagen, gedragspatronen en alertheid op afwijkingen.
Hij benadrukt dat AI-misleiding niet alleen van buiten komt. Ook interne processen raken vertekend raken doordat medewerkers zelf AI inzetten zonder dat duidelijk is welke data zij daarbij gebruiken. “Heel veel mensen gebruiken AI, ook als je denkt van niet.” Daardoor ontstaat een veel bredere dreiging: niet alleen de aanvaller misleidt, maar ook de omgeving zelf wordt minder voorspelbaar.
Waarom organisaties hun detectiemodellen moeten herzien
Als phishing realistischer wordt, werkt detectie op basis van inhoud en vorm niet meer. Hidde ziet daarom een verschuiving naar de context. Wat doet iemand normaal? Wie communiceert met wie? Welke acties passen bij een rol of apparaat? Hij noemt het een onmisbare stap om misleiding zichtbaar te maken.
De vergelijking met eerdere technologische transities helpt om zijn punt te begrijpen. “Toen de cloudmigratie gebeurde, kwam ransomware op.” Dat was geen evolutie van bestaande aanvallen, maar een nieuw patroon dat aansloot bij de mogelijkheden van de technologie. Zo verwacht hij dat ook AI volledig nieuwe aanvalsvectoren zal creëren die niet lijken op wat organisaties gewend zijn.
Daarom pleit hij voor monitoring die verder kijkt dan indicatoren van bekende aanvallen. Gedrag, relaties, tijdspatronen en anomalieën worden belangrijker. Het vraagt meer creativiteit, maar ook een andere mentaliteit: niet wachten tot een aanval zich volledig ontvouwt, maar reageren zodra iets niet logisch is binnen de normale werking van de organisatie.
De securityprofessional als ontwerper van misleiding
Wat Hidde opvallend duidelijk maakt, is dat organisaties niet alleen slachtoffer worden van misleiding, maar zelf misleiding moeten inzetten om aanvallers te ontmaskeren. Hij ziet veel in deceptiontechnieken die eruitzien als echte onderdelen van de infrastructuur, maar ontworpen zijn om ongewenste interacties te detecteren. “Een soort gesimuleerde IT-omgeving die doet alsof het een legitiem stukje is en die een aanvaller misleidt.”
Die aanpak past in een bredere verschuiving die Hidde beschrijft: security wordt minder reactief en meer ontwerpend. Het gaat niet om het dichtzetten van elke route, maar om slimme systemen creëren waarin anomalieën vanzelf opvallen. Dat vraagt om creativiteit, technische verbeeldingskracht en samenwerking met ontwikkelteams.
Daarmee verandert ook de rol van de securityprofessional. In plaats van elke kwetsbaarheid afzonderlijk te bestrijden, wordt de professional een regisseur die bepaalt waar de echte risico’s zitten en hoe een organisatie ze zichtbaar maakt. Niet door harder te controleren, maar door de omgeving zo in te richten dat afwijkingen meteen opvallen.
Conclusie: realisme in misleiding vraagt om realisme in verdediging
Voor Hidde is de toekomst van cyberweerbaarheid geen strijd om perfecte filters of onfeilbare awareness. Het draait om het bouwen van organisaties die misleiding begrijpen, verwachten en ontleden. De grens tussen echt en nep vervaagt, maar wie inzicht heeft in gedrag en processen reageert sneller dan een aanvaller zich aanpast. AI maakt aanvallen realistischer, maar maakt ook nieuwe vormen van verdediging mogelijk.
“Phishing wordt echt superrealistisch in de toekomst.”
Benieuwd naar het volledige interview met Hidde Kylstra? Luister hier aflevering 8 van de NLSecure[ID]-podcast.