MysteryGuest bezoek
In een wereld waarin organisaties steeds afhankelijker worden van hun digitale én fysieke infrastructuur, neemt het risico op cyber gerelateerde incidenten toe. Niet alleen digitale aanvallen vormen een bedreiging, criminelen kunnen zich ook fysiek toegang verschaffen tot uw locatie met een gerichte spionage. Met een professioneel Mystery Guest Bezoek testen onze security experts de fysieke beveiliging van uw organisatie en brengen zij kwetsbaarheden en kroonjuwelen nauwkeurig in kaart.
Tijdens deze realistische praktijktest onderzoeken wij in hoeverre uw medewerkers en beveiligingsmaatregelen bestand zijn tegen moderne social engineering technieken zoals:
Dumpster Diving, Tailgating, Piggybacking, Pretexting, Shoulder Surfing en Impersonation.
"Mensen zijn vaak behulpzaam, niet wantrouwend"
Wat houdt een Mystery Guest Bezoek in?
Onze ethische social engineers bezoeken ongemerkt uw organisatie. Zij melden zich aan als klant, leverancier, nieuwe medewerker of technicus, afhankelijk van het vooraf vastgestelde scenario.
Tijdens dit bezoek beoordelen we onder andere:
- De alertheid van medewerkers bij onbekende bezoekers
- Toegangsbeveiliging van kantoren en (server)ruimtes
- De effectiviteit van beveiligingsprocedures en protocollen
- Risico’s op ongewenste toegang tot systemen, netwerken en gevoelige informatie
Door technieken zoals Shoulder Surfing of Impersonation maken we inzichtelijk hoe eenvoudig informatie kan worden verkregen, terwijl Tailgating en Piggybacking laten zien in hoeverre onbevoegden kunnen meeliften naar beveiligde zones. Ook wordt onderzocht welke informatie via Dumpster Diving uit afvalstromen te halen is.
Doel van het onderzoek
Vooraf bepalen we samen met u het doel, de kaders en de onderzoeksvragen van het Mystery Guest Bezoek. Zo sluiten de scenario’s volledig aan op de risico’s, processen en beveiligingsdoelstellingen binnen uw organisatie.
Enkele mogelijke onderzoeksvragen:
- Is het mogelijk om onbevoegd toegang te krijgen tot het pand of beveiligde ruimtes?
- Kunnen digitale systemen of netwerken fysiek worden gecompromitteerd?
- Zijn kritieke systemen voldoende afgeschermd tegen manipulatie?
- Herkennen medewerkers verdachte situaties of onbekende personen?
- Is het beveiligingsbeleid rondom toegang, werkplekken en informatieopslag effectief?
- Wordt de Clean Desk Policy nageleefd en zijn schermen vergrendeld?
- Worden wachtwoorden en inloggegevens onbedoeld gedeeld of zichtbaar?
- Wat voor vertrouwelijke informatie kan er uit afvalstromen worden gehaald?
"Medewerkers herkennen onbekenden vaak niet"
Resultaat: een heldere, visuele rapportage
Na afloop ontvangt u een overzichtelijke rapportage met:
- Alle bevindingen van het mystery guest bezoek
- Praktische adviezen om beveiligingsmaatregelen te versterken
- Concreet beeldmateriaal en duidelijke voorbeelden
- Verbeterpunten die direct toepasbaar zijn
Grondige voorbereiding: OSINT & scenario-ontwikkeling
Vooraf voeren onze experts een uitgebreid OSINT-onderzoek uit om de locatie, systemen, leveranciers en gebruikte apparatuur in kaart te brengen. Hierdoor kunnen realistische scenario’s worden ontwikkeld, zoals situaties waarin een ‘monteur’ of ‘externe dienstverlener’ toegang probeert te krijgen.
Indien gewenst kan tijdens het Mystery Guest Bezoek ook worden getest in hoeverre uw organisatie in staat is om het plaatsen van hardware, spyware of malware te detecteren.
Daarnaast heeft NFIR een spel bedacht genaamd “The insider threat” waarbij medewerkers worden uitgedaagd om een onbekende persoon aan te spreken in de organisatie.
Test uw organisatie met Social Engineering
Cybercriminelen misbruiken vaak vertrouwen in plaats van techniek. Met realistische social engineering tests, zoals voice phishing en mystery guest bezoeken, laat NFIR zien waar menselijke kwetsbaarheden liggen. Ontdek hoe weerbaar uw organisatie echt is en versterk het bewustzijn van medewerkers.
Heeft u tussentijds vragen? Neemt u dan telefonisch contact met ons op op het algemene NFIR telefoonnummer: 088 323 0205
FAQ's Social Engineering - MysteryGuest
Wat is een Mystery Guest Bezoek precies?
- Een Mystery Guest Bezoek is een gecontroleerde fysieke penetratietest waarbij ethische social engineers zich voordoen als bezoeker, leverancier of medewerker. Zij proberen ongemerkt toegang te krijgen tot ruimtes, systemen en informatie om kwetsbaarheden in de fysieke beveiliging te ontdekken.
Waarom is een fysieke weerbaarheidstest belangrijk?
Cyberaanvallen beginnen steeds vaker met fysieke toegang. Een onbevoegde die binnenkomt kan wachtwoorden afkijken, hardware plaatsen, documenten meenemen of gevoelige gesprekken opvangen. Een fysieke test laat zien hoe weerbaar medewerkers en beveiligingsmaatregelen werkelijk zijn tegen social engineering en intrusie.
Welke technieken worden getest tijdens het onderzoek?
De Mystery Guests gebruiken moderne social-engineeringtechnieken zoals:
Tailgating & Piggybacking – meeliften naar beveiligde ruimtes.
Pretexting – binnenkomen onder een verzonnen rol (monteur, nieuwe medewerker, etc.).
Shoulder Surfing – wachtwoorden of gegevens meekijken.
Dumpster Diving – informatie uit afvalstromen halen.
Impersonation – zich voordoen als externe dienstverlener.
Wat beoordelen jullie tijdens het bezoek?
Onder andere:
- Alertheid van medewerkers bij onbekenden
Toegangsbeveiliging van kantoren en serverruimtes
Effectiviteit van toegangsprocedures en protocollen
Naleving van Clean Desk- en schermvergrendelingsbeleid
Risico’s op ongewenste toegang tot systemen en informatie
Hoe makkelijk informatie zichtbaar of toegankelijk is
Hoe wordt het onderzoek voorbereid?
- Vooraf vindt een uitgebreid OSINT-onderzoek plaats. Hiermee worden:
- Locatie(s)
- Leveranciers
- Apparatuur
- Interne processen
Mogelijke scenario’s in kaart gebracht. Daardoor kunnen realistische pretextscenario’s worden uitgevoerd.
Welke vragen kunnen met dit onderzoek worden beantwoord?
Enkele voorbeelden:
- Kunnen onbevoegden het gebouw of beveiligde zones binnenkomen?
- Kunnen systemen of netwerken fysiek worden gecompromitteerd?
- Worden verdachte situaties tijdig herkend?
- Wordt het access-, werkplek- en informatiebeveiligingsbeleid nageleefd?
- Welke informatie is zichtbaar, toegankelijk of te vinden in afvalstromen?
- Worden wachtwoorden of inloggegevens onbedoeld gedeeld?
Worden medewerkers geïnformeerd over de test?
Dat kan zowel aangekondigd als onaangekondigd, afhankelijk van de doelstellingen. Bij een realistische simulatie wordt het bezoek niet vooraf gedeeld met medewerkers.
Wat ontvang ik na afloop van de test?
- De organisatie krijgt een heldere, visuele rapportage met:
- Bevindingen en observaties
- Risicoanalyse
- Concreet beeldmateriaal (indien gewenst)
- Direct toepasbare verbeterpunten
- Praktische aanbevelingen voor beleids- en gedragsversterking
Kunnen jullie ook testen of hardware of malware onopgemerkt geplaatst kan worden?
- Ja. Indien gewenst testen we:
- Plaatsen van rogue devices
- USB-dropping
- Het aansluiten van ongeautoriseerde hardware
- Mogelijkheden voor spyware
Dit gebeurt altijd binnen vooraf afgesproken kaders.
Is er ook een spelelement om medewerkers te trainen?
Ja. De organisatie kan gebruikmaken van “The Insider Threat” — een spelconcept waarbij medewerkers worden gestimuleerd om onbekende personen actief te herkennen en aan te spreken. Dit maakt fysieke beveiliging toegankelijke en leuker om te oefenen.
Is een Mystery Guest Bezoek geschikt voor elke organisatie?
- Zeker. Vooral organisaties met:
- Publieke balies of ontvangst
- Kantooromgevingen
- Server- of dataruimtes
- Externe leveranciers
- Bezoekersstromen
Hoe lang duurt een Mystery Guest Bezoek?
- Dit varieert van enkele uren tot een volledige dag, afhankelijk van:
- Het aantal scenario’s
- De grootte van de locatie
- Het gewenste realisme
- Eventuele extra tests zoals hardwareplaatsing
