Je nieuwe remote developer bestaat misschien niet eens

Je zoekt een backend developer voor drie maanden. Binnen twee dagen heb je veertien reacties. Eén springt eruit: tien jaar ervaring, vlot Engels, kan maandag beginnen, en vraagt €35 per uur waar de rest €75 rekent. Je doet een videocall van twintig minuten, het klikt, je stuurt een contract en een uitnodiging voor je repository.

Op 31 juli waarschuwde het Ministerie van Buitenlandse Zaken, samen met andere landen en overheidsdiensten, precies voor dat scenario: Noord-Koreaans IT-personeel dat onder een valse of gestolen identiteit werk aanneemt bij westerse bedrijven. Geen inbraak, geen exploit. Gewoon solliciteren en aangenomen worden.

De meeste MKB-ondernemers lezen zo'n waarschuwing als nieuws over defensiebedrijven en beursgenoteerde techreuzen. Dat is precies verkeerd om. Mijn stelling: het kleine bedrijf is het makkelijkste doelwit dat er bestaat, en het loopt een risico dat niet eens primair over spionage gaat.

Waarom juist het kleine bedrijf het makkelijke doelwit is

Een groot bedrijf heeft een HR-afdeling, een screeningproces, een aparte onboarding en een IT-beheerder die toegang uitdeelt per rol. Dat zijn vier drempels.

Een installatiebedrijf met veertig man dat één externe developer inhuurt voor de klantenportal heeft geen van die vier. De ondernemer doet zelf het gesprek, de developer krijgt op dag één een account met beheerrechten omdat dat sneller werkt, en niemand controleert ooit waar de laptop fysiek staat.

Kleine bedrijven zijn bovendien prijsgevoelig. Een uurtarief dat de helft is van de markt gaat bij een groot bedrijf door inkoop, waar het opvalt. Bij een MKB'er is het simpelweg goed nieuws.

En dan het punt dat vrijwel niemand meeweegt: jouw bedrijf is misschien niet het doelwit, maar je klant wel. Bouw je software voor de zorg, de logistiek, de industrie of de publieke sector, dan ben je een zijingang. De aanvaller hoeft jouw data niet te willen om jouw toegang te willen.

De check die niet meer werkt

De standaardadviezen zijn stuk voor stuk achterhaald. Vraag een kopie van het paspoort: identiteitsdocumenten worden gestolen of overtuigend nagemaakt. Doe een videocall: gezichten worden realtime vervangen, en de kandidaat die "problemen met de camera" heeft is inmiddels een klassieker. Bel de referenties: die telefoonnummers staan in hetzelfde netwerk.

Wat het echt onhandelbaar maakt, is dat er in veel gevallen wél een echt persoon in beeld is. In de Verenigde Staten zijn tientallen zaken gedocumenteerd waarin een lokale tussenpersoon de bedrijfslaptop in huis nam, aansloot en van afstand toegankelijk maakte. Zo'n laptop farm laat het IP-adres, de tijdzone en het verzendadres volledig kloppen. Je controleert dan iets dat per definitie klopt.

Conclusie: identiteitscontrole aan de voorkant is een zwakke verdediging geworden. Wie daarop leunt, heeft het gevoel van zekerheid zonder de zekerheid.

Wat wel werkt is saai en logistiek

Het goede nieuws: de zwakke plek van deze operaties zit niet in het gesprek, maar in de administratie eromheen. Daar liggen signalen die je zonder securityteam kunt zien.

• Hardware en adres. Stuur de werkplek naar het woonadres uit het contract, niet naar een doorstuuradres, een bedrijfsverzamelgebouw of een derde. Een verzoek om het pakket ergens anders heen te sturen is het duidelijkste signaal dat er is.

• Betaalroute. Betaal naar een rekening op de naam die op het contract staat, in het land dat op het contract staat. Een wijziging van rekening halverwege de opdracht, een tussenpersoon of een verzoek om in crypto uit te betalen: stoppen en verifiëren via een kanaal dat je zelf hebt gekozen.

• Werkritme. Kijk niet naar de tijdzone in het profiel maar naar de werkelijke activiteit: commits, tickets, berichten. Iemand die zegt in Rotterdam te zitten maar structureel tussen twee en zes uur 's nachts productief is, verdient een gesprek.

• Remote-toegang op je eigen apparaat. Beheersoftware waarmee iemand anders de laptop overneemt hoort niet op een werkplek die jij hebt uitgegeven. Dat is te zien, ook zonder dure monitoring.

• Herhaling in het profiel. Meerdere kandidaten met bijna identieke cv's, dezelfde formuleringen of hetzelfde portfolio zijn geen toeval maar een sjabloon.

Merk op wat deze lijst gemeen heeft: het zijn allemaal dingen die je in de eerste week ziet, niet in het sollicitatiegesprek. Verplaats je controle naar achteren, want daar zit de informatie.

De rekening die je niet ziet aankomen

Hier zit het punt dat in de meeste stukken over dit onderwerp ontbreekt. Het grootste risico voor een gemiddeld MKB-bedrijf is niet dat er staatsgeheimen weglekken. Je hebt die niet.

Het eerste reële risico is afpersing na afloop. Het patroon is inmiddels bekend: aan het einde van de opdracht, of nadat het contract is beëindigd, blijkt er nog een kopie van de broncode of de klantdatabase te zijn, met een betalingsverzoek erbij. Je hebt de aanvaller in dat geval zelf toegang gegeven, gedocumenteerd, met een factuur erbij.

Het tweede is juridisch, en dat weegt zwaarder dan mensen denken. Salaris uit deze constructies vloeit naar een gesanctioneerd regime. Betalen aan een gesanctioneerde partij is een overtreding, ook als je te goeder trouw was. Daar komt bij dat je een verwerker toegang tot persoonsgegevens hebt gegeven zonder te weten wie of waar die is, wat je AVG-verantwoording onmiddellijk onhoudbaar maakt. Twee toezichthouders, één inhuurbeslissing.

Waar dit niet over gaat

Nu de nuance, want die is nodig. Dit is geen pleidooi om geen buitenlandse freelancers meer in te huren, en al helemaal geen vrijbrief om te selecteren op naam, accent of nationaliteit. Dat is discriminatie, het is juridisch riskant, en het werkt niet eens: de operaties gebruiken juist Europese en Amerikaanse identiteiten, omdat die geen argwaan wekken.

De overgrote meerderheid van remote developers is precies wie ze zegt te zijn. Als je maatregel bestaat uit meer wantrouwen, heb je alleen je wervingsvijver verkleind. De maatregel moet bestaan uit betere logistiek en strakkere toegang, en die controles pas je op iedereen toe, ook op de neef van je compagnon.

Wat je deze week regelt

Drie dingen, en ze renderen ook als je nooit met een valse identiteit te maken krijgt.

Eén: geef nieuwe externen standaard de minimale rechten die het werk mogelijk maken, en breid pas uit op verzoek. Least privilege klinkt als een enterprise-term, maar in de praktijk is het simpelweg de vraag: hoeft deze persoon echt bij de productiedatabase, of alleen bij de code? Verplicht MFA op alles wat toegang geeft, zonder uitzondering.

Twee: leg vast wie waar toegang toe heeft. Een tabel met naam, systeem, rechten en einddatum is genoeg. Zonder dat overzicht kun je bij een incident niet eens vaststellen wat er is geraakt, en dat is nu net wat je toezichthouder als eerste vraagt.

Drie: maak offboarding een vast ritueel, niet iets dat je "nog even doet". Accounts uit, API-sleutels en tokens roteren, toegang tot repositories en opslag intrekken, op de dag dat de opdracht eindigt. Dat is het enige wat de afpersingsvariant echt duur maakt voor de tegenpartij.

De waarschuwing van deze week gaat over een specifieke dreiging. De maatregel is generiek: je moet weten wie er in je systemen zit en hoe je diegene er weer uit krijgt. Bedrijven die dat op orde hebben, lezen zo'n bericht met belangstelling. De rest leest het met een knoop in de maag, en terecht.