Een USB-stick gevonden op de parkeerplaats: erin steken of weggooien?

Een onbekende USB-stick lijkt onschuldig, maar is een van de oudste trucs uit het boekje. Wat doe je ermee — en wat vooral niet?

Een collega vindt een USB-stick op de parkeerplaats bij kantoor. Of in de brievenbus zit er ineens eentje, met een briefje: "loonstroken Q3". Nieuwsgierigheid wint het vaak van voorzichtigheid — en precies dáár rekenen de mensen die zo'n stick daar neerleggen op.

Het klinkt als iets uit een spionagefilm, maar het gebeurt echt, ook bij kleinere bedrijven in Nederland. In dit stukje leggen we rustig uit waarom een onbekende USB-stick een probleem is, en wat je op kantoor kunt afspreken zonder er een dramatisch protocol van te maken.

Waarom een gevonden USB-stick een risico is

Een USB-stick lijkt een onschuldig doosje geheugen. Maar zodra je 'm in een computer steekt, gebeuren er dingen die je niet ziet:

• Windows leest de inhoud in en kan automatisch bestanden openen of previews maken.
• Er kunnen bestanden op staan die eruitzien als een pdf of Excel, maar in werkelijkheid een programma zijn.
• Sommige "sticks" zijn geen opslag, maar doen zich voor als een toetsenbord. Ze typen in een fractie van een seconde commando's uit die op de achtergrond dingen installeren.

Dat laatste heet in vakjargon een BadUSB of rubber ducky. Het apparaatje is niet duurder dan een gewone stick en is voor iedereen te koop. Je hoeft geen bank of ministerie te zijn om een doelwit te zijn — een boekhoudkantoor met toegang tot klantadministraties is voor kwaadwillenden minstens zo interessant.

De klassieke truc: de "verloren" stick

De aanval werkt zo: iemand laat een paar USB-sticks vallen op de parkeerplaats, bij de ingang, of in de kantine. Op de stick staat een bestand dat nieuwsgierig maakt: "salarissen", "reorganisatie", "vakantieplanning directie". Op negen van de tien vinders werkt dat. Er zijn onderzoeken gedaan waarbij mensen zulke sticks binnen een uur al in hun werk-pc hadden zitten.

De variant per post is nog gemener: een envelop met logo, een keurige begeleidende brief ("hierbij het gevraagde overzicht") en een stick. Als je administratie of directiesecretariaat post opent, is de drempel om te kijken laag.

Wat spreek je af op kantoor?

Je hoeft geen ingewikkeld beleid te schrijven. Eén simpele afspraak is genoeg:

Onbekende USB-sticks gaan niet in een computer. Punt.

Voeg daar praktisch aan toe:

1. Gevonden op of rond het kantoor? Leg 'm bij de receptie of bij één vaste persoon (bijvoorbeeld de kantoormanager). Niet uitproberen "om te kijken van wie hij is".
2. Ontvangen per post zonder duidelijke afzender? Zelfde verhaal. Vraag desnoods de vermeende afzender via een bekend telefoonnummer of ze echt iets hebben gestuurd.
3. Na een week? Fysiek vernietigen. Een stick doorknippen met een kniptang kost drie seconden. Niet in de la laten liggen — want dan pakt iemand hem alsnog een keer.

"Maar ik moet echt weten wat erop staat"

Soms is er een legitieme reden. Een klant zegt: "ik heb het bestand op een stick gezet." Of je vindt een stick met daarop duidelijk werk-materiaal van een collega.

In dat geval:

• Gebruik géén werk-laptop met toegang tot je administratie, mail en netwerkschijven.
• Bel de eigenaar en laat hém of háár het bestand opnieuw sturen via mail of een gedeelde map. Dat is bijna altijd sneller dan gedoe met een stick.
• Moet het écht van de stick af? Laat het door iemand met verstand van zaken doen, op een apparaat dat niks anders doet.

Andere USB-apparaten: hetzelfde verhaal

Het gaat niet alleen om sticks. Dezelfde voorzichtigheid geldt voor:

• Kabels die je "cadeau" krijgt op een beurs of in een goodiebag. Er bestaan oplaadkabels met een chipje erin die zich als toetsenbord gedragen.
• Een muis of toetsenbord dat je zomaar op je bureau vindt liggen.
• Powerbanks van onbekende herkomst, of "gratis oplaadstations" op stations en luchthavens. Gebruik liever je eigen adapter in een gewoon stopcontact.

Hoe je dit rustig invoert

Je hoeft er geen groot moment van te maken. Een korte mail aan je team of vijf minuten in het werkoverleg is genoeg:

• Leg uit waarom — mensen onthouden regels beter als ze het waarom snappen.
• Wijs één persoon aan waar gevonden spullen naartoe gaan.
• Zet een kniptang in de la bij die persoon. Serieus, dat helpt.

En als er tóch iemand een onbekende stick heeft aangesloten? Geen paniek, wel actie: haal de kabel eruit, meld het intern, en laat iemand meekijken of er iets vreemds is gebeurd op het apparaat.

Verder werken aan basis-security

Dit soort afspraken werkt het best als het onderdeel is van een paar basis-gewoonten: 2FA op belangrijke accounts, weten wie er bij welke map kan, en een back-up die het écht doet. Wil je daar hulp bij zonder een dure IT-afdeling in te huren? Bekijk onze 2FA-implementatie of laat ons een toegang-check doen. Dan weet je waar je staat.