Je leest blauw, maar je ziet oranje. Zo werkt phishing ook.

Je brein vult in wat het verwacht. Aanvallers rekenen daarop. Bluehat test of jouw mensen, systemen en processen het doorhebben, voordat iemand anders het doet.

Plan een kennismaking Bekijk de diensten

Stroop-effectJ.R. Stroop, 1935

Diensten

Wij testen wat anderen aannemen

Van een enkele webapplicatie tot een volledige aanvalssimulatie. Elke opdracht eindigt met een rapport dat je team zelf kan oppakken.

  • Pentesten

    We vallen je webapplicaties, API's, netwerk en cloudomgeving aan zoals een echte aanvaller dat zou doen, binnen afgesproken grenzen.

    OpleveringRapport met bevindingen, CVSS-score en hertest

  • Red teaming

    Een realistische aanval op je hele organisatie, van de voordeur tot de domeincontroller. We testen niet alleen de techniek, maar ook of je het merkt.

    OpleveringAanvalspad, tijdlijn en detectie-analyse

  • Phishingsimulatie

    Gerichte campagnes die lijken op wat je medewerkers echt in hun inbox krijgen. We meten wie klikt, wie gegevens invult en wie het meldt.

    OpleveringCampagnerapport per afdeling

  • Security awareness

    Korte, praktische sessies op basis van wat we bij jouw organisatie hebben gezien. Geen angstverhalen, wel herkenbare voorbeelden.

    OpleveringWorkshop en materiaal voor intranet

  • Incident response

    Gaat het toch mis, dan helpen we met indammen, onderzoek en herstel. We zoeken uit wat er is gebeurd en wat er is buitgemaakt.

    OpleveringForensisch rapport en herstelplan

Werkwijze

Van spelregels tot hertest

Elke test volgt dezelfde vijf stappen. Je weet vooraf wat we doen, wat we niet doen en wanneer je wat krijgt.

  1. Scope en spelregels

    We leggen vast wat binnen de test valt, wie het weet en wanneer we stoppen.

  2. Verkenning

    We verzamelen wat openbaar over je organisatie te vinden is, net als een aanvaller.

  3. Aanval

    We voeren de test uit en melden kritieke bevindingen direct, niet pas in het rapport.

  4. Rapport

    Per bevinding: wat we vonden, hoe ernstig het is en hoe je het oplost.

  5. Hertest

    Na je herstelwerk testen we opnieuw of het gat echt dicht is.

Rapportage

Zo ziet een bevinding eruit

Elke bevinding krijgt een score volgens CVSS 3.1, een uitleg in gewone taal en een concrete oplossing. Je ontwikkelaars weten wat ze moeten doen, je directie weet hoe erg het is.

BH-2026-014 · Voorbeeld Hoog 8.1
Titel
Sessie over te nemen via kwaadaardige link in klantportaal
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Beschrijving
De zoekfunctie zet invoer ongefilterd terug op de pagina (reflected XSS). De sessiecookie mist de HttpOnly-vlag, dus een script kan hem uitlezen.
Impact
Een medewerker die op een link in een phishingmail klikt, geeft zijn sessie weg. De aanvaller is dan ingelogd zonder wachtwoord of MFA.
Oplossing
Codeer uitvoer contextafhankelijk, zet HttpOnly en SameSite op de sessiecookie en voeg een Content Security Policy toe.
Over ons

Waarom er geen blauw in ons logo zit

In ons logo staat blue in het oranje. Wie snel kijkt, mist het. Precies dat soort gaten zoeken wij in jouw organisatie.

Focus
Offensieve security en awareness
Werkgebied
Nederland en België
Taal
Nederlands en Engels
Rapport
Binnen tien werkdagen na de test
Contact

Benieuwd wat wij vinden?

Vertel kort wat je wilt laten testen. We reageren binnen één werkdag met een voorstel voor een kennismaking.

info@bluehat.nl