I test di phishing basati sugli attacchi generano paura, ansia e dubbi negli utenti finali. Non creano consapevolezza, danneggiano l'IT e disinformano il management.
Un recente studio su larga scala condotto dall'IEEE tra ottobre 2019 e settembre 2020 su 14773 partecipanti ha rilevato che i test di phishing basati su attacchi " possono avere effetti collaterali inaspettati che possono rendere i dipendenti ancora più vulnerabili al phishing ".
I test di phishing basati su attacchi falliscono per gli utenti finali , per i reparti IT e per i vertici aziendali che cercano di rafforzare la resilienza della sicurezza informatica. Questo articolo riassumerà come e perché si verificano questi fallimenti. Si concluderà con un test di phishing alternativo che offre risultati positivi per tutte e tre le parti interessate. I test di phishing tradizionali non migliorano la resilienza o la protezione della sicurezza informatica. Anzi, in molti casi è probabile che causino danni.
Nel 2020, la rivista IEEE Security & Privacy ha pubblicato un articolo di ricerca intitolato " Phishing nelle organizzazioni: risultati di uno studio su larga scala e a lungo termine ". L'articolo presenta i risultati di uno studio a lungo termine sugli attacchi di phishing nelle organizzazioni.
Questo studio dimostra che i test di phishing basati sugli attacchi non sono un indicatore accurato della vulnerabilità di un'organizzazione agli attacchi di phishing. Anzi, questi test potrebbero aumentare la vulnerabilità dei dipendenti a questi attacchi.
Per contrastare questi fallimenti nei test, lo studio suggerisce alle organizzazioni di concentrarsi sullo sviluppo di un approccio più completo alla difesa dal phishing. Le difese dovrebbero includere una combinazione di controlli tecnici, esercitazioni di formazione per i dipendenti e il rafforzamento della cultura aziendale. È inoltre importante tenere conto delle tattiche in continua evoluzione utilizzate dagli aggressori e dei fattori umani che contribuiscono al successo degli attacchi di phishing.
Nel complesso, lo studio sottolinea l'importanza di adottare un approccio olistico alle difese contro il phishing nelle organizzazioni. Non affidarsi ai tradizionali test di phishing basati sugli attacchi.
Concentriamoci ora su tre specifici punti di errore nell'attuale phishing basato sugli attacchi: errori dei dipendenti, errori IT ed errori di reporting/metriche.
I dipendenti percepiscono gli attacchi di phishing come dannosi. Raramente si crea consapevolezza su come individuarli ed evitarli, e chi non riesce a riconoscerli subisce conseguenze negative. Almeno uno studio ha rilevato che i dipendenti sottoposti ripetutamente a test di phishing con email di phishing ottengono risultati peggiori quando si trovano ad affrontare attacchi reali! Perché accade questo?
I dipendenti vengono sorpresi da email ingannevoli create da addetti ai lavori IT per far leva sulle paure, le insicurezze e lo stato emotivo dei dipendenti. Questo dovrebbe rispecchiare ciò che gli hacker "potrebbero fare" quando attaccano i dipendenti. Tuttavia, in molti casi, amministratori IT troppo zelanti hanno troppo spesso oltrepassato il limite e offeso i dipendenti con le loro email di attacco basate sull'inganno. Ad esempio:
Chicago Tribune: il test di phishing va terribilmente male
Bonus di $ 650 per il regalo di Natale di GoDaddy: un test di phishing
Non di nuovo! Un altro test di phishing fallisce alla West Midlands Railway
Questi sono esempi di test di phishing basati su attacchi andati terribilmente male. I dipendenti hanno presentato reclami alle Risorse Umane affermando che, anziché proteggerli dai pericoli, il reparto IT li stava danneggiando. Queste campagne hanno migliorato la preparazione dei dipendenti? Hanno rafforzato la resilienza informatica delle aziende che le hanno implementate? È altamente improbabile. In queste attività c'è stata ben poca formazione. Al contrario, queste misure hanno generato maggiore paura, ansia e insicurezza nei dipendenti testati.
I team IT sono sovraccarichi di lavoro, sotto organico e sottoposti a pressioni per condurre attacchi di phishing sempre più subdoli e diabolici al fine di " mostrare risultati". Queste email di attacco trasformano i team IT da protettori in cause di danno. Ciò a sua volta porta a una perdita di fiducia, empatia ed efficacia nei programmi di sicurezza informatica di un'organizzazione e a una minore resilienza agli attacchi. Perché accade questo?
Ai team IT viene richiesto dalla dirigenza di fare tutto il possibile per proteggere l'azienda e i suoi dipendenti da violazioni e compromissioni. I test di phishing sono una misura di protezione condotta per " identificare i dipendenti inclini a cliccare ". Quando i risultati non mostrano alcun problema, la direzione chiede all'IT di eseguire test più "difficili". " I vostri test sono stati troppo facili! " " Rendete questo un test di phishing difficile da individuare, proprio come farebbero gli hacker per violare la nostra azienda e le sue reti! " " Voglio vedere risultati validi! "
Considerati questi imperativi, non è difficile capire perché l'IT possa spingersi così oltre. Anzi, finiscono troppo spesso sui giornali, come mostrato sopra. La triste realtà è che i dipendenti non imparano nulla da questi test e le conseguenze di un fallimento raramente affrontano la causa principale del fallimento: la mancanza di conoscenze su come identificare un attacco di phishing ed eliminarlo.
Pertanto, i team IT non riescono a implementare misure di formazione efficaci per istruire il personale al di là del " prossimo video di formazione sul phishing ". I dipendenti raramente guardano questi video e non imparano nulla da essi. I test di phishing basati sugli attacchi sono inefficaci e i loro numerosi fallimenti si riflettono nei titoli dei giornali che descrivono aziende violate e dati rubati e persi.
Testare i dipendenti con simulazioni di phishing ha due scopi: da un lato, fornire un report sulla vulnerabilità di un'organizzazione ad attacchi futuri e, dall'altro, ricordare ai dipendenti di rimanere vigili nella revisione delle proprie email. Lo studio IEEE non ha dimostrato che nessuna di queste metriche sia correlata all'efficacia dei test di phishing basati sugli attacchi. In sostanza, i tassi di fallimento dei test di phishing sottostimano la probabilità che i dipendenti clicchino su attacchi futuri. In secondo luogo, lo studio ha mostrato un impatto negativo di tali test sui comportamenti futuri degli utenti.
In molte organizzazioni, i test di phishing basati su attacchi presentano tassi di fallimento del 5-10%. Quando ai professionisti della sicurezza viene chiesto " Che fine ha fatto il restante 90-95% degli utenti? ", la risposta è sempre un sussurro. La realtà è che i moderni test di phishing basati su attacchi non riportano i tassi di falsi negativi relativi ai dipendenti che non hanno visto, letto o elaborato il test di phishing. Le caselle di posta elettronica sovraccariche dei dirigenti li portano a selezionare tutti i messaggi e a cancellarli dopo averne letto l'oggetto, per far fronte all'enorme flusso di email. " Se è importante, mi scriveranno di nuovo " è una frase che si sente spesso. Di conseguenza, questi dipendenti non vengono testati ed è impossibile quantificarlo con una metrica.
CyberHoot ha sviluppato un test di phishing "per assegnazione" che elimina ciascuno di questi punti deboli riscontrati nei tradizionali test di phishing basati sugli attacchi. Il nostro test di phishing basato su assegnazione guida gli utenti attraverso un puzzle di phishing composto da 6 o 7 pezzi. Il risultato del nostro test di phishing basato su assegnazione sono utenti che hanno completato i loro puzzle di phishing. Questi utenti dispongono di un quadro completo degli attacchi di phishing. Vedono tutti e sette i diversi pezzi del puzzle di phishing insieme in un'unica immagine chiara. Ora sanno come identificare ed eliminare gli attacchi di phishing in modo sicuro, efficiente e affidabile.
I Managed Service Provider ("MSP") segnalano un drastico calo delle email inviate all'help desk per chiedere supporto per determinare se un'email rappresenti o meno un attacco. Gli utenti finali segnalano fiducia, efficienza e sicurezza nel processo decisionale durante l'analisi delle email. Queste attività generano la "consapevolezza" che le aziende cercano nei propri dipendenti. Nessuna soluzione è infallibile, perché nulla è perfetto. Descrivendo il nostro innovativo esercizio di test anti-phishing e i risultati ottenuti, vedrete che i risultati possono essere piuttosto positivi.
Gli utenti finali devono rispondere a una serie di domande che descrivono sette componenti di un'e-mail e devono scegliere se l'esempio fornito è sicuro o dannoso. È presente un pulsante "Aiuto" che fornisce all'utente finale informazioni fondamentali su cosa cercare per identificare un attacco. Questi parametri interrogano gli utenti finali su: (1) Mittente, (2) Oggetto, (3) Saluto, (4) Ortografia, Punteggiatura e Grammatica, (5) Urgenza e/o Emotività, (6) Link esterni e (7) Allegati (se presenti). Durante questo esercizio, gli utenti finali devono superare il quiz o ripetere il test. Il risultato di questa esercitazione di phishing è un notevole miglioramento delle conoscenze, dell'efficienza e della fiducia dei dipendenti.
IT e MSP non devono più configurare elenchi di indirizzi consentiti, X-Header o eseguire script di Power Shell sulle caselle di posta, come richiesto per i test di phishing basati sugli attacchi. Queste assegnazioni vengono invece inviate direttamente alle caselle di posta senza alcun intervento IT. Le attività dispendiose in termini di tempo per la scrittura di elenchi di indirizzi consentiti sono state eliminate. Anche le accuse negative che i dipendenti potevano attribuire agli amministratori IT (o MSP) nei tradizionali test di phishing basati sugli attacchi sono state eliminate. I dipendenti sono invece informati, formati e beneficiano di un'esperienza positiva che ora attribuiscono al proprio team IT. Questo favorisce il rapporto tra i membri del team IT/MSP e i dipendenti aziendali. Si verificano meno incidenti di sicurezza informatica, meno email all'helpdesk e si instaura un rapporto più proficuo tra IT/MSP e azienda.
In passato, i dirigenti registravano un tasso di fallimento del phishing del 5-10% e un tasso di falsi negativi sconosciuti del 90-95% per tutti gli altri. Con il nuovo approccio progettato da CyberHoot, i dirigenti ricevono una metrica che si avvicina al 100% di conformità. Questa metrica rappresenta ogni dipendente che ha sostenuto e superato il test di phishing basato sugli incarichi. Ciò fornisce una maggiore accuratezza predittiva per la resilienza della sicurezza informatica rispetto ai test di phishing basati sugli attacchi (che hanno dimostrato di sottostimare i livelli di esposizione). Il nuovo metodo di test di phishing di CyberHoot offre la tranquillità che ogni singolo dipendente abbia sostenuto il test a libro aperto e studiato i pezzi del puzzle a sufficienza per superarlo. I dipendenti ora operano con un quadro chiaro degli attacchi di phishing in sette parti, con cui prendere decisioni future.
Il settore della sicurezza informatica deve maturare. Questo campo di studi emergente, che ha 30-40 anni, ha ancora molta strada da fare. L'innovazione di CyberHoot può contribuire a diffondere la consapevolezza necessaria sulla cyber-resilienza degli utenti finali nell'elaborazione delle email. Invece di generare ansia, incertezza e dubbi, questi esercizi di phishing test basati su compiti generano fiducia, efficienza e sicurezza nei vostri dipendenti.
Non è forse giunto il momento di dare un'occhiata di persona? Prenota una demo con CyberHoot qui oppure registrati qui sotto per una prova gratuita di 30 giorni senza alcun impegno. CyberHoot garantisce la tua soddisfazione: se non sei soddisfatto, puoi recedere in qualsiasi momento.
https://youtu.be/tQhzv9TXtiY
Phishing nelle organizzazioni: risultati di uno studio su larga scala e a lungo termine
Rapporto sulle violazioni dei dati Verizon 2022
Chicago Tribune: il test di phishing va terribilmente male
Bonus di $ 650 per il regalo di Natale di GoDaddy: un test di phishing
Non di nuovo! Un altro test di phishing fallisce alla West Midlands Railway
Scopri e condividi le ultime tendenze, i suggerimenti e le best practice in materia di sicurezza informatica, oltre alle nuove minacce a cui prestare attenzione.
Autrice: Katie Boquetti | Editoriale: Craig Taylor Editoriale di Craig Taylor: Anche prima che Claude Code realizzasse...
Leggi di più
Autrice: Katie Boquetti | Editoriale: Craig Taylor Editoriale di Craig Taylor: Lo sappiamo da un po' qui...
Leggi di più
Autrice: Katie Boquetti | Editoriale: Craig Taylor Editoriale di Craig Taylor: Un CAPTCHA dovrebbe verificare se...
Leggi di piùOttieni una visione più attenta dei rischi per l'uomo, con un approccio positivo che supera i tradizionali test di phishing.
