HowTo: Betulkan Pembukaan Palsu dan Klik dalam Laporan AttackPhish

Mengapa Laporan AttackPhish Saya Menunjukkan Pengguna Membuka dan Mengklik E-mel yang Tidak Pernah Mereka Lihat?

Pengenalan

Jika anda melihat pengguna disenaraikan sebagai telah membuka dan mengklik e-mel pancingan data dalam beberapa saat, atau sebelum mereka sempat membukanya, jangan risau. Pengguna anda tidak berbohong, dan tiada apa yang rosak. Apa yang anda lihat adalah hasil sampingan alat keselamatan e-mel moden yang menjalankan tugasnya.

Apa yang sedang berlaku

Banyak penyelesaian keselamatan e-mel seperti Microsoft Defender untuk Office 365 , Barracuda , Mimecast dan Proofpoint merangkumi ciri seperti Safe Links , URL Protection atau Link Scanning.

Apabila e-mel pancingan data simulasi daripada modul AttackPhish CyberHoot tiba, sistem ini secara automatik:

1. Buka mesej dalam kotak pasir selamat untuk memeriksa kandungannya.
2. “Klik” setiap pautan dalam e-mel untuk mengesahkan ia selamat sebelum menghantarnya ke peti masuk pengguna.

Imbasan automatik ini mencetuskan mekanisme penjejakan yang sama yang digunakan CyberHoot untuk merekodkan aktiviti pengguna yang sah. Hasilnya ialah laporan anda mungkin menunjukkan:

• E-mel dibuka beberapa saat selepas penghantaran.
• Pautan telah "diklik" dalam minit yang sama.
• Berbilang pengguna menunjukkan cap masa yang sama.

Mengapa Ini Berlaku

• Pengimbas pautan automatik meniru klik pengguna.
• Gerbang keselamatan mengikut URL terbenam untuk menyemak ubah hala berniat jahat.
• Piksel penjejakan dimuatkan semasa proses ini, menandakan mesej secara palsu sebagai dibuka.

Ringkasnya, sistem keselamatan anda (bukan pengguna anda) adalah yang "mengklik".

Cara Betulkan

Untuk memastikan laporan AttackPhish anda menggambarkan dengan tepat tingkah laku pengguna sebenar, anda perlu membenarkan simulasi pancingan data CyberHoot melalui penapis e-mel anda tanpa pemeriksaan kotak pasir.

Ikuti panduan di bawah untuk M365:

[Panduan: HowTo – Allow-List by X-Header in Exchange 2013/2016 atau Microsoft 365]

Untuk senarai alamat IP dan nama domain CyberHoot yang diperlukan untuk menyediakan penyenaraian dibenarkan dan untuk membantu anda dengan teknologi lain, sila semak halaman ini:

https://cyberhoot.com/howto/cyberhoots-email-ip-addresses-and-hostnames/

Ringkasan

"Pembukaan" dan "klik" palsu dalam laporan AttackPhish hampir selalu disebabkan oleh teknologi pengimbasan pautan melakukan perkara yang direka bentuk untuk dilakukan: melindungi pengguna anda. Setelah domain atau pengepala CyberHoot disenaraikan dibenarkan, anda akan melihat hasil yang tepat yang menggambarkan tingkah laku pengguna yang tulen.