HowTo: Valse opens en klikken in AttackPhish-rapporten oplossen

Waarom laat mijn AttackPhish-rapport zien dat gebruikers e-mails openen en erop klikken die ze nooit hebben gezien?

Overzicht

Als je ziet dat gebruikers binnen enkele seconden, of zelfs nog voordat ze de e-mails konden openen, een phishingmail hebben geopend en erop hebben geklikt , hoef je je geen zorgen te maken. Je gebruikers liegen niet en er is niets mis. Wat je ziet, is een bijproduct van moderne e-mailbeveiligingstools die hun werk doen.

Wat is er gaande

Veel e-mailbeveiligingsoplossingen, zoals Microsoft Defender voor Office 365 , Barracuda , Mimecast en Proofpoint, bevatten functies zoals Veilige Links , URL-bescherming of Linkscanning.

Wanneer u een gesimuleerde phishing-e-mail van de AttackPhish-module van CyberHoot ontvangt, doen deze systemen automatisch het volgende:

1. Open het bericht in een beveiligde sandbox om de inhoud ervan te bekijken.
2. Klik op elke link in de e-mail om te controleren of deze veilig is voordat u de e-mail naar de inbox van de gebruiker stuurt.

Deze geautomatiseerde scans activeren dezelfde trackingmechanismen die CyberHoot gebruikt om legitieme gebruikersactiviteit te registreren. Het resultaat kan zijn dat uw rapport het volgende weergeeft:

• De e-mail werd enkele seconden na bezorging geopend.
• Binnen dezelfde minuut werd er op een link geklikt.
• Meerdere gebruikers met identieke tijdstempels.

Waarom dit gebeurt

• Geautomatiseerde linkscanners imiteren gebruikersklikken.
• Beveiligingsgateways volgen ingesloten URL's om te controleren op schadelijke omleidingen.
• Tijdens dit proces worden trackingpixels geladen, waardoor berichten ten onrechte als geopend worden gemarkeerd.

Kortom, het is uw beveiligingssysteem (niet uw gebruiker) die “klikt”.

Hoe herstel je het

Om ervoor te zorgen dat uw AttackPhish-rapporten het echte gebruikersgedrag nauwkeurig weergeven, moet u toestaan ​​dat de phishingsimulaties van CyberHoot uw e-mailfilters passeren zonder sandbox-inspectie.

Volg de onderstaande handleiding voor M365:

[Handleiding: HowTo – Toestaanlijst op X-header in Exchange 2013/2016 of Microsoft 365]

Voor een lijst met IP-adressen en domeinnamen van CyberHoot die nodig zijn om de toegestane lijst in te stellen en om u te helpen met andere technologieën, kunt u deze pagina raadplegen:

https://cyberhoot.com/howto/cyberhoots-email-ip-addresses-and-hostnames/

Samenvatting

Onjuiste "opens" en "kliks" in AttackPhish-rapporten worden bijna altijd veroorzaakt door linkscantechnologieën die doen waarvoor ze bedoeld zijn: uw gebruikers beschermen. Zodra de domeinen of headers van CyberHoot op de whitelist staan, ziet u nauwkeurige resultaten die het echte gebruikersgedrag weerspiegelen.