E-mail jest kluczowym kanałem komunikacji biznesowej, który jednak niesie za sobą ogromną ilość zagrożeń dla pracowników i całej organizacji. W jaki sposób skutecznie wykorzystać potencjał poczty elektronicznej jednocześnie nie narażając się na phishing?
Wykorzystując metody manipulacji i socjotechnikę cyberprzestępcy nakłaniają ofiary do kliknięcia w niebezpieczne łącza, ujawnienia swoich danych uwierzytelniających, a nawet wykonywania bezpośrednich poleceń, tj. zrobienie przelewu czy wysłanie poufnych plików.
W lepszym zrozumieniu tych zagrożeń pomaga coroczny raport na temat phishingu, opracowywany i opublikowany przez firmę Proofpoint. Zostały w nim uwzględniane wyniki badania ankietowego, przeprowadzonego wśród ponad 3500 pracowników z 7 krajów oraz 600 profesjonalistów IT, a także analiza ponad 50 milionów symulowanych wiadomości phishingowych, wysyłanych przez klientów do ich użytkowników w ciągu 12 miesięcy.
Świadomość na temat zagrożeń
Raport prezentuje wnioski dotyczące tego, co użytkownicy wiedzą na temat cyberbezpieczeństwa, z jakimi zagrożeniami phishingowymi stykają się firmy oraz w jaki sposób organizacje podchodzą do tematu zarządzania dalszymi zagrożeniami.
Globalne badanie, w którym wzięło udział ponad 3500 pracowników z 7 krajów wykazało, że tylko 61% osób, uzupełniających ankietę wielokrotnego wyboru, wskazało na poprawną definicję phishingu. Jednocześnie zaledwie 30% respondentów potrafiło właściwie zdefiniować, czym jest oprogramowanie ransomware.
Wielu respondentów nie stosuje w codziennej pracy przyjętych praktyk bezpieczeństwa cybernetycznego:
- 45% osób przyznaje się do ponownego wykorzystywania hasła,
- ponad połowa nie chroni domowej sieci Wi-Fi żadnymi zabezpieczeniami,
- 32% nie wie, czym jest wirtualna sieć prywatna (VPN),
- 90% pracowników przyznaje się, że wykorzystuje urządzenia firmowe do celów prywatnych,
- prawie 50% pozwala na dostęp do urządzeń firmowych rodzinie i przyjaciołom.
Największe wyzwania
Badanie zostało przeprowadzone również wśród grupy ponad 600 profesjonalistów ds. bezpieczeństwa IT. Ankieta wskazała na największe wyzwania informatyczne, przed którymi stoją organizacje w tym roku. Zgodnie z uzyskanymi informacjami ponad połowa firm miała do czynienia z co najmniej jednym udanym atakiem phishingowym w ubiegłym roku. Większość organizacji musiała zmierzyć się również z różnymi metodami socjotechniki, wykorzystywanymi do ataku. Należą do nich:
- ataki spersonalizowane (phishing spear), z którymi zetknęło się 88% organizacji,
- biznesowe ataki kompromisowe (business email compromise, BEC): 86%,
- ataki za pośrednictwem mediów społecznościowych: 86%,
- smishing, czyli phishing za pośrednictwem wiadomości SMS: 84%,
- vishing (phishing głosowy): 83%,
- atak w wyniku uruchomienia pozostawionego urządzenia USB (malicious USB drops): 81%.
Dodatkowo w ubiegłym roku 33% globalnych organizacji zostało zainfekowanych oprogramowaniem ransomware i zdecydowało się zapłacić okup (dodatkowe 32% zostało zainfekowanych, ale nie zapłaciło). Spośród nich 9% firm otrzymało kolejne żądanie okupu, a 22%, mimo opłacenia okupu, nigdy nie otrzymało dostępu do zaszyfrowanych danych.
Mimo wzrostu zagrożeń, 85% organizacji nie daje pracownikom możliwości zgłaszania podejrzanej wiadomości e-mail za pośrednictwem specjalnego przycisku, co utrudnia zespołom ds. bezpieczeństwa zaangażowanie użytkowników w ochronę przed phishingiem.
Jednocześnie organizacje zaczynają dbać o zwiększanie świadomości użytkowników. 78% z nich stwierdziło w ankiecie, że podatność na phishing zmniejszyła się w wyniku szkoleń, zwiększających wiedzę w zakresie bezpieczeństwa.
Wzrost świadomości
Proofpoint przeprowadził też własną analizę na podstawie danych otrzymanych od swoich klientów. Zgodnie z nimi użytkownicy końcowi w ubiegłym roku zgłosili prawie 9,2 miliona podejrzanych wiadomości e-mail, co oznacza wzrost aż o 2/3 w stosunku do 2018 roku. Tylko w trzecim kwartale poinformowali zespół odpowiedzialny za bezpieczeństwo o prawie 20 tysiącach ataków phishingowych, wykorzystujących dane uwierzytelniające oraz o 4000 ataków przy użyciu szkodliwego oprogramowania.
Dane te potwierdzają, że użytkownicy przywiązują coraz większą wagę do zagrożenia, jakim jest phishing. W efekcie częściej go raportują, informując zespoły Infosec o otrzymaniu podejrzanej wiadomości, co przekłada się na zwiększenie ochrony przed wyłudzaniem poufnych informacji. Raport Proofpointa pokazuje, że organizacje powinny skoncentrować się na swoich słabościach, a w szczególności na pracownikach, którzy mogą stać się celem ataku w dowolnym momencie. Jednym ze sposobów, by uniknąć takiej sytuacji, powinno być przygotowywanie dedykowanych szkoleń dla całej organizacji, ale też kursów ukierunkowanych na konkretne zagrożenia, których punktem wyjścia mogą stać się informacje na temat najczęstszych metod phishingu.
Pełna wersja raportu „State of the Phish”:
https://www.proofpoint.com/us/resources/threat-reports/state-of-phish
