28. Dezember 2023 • Phishing
Phishing-Simulationen sind eine Standardpraxis für viele Organisationen. Und das zu Recht.
Die Zahl der Phishing-Angriffe ist seit 2019 jährlich um über 150 % gestiegen. Im Jahr 2022 verzeichnete die APWG über 4,7 Millionen Phishing-Angriffe. Laut einer Untersuchung des FBI sind Phishing-Betrügereien für fast 22 Prozent aller auftretenden Datenlecks verantwortlich.
Um dem entgegenzuwirken, setzen viele Organisationen auf Phishing Simulations, um die Anfälligkeit ihrer Mitarbeiter zu testen.
Wir glauben jedoch (und Forschungsergebnisse zeigen dies), dass die meisten Organisationen ihren Mitarbeitern mit ihren Phishing-Simulationen nicht helfen. Tatsächlich machen sie sie sogar anfälliger für Phishing.
In diesem Artikel erklären wir unsere Vision, warum die meisten Phishing-Simulationen mehr Schaden als Nutzen anrichten und wie Sie dies verhindern können.
Problem Nr. 1: Vorlagenbasierte E-Mails bereiten Mitarbeiter nicht auf Spear Phishing vor
Viele Security Officer entscheiden sich für eine Phishing-Simulationsstrategie, die auf Regelmäßigkeit und Effizienz basiert. Das bedeutet, dass sie ihre Mitarbeiter häufig testen lassen möchten, aber nicht viel Zeit für die Zusammenstellung der Simulationen aufwenden wollen. Ziel ist es, den Prozess so weit wie möglich zu automatisieren.
Wenn Sie im Internet nach Phishing-Simulationsanbietern suchen, werden Sie feststellen, dass viele von ihnen dieses Gefühl bedienen. Sie bieten Vorlagen, KI-generierte Phishing-E-Mails und automatisch versendete E-Mails an. Dies hilft Sicherheitsbeauftragten, „Phishing-Tests“ mühelos von ihren To-Do-Listen abzuhaken. Mission erfüllt.
Diese Vorlagen bereiten die Mitarbeiter jedoch nicht auf die Gefahren von Spear Phishing vor.
Spear Phishing ist eine Phishing-Methode, bei der Phisher ihr Ziel sorgfältig recherchieren. Der Angriff scheint daher von einer vertrauenswürdigen Quelle im Umfeld des Ziels zu stammen. Sie nutzen die gesammelten Informationen und Social-Engineering-Techniken, um das Ziel dazu zu bringen, auf einen bösartigen Link zu klicken.
Stellen Sie sich vor, ein Cyberkrimineller hackt die E-Mail-Adresse eines Ihrer Lieferanten. In einer der E-Mails findet er genau heraus, welche Produkte geliefert werden sollen und wie die Rechnung aussieht. Alles, was er jetzt tun muss, ist, die Rechnung zu kopieren, die Bankverbindung zu ändern und sie von einer E-Mail-Adresse, der Ihre Finanzabteilung vertraut, an diese zu senden. Dies ist für Ihre Mitarbeiter wesentlich schwieriger als Phishing zu erkennen als eine Standardvorlage.
Spear-Phishing-E-Mails sind für die Ziele wesentlich schwieriger zu erkennen. Und da vorlagenbasierte Phishing-Simulationen diese Techniken nicht verwenden, bereiten sie Ihre Mitarbeiter einfach nicht auf die realen Cyber-Risiken vor, denen sie ausgesetzt sind. Im besten Fall vermitteln sie sowohl dem Sicherheitsbeauftragten als auch den Mitarbeitern ein falsches Gefühl von Sicherheit. Beim Phishing steckt der Teufel im Detail, und diese Art von Detailgenauigkeit lässt sich nicht automatisieren.
Problem Nr. 2: Phishing-Simulationen in Kombination mit freiwilligen Schulungen sind ineffektiv
Aktuelle Forschungsergebnisse zeigen, dass die Kombination aus einer Phishing-Simulation und freiwilligem Training Mitarbeiter nicht widerstandsfähiger gegen Phishing macht, sondern sie häufig anfälliger für das Klicken auf Phishing-Links. Dies widerspricht allen früheren Forschungsergebnissen und einer gängigen Branchenpraxis.
Wie sieht diese gängige Praxis also aus?
Zuerst wird allen Mitarbeitern eine Phishing-E-Mail zugesandt. Wenn jemand auf einen Link klickt, wird er auf eine Trainingsseite weitergeleitet. Dort erhalten sie ein freiwilliges Training (was bedeutet, dass sie sich auch dagegen entscheiden können) darüber, was gerade passiert ist und wie sie Phishing in Zukunft erkennen können. Die Idee ist, dass jemand, der gerade Opfer von Phishing geworden ist, offener für Training sein wird und die Wissensaufnahme am höchsten sein wird.
Forschungsergebnisse deuten jedoch darauf hin, dass Phishing-Simulationen in Kombination mit freiwilligem Training ineffektiv sind. Dafür gibt es mehrere mögliche Gründe:
- Mitarbeiter haben nach einer Phishing-Simulation das Gefühl, ihre Lektion gelernt zu haben, nehmen aber nicht an freiwilligem Training teil.
- Mitarbeitende, die während einer Phishing-Simulation keinen Link anklicken, erhalten keinerlei Security Training.
- Mitarbeiter behalten Trainingsinformationen möglicherweise nicht gut, direkt nachdem sie sich während einer Phishing-Simulation „ertappt“ fühlen.
- Mitarbeitende benötigen regelmäßige Schulungen, um sich der Cyber-Risiken wie Phishing wirklich bewusst zu werden und fundiertes Wissen darüber zu erlangen.
Phishing-Simulationen richtig durchführen
Wir haben nun festgestellt, dass es zwei Hauptprobleme bei der heutigen Durchführung von Phishing-Simulationen gibt:
- E-Mails aus Vorlagen bereiten Mitarbeiter nicht auf Spear Phishing vor.
- Phishing-Simulationen in Kombination mit freiwilligem Training sind ineffektiv.
Im vergangenen Jahr haben wir mit Unternehmensinhabern, Sicherheitsbeauftragten und anderen für die Sicherheit in Organisationen Verantwortlichen zusammengearbeitet, um dieses Problem zu lösen.
Wir bieten jetzt Spear-Phishing-Simulationen an. Während dieser Simulation arbeiten wir mit einer Organisation zusammen, um Phishing-E-Mails zu entwickeln, die für alle Zielmitarbeiter authentisch und vertrauenswürdig erscheinen. Dies könnte durch die Emulation einer E-Mail von einem HR-Software-Tool geschehen, das die Organisation verwendet.
Dies ist ein zeitaufwändigerer Ansatz als die Arbeit mit Vorlagen. Aber wir glauben an einen Qualitäts- statt Quantitätsansatz. Wenn ein Cyberkrimineller Zeit in Ihren Hack investiert, sollten Sie sich die Zeit nehmen, Ihre Mitarbeiter zu schulen. Man kann nicht alles automatisieren. Aus diesem Grund raten wir, eine Spear Phishing Simulation nur ein- bis zweimal im Jahr durchzuführen.
Abgesehen davon bieten wir ein Security Awareness Game an, das Mitarbeitern beibringt, Cyber-Bedrohungen, einschließlich Phishing, zu erkennen und darauf zu reagieren. Jede Woche stellen sich die Mitarbeiter einer Cyber Security Challenge, die bis zu drei Minuten dauert. Dies hilft ihnen, Wissen aufzubauen und sich täglich der Cyber-Bedrohungen bewusst zu bleiben.
Im Spiel gründet jeder Nutzer eine fiktive Organisation. Durch das Absolvieren von Challenges können sie Geld für ihr Unternehmen verdienen und dessen Ruf verbessern. Beantworten sie jedoch Fragen falsch, verlieren sie Geld und ihr Ruf leidet. Im Leaderboard können sie sehen, welche Kollegen die meisten Punkte erzielen. Dies schafft ein unterhaltsames Wettbewerbselement und steigert die Beteiligung.
Das Security Awareness Game trainiert das Wissen Ihres Teams und die Spear Phishing Simulation testet deren Anfälligkeit im Laufe der Zeit.
📚 Erfahren Sie, wie die Roosevelt Kliniek Phishing-Sensibilisierung mit Guardey trainiert
Schützen Sie Ihre Organisation mit Guardey vor Phishing
Wir sind fest davon überzeugt, dass sich Phishing-Prävention nicht automatisieren lässt. Es bedarf regelmäßiger Schulungen und gezielter Spear Phishing-Simulationen, um Ihre Mitarbeiter wirklich widerstandsfähig zu machen.
Wenn Sie daran interessiert sind, unsere Lösung auszuprobieren, können Sie gerne eine Demo vereinbaren.
