Simulierte Phishing-Angriffe: Was ist eine Phishing Simulation?

Phishing ist ein ernstes Problem für Unternehmen aller Größen und Branchen. Durch die Nutzung von Phishing Simulationen kann ein Unternehmen jedoch diese heimtückische Bedrohung in den Griff bekommen.

Cyberkriminelle lieben es, Mitarbeiter zu phishen, um Anmeldeinformationen und Daten zu stehlen und Unternehmen mit Ransomware zu infizieren. Der Phishing Activity Trends Report der Anti-Phishing Working Group (APWG) zeigt, dass Phishing im zweiten Quartal 2022 einen neuen Höchststand erreicht hat. Darüber hinaus verzeichneten diese Angriffe einen 7-prozentigen Anstieg des Diebstahls von Anmeldeinformationen gegen Unternehmensmitarbeiter.

Das Ergebnis ist oft katastrophal, wenn ein Passwort oder andere Daten gestohlen werden: Ein Phishing-Angriff führte dazu, dass das US-Verteidigungsministerium 23,5 Millionen Dollar (19,3 Millionen Pfund) an einen Cyberkriminellen übergab; die Open University in London wurde innerhalb von neun Monaten von über einer Million Phishing-Angriffen heimgesucht, was zu massiven Störungen führte, und die Liste lässt sich fortsetzen.

Warum sind Phishing Simulation Programme wichtig?

Phishing ist wohl eines der erfolgreichsten Mittel im Arsenal der Cyberkriminellen, um an sensible Informationen zu gelangen. Ein RiskIQ-Bericht über Verluste durch Cyberkriminalität ergab, dass pro Minute 17.700 Dollar (14.500 Pfund) durch Phishing-Angriffe verloren gehen.

Phishing ist eine raffinierte Methode des Social Engineering, bei der Mitarbeiter und andere Nutzer dazu gebracht werden, Dinge zu tun, die dem Hacker nützen. Cyberkriminelle nutzen Phishing in großem Umfang. 2021 werden 83 % der Unternehmen Ziel von Phishing-Angriffen sein.

Mit der Zeit werden die Hacker, die hinter Phishing-E-Mails stecken, schlau aus den automatisierten Softwaresystemen, die Phishing verhindern, wie z. B. Antispam-/E-Mail-Gateway-Plattformen. Infolgedessen ändern die Hacker die Funktionsweise von Phishing-Betrügereien und den Inhalt dieser E-Mails so, dass sie E-Mail-Gateways umgehen können.

Ein Bericht, in dem 55,5 Millionen an Microsoft Office 365 gesendete E-Mails analysiert wurden, ergab zum Beispiel, dass 25 % der Phishing-E-Mails mit bösartigen Anhängen durch das in Office 365 integrierte E-Mail-Gateway gelassen wurden. Das Ergebnis ist, dass Phishing-E-Mails nur schwer zu verhindern sind und die Phishing-E-Mail im Posteingang eines ahnungslosen Mitarbeiters landet, um ihn zur Weitergabe von Anmeldedaten oder zur Installation von Malware zu verleiten.

Dieser ahnungslose Mitarbeiter kann jedoch durch regelmäßige simulierte Phishing-Übungen zu einem versierten, sachkundigen und sicherheitsbewussten Mitarbeiter werden.

Was passiert bei einem Phishing Simulation Angriff?

Simulierte Phishing-Angriffe sind so gestaltet, dass sie genau wie ein echter Phishing-Versuch aussehen. Eine Plattform wie MetaPhish für simulierte Phishing-Angriffe wird verwendet, um simulierte Phishing-E-Mails als Teil einer speziellen Schulungskampagne für das Sicherheitsbewusstsein zu erstellen. Mitarbeiter und alle anderen Benutzergruppen, die ein Sicherheitstraining benötigen, sollten diese simulierten Phishing-E-Mails erhalten.

Die Phishing-Testplattform wird mit dem Benutzer interagieren, um ihn über die Gefahren von Phishing aufzuklären. Die Plattform sollte jedoch auch aufzeichnen und prüfen, was passiert, wenn der Benutzer die simulierte Phishing-E-Mail erhält. Öffnet der Benutzer beispielsweise die E-Mail, klickt er auf einen Link oder lädt er einen Anhang herunter usw.?

Diese Ereignisse werden protokolliert, und es werden Berichte erstellt, anhand derer der Erfolg des Security Awareness Training beurteilt werden kann und festgestellt werden kann, welche Bereiche verbessert werden müssen.

Hauptmerkmale der besten Phishing Simulation Software

Eine fortschrittliche Phishing Simulation Software muss mehrere wichtige Funktionen aufweisen:

Ahmt echte Phishing-E-Mails nach

Das System muss realistische Phishing-E-Mails erstellen, die aktuelle Phishing-Kampagnen aus dem wirklichen Leben widerspiegeln.

Bieten Sie eine große Auswahl an Vorlagen

Die Phishing Simulation Plattform sollte über eine große Anzahl von Vorlagen verfügen, die zur Gestaltung einer realistisch aussehenden Phishing-E-Mail verwendet werden können. Die Vorlagen sollten so konfiguriert werden können, dass sie bekannten Marken entsprechen und „ähnliche“ Domänennamen und URLs erzeugen.

Kann an die Rollen angepasst werden

Es ist bekannt, dass Betrüger es auf bestimmte Unternehmensbereiche abgesehen haben, z. B. die Personalabteilung und die Kreditorenbuchhaltung. Auch Führungskräfte sind eine Zielgruppe und sollten in simulierte Phishing-Übungen einbezogen werden, da spezielle Cyberangriffe wie Business Email Compromise die C-Ebene betreffen können. Daher sollten die simulierten Phishing-Nachrichten auf bestimmte Mitarbeitergruppen zugeschnitten sein.

Bedarfsorientiertes Lernen

Menschen lernen am besten, wenn sie engagiert sind und eine interaktive Lernerfahrung machen. Eine Plattform, die bedarfsorientiertes Lernen ermöglicht, erlaubt es den Mitarbeitern, aus ihren Fehlern zu lernen. So erhalten Mitarbeiter beispielsweise eine Warnmeldung, wenn sie auf einen bösartigen Link klicken.

Ein interaktives Erlebnis hilft dabei, zu erklären, was passiert ist und welche Gefahren mit einer Phishing-E-Mail verbunden sind. Einige fortschrittliche Systeme gehen noch weiter und vermitteln dem Mitarbeiter Vermeidungsstrategien, um künftige Phishing-Versuche zu verhindern.

Bietet Sprachoptionen

Viele Unternehmen beschäftigen Mitarbeiter mit Englisch als Zweitsprache oder haben Niederlassungen in nicht englischsprachigen Ländern. Daher müssen simulierte Phishing-E-Mail-Vorlagen in der Lage sein, andere Sprachen zu unterstützen.

Prüfung und Berichterstattung

Die Kennzahlen einer simulierten Phishing-Übung sind von entscheidender Bedeutung, da sie Aufschluss darüber geben, wie gut die Schulung zum Sicherheitsbewusstsein verläuft. Darüber hinaus geben die Messwerte Aufschluss darüber, wie viele Mitarbeiter für Phishing-Angriffe anfällig sind.

Einige fortschrittliche Systeme bieten eine granulare Aufschlüsselung der Phishing-Metriken, um bestimmte Abteilungen und Benutzergruppen zu analysieren. Die aus diesen Metriken generierten Berichte zeigen die Effektivität eines Phishing Simulation Programms und identifizieren Schwachstellen im Verständnis der Mitarbeiter, was Phishing bedeutet.

Wie wirkungsvoll sind Phishing Simulationen?

Laut einer Cisco-Umfrage sind Phishing-E-Mails nur schwer zu erkennen. In 86 % der Unternehmen hat mindestens ein Mitarbeiter auf einen bösartigen Link geklickt. Und es genügt ein einziger Mitarbeiter, der auf einen Link klickt und die Anmeldedaten für eine gefälschte Website eingibt, um die Türen zu Ihrem Netzwerk zu öffnen. Phishing Simulationen bieten eine Möglichkeit, das Risiko dieses einen verhängnisvollen Klicks zu minimieren.

Wie häufig sollten Sie eine Phishing Simulation versenden?

Eine USENIX-Studie über die Langlebigkeit von Sicherheitsschulungen ergab, dass die Mitarbeiter auch vier Monate nach der ersten Schulung noch Phishing-E-Mails erkennen konnten. Doch nach sechs Monaten verloren die Mitarbeiter die Fähigkeit, bösartige E-Mails zu erkennen.

In dem Bericht wird auch hervorgehoben, dass Videos und interaktive Schulungen die nachhaltigsten Ergebnisse liefern, da diese Schulungen weitere sechs Monate andauern. Daher empfiehlt der Bericht, die Schulungen alle sechs Monate durchzuführen. Darüber hinaus sind regelmäßige Phishing Simulationen eine gute Idee, da sich auch die Sicherheitslandschaft häufig ändert.