Entro la fine del 2021, gli attacchi ransomware sono saliti a un tentativo ogni 11 secondi. Anche le violazioni dei dati continuano a ritmo sostenuto, con quasi 19 miliardi di record violati nella prima metà del 2021.

Molti di questi attacchi utilizzano il phishing o i dati carpiti a un certo punto dell’attacco e le statistiche lo dimostrano: il phishing è il vettore di attacco numero uno, con un aumento del volume del 161% nel 2021.

Perché fare il phishing ai tuoi utenti?

Il phishing fa leva sulla fallibilità e sul comportamento umano, rendendo questa tattica insidiosa e difficile da contrastare. Secondo una ricerca, il 96% delle violazioni di dati inizia con un’e-mail di phishing. Un’e-mail di phishing è meno simile a una bomba che esplode e più a una miccia che brucia lentamente; il phishing porta al furto delle credenziali di accesso, all’infezione da malware e può lasciare la tua rete vulnerabile a un lento furto di dati e al caos informatico per molti mesi.

Un rapporto ha rilevato che il 74% delle e-mail di phishing sono state utilizzate per rubare le credenziali che i tuoi dipendenti utilizzano per accedere alle tue applicazioni aziendali.

Il phishing funziona perché induce le persone a fare cose che vanno a vantaggio del criminale informatico che ha inviato l’email dannosa. Ad esempio, il phishing via e-mail utilizza stratagemmi come far sentire il destinatario preoccupato che se non clicca su un link potrebbe finire nei guai al lavoro. Condizioni che suscitano paura, incertezza e dubbio, insieme all’urgenza e ad altri trucchi psicologici fanno del phishing il metodo numero uno per iniziare un attacco informatico.

I dipendenti devono conoscere questi astuti trucchi di phishing per avere la possibilità di resistere all’impulso di cliccare su un link dannoso o di scaricare un allegato infetto.

Per evitare che la tua azienda diventi un numero in una serie di statistiche sul phishing, puoi utilizzare una piattaforma di simulazione di phishing per colpire i tuoi utenti. Per uno sguardo più approfondito su come funziona il phishing e per aiutarti a iniziare, leggi la MetaCompliance Ultimate Guide to Phishing.

Cos’è la simulazione di phishing?

Le simulazioni di phishing sono servizi basati sul cloud che generano email di phishing simulate. Queste email riflettono le minacce di phishing in corso ed emergenti. Le e-mail di phishing simulato vengono inviate ai destinatari di un’organizzazione come parte di una campagna organizzata da un’azienda, spesso con l’aiuto di un’organizzazione esperta in materia di sicurezza.

Le e-mail di phishing simulate aiutano a formare il personale su come individuare le tattiche di phishing.

Come funziona la simulazione di phishing?

Gli strumenti di simulazione del phishing fanno parte di una più ampia campagna di sensibilizzazione alla sicurezza. Si inseriscono perfettamente in una strategia organizzata di educazione e sensibilizzazione che lavora in armonia per migliorare la sicurezza delle e-mail e ridurre gli attacchi informatici a un’organizzazione.

Gli strumenti di simulazione di phishing, come MetaPhish, sono basati sul cloud e possono essere configurati e gestiti centralmente da una console di amministrazione e reporting. La simulazione di phishing inizia con la configurazione di modelli pronti all’uso che riflettono un attacco di phishing noto o emergente.

I modelli sono progettati per utilizzare marchi noti che vengono spesso utilizzati in campagne di phishing reali. Ad esempio, marchi come Microsoft sono regolarmente i primi marchi spoofati più utilizzati nelle campagne di phishing.

Un modello di simulazione di phishing include l’email di phishing e tutte le relative pagine di destinazione fittizie necessarie per condurre un utente attraverso il ciclo di vita del phishing. Quando un dipendente riceve un’email di phishing simulata, se l’email include un link malevolo e il dipendente clicca sul link, verrà portato alla pagina di destinazione associata.

È importante che gli strumenti di simulazione del phishing siano altamente configurabili. I modelli di phishing devono poter essere modificati per adattarsi all’esatto ambiente dei diversi settori industriali.

Alcuni strumenti di simulazione del phishing, come MetaPhish, vengono forniti con l’aiuto di esperti di terze parti per garantire che il design dei modelli sia molto simile alle campagne di phishing reali. In questo modo si garantisce che siano il più possibile simili a un phishing reale. In questo modo, i risultati delle simulazioni di phishing sono più accurati.

Rendere la simulazione di phishing un’esperienza di apprendimento

Una cosa è colpire i tuoi utenti, ma assicurarsi che imparino dall’esperienza può essere complicato. Per questo motivo, gli strumenti di simulazione del phishing devono utilizzare l’apprendimento attivo. Se un dipendente cade nei trucchi dell’email di phishing simulata, l’evento deve essere trasformato in qualcosa di positivo.

L’apprendimento per punti (point-of-need learning) estrae l’utente dal ciclo di vita del phishing per sottolineare i punti in cui ha sbagliato e le sue vulnerabilità. In genere, questo avviene in un momento cruciale, come quando un dipendente clicca su un link di phishing o inserisce le credenziali di accesso a un sito web di phishing.

Una volta che si verifica una truffa di phishing, al dipendente viene presentato un messaggio di avvertimento, un’infografica o un sondaggio sullo schermo, che spiega all’utente cosa si è verificato, cosa potrebbe accadere se si trattasse di una vera email di phishing e come assicurarsi di non cadere di nuovo nel tranello.

Catturare i risultati della simulazione di phishing

Le metriche sono un aspetto importante della formazione di sensibilizzazione alla sicurezza e della simulazione di phishing. Misurare il successo di un programma di formazione sulla sicurezza consente a un’organizzazione di perfezionare l’erogazione del materiale per migliorare i risultati.

Le piattaforme di simulazione di phishing, come MetaPhish, offrono una dashboard di reportistica che visualizza i risultati delle simulazioni di phishing: ad esempio, quanti dei tuoi dipendenti hanno cliccato su un link in un’email di phishing simulata.

I report generati possono essere resi granulari fino al livello del dispositivo utilizzato per accedere all’e-mail di phishing, consentendo di concentrarsi ulteriormente sulla creazione di campagne di simulazione di phishing successive. Anche i singoli reparti o gruppi di utenti possono avere un focus sulla formazione, consentendo alla tua organizzazione di concentrarsi su aree specifiche dell’azienda che lavorano con dati sensibili o finanziari, come la contabilità o le risorse umane.

La simulazione di phishing è un modo pratico per educare i tuoi dipendenti sui pericoli del phishing e sulle abili tattiche di ingegneria sociale utilizzate dai criminali informatici. Questa tecnica di formazione dei dipendenti sulla consapevolezza della sicurezza è riconosciuta anche da standard di sicurezza informatica come la ISO 27001.

Utilizzando una piattaforma di simulazione di phishing basata sul cloud hai la possibilità di giocare al loro stesso gioco e di vincere.

Rischio di ransomware