Como realizar uma campanha de simulação de Phishing bem sucedida

Campanhas de simulação dePhishing são uma forma eficaz de ensinar os empregados a detectar mensagens enganosas e ajudar a combater phishing. Fazer com que estas campanhas sejam bem sucedidas requer planeamento, comunicação, e análise. Email phishing é a principal causa de login roubado credenciais e é um método bem sucedido utilizado para infectar redes informáticas com ransomware. Em Q2 de 2021, phishing foi uma das duas técnicas mais populares e eficazes utilizadas pelos cibercriminosos para invadir as redes empresariais. Phishing é bem sucedida porque os cibercriminosos podem esconder conteúdos maliciosos para evitar a detecção por ferramentas de segurança. Também é bem sucedido porque engana e manipula os empregados, tornando-os inadvertidamente infiltrados. Aqui estão algumas directrizes para começar e garanta o seu simulação de phishing trabalhos de campanha.

Passos para uma Campanha de Simulação dePhishing bem sucedida

Ataques simulados de phishing são concebidos para automatizar formação em phishing e proporcionar experiências de aprendizagem directamente aos empregados. Estes phishing simulado os pacotes de formação proporcionam um aspecto realista e-mails de phishingque rastreia o mundo real phishing campanhas. No entanto, para tirar o máximo partido de um simulação de phishing campanha que deve planear, estar ciente da phishing paisagem de ameaças, comunicar com os empregados, e compreender como os seus objectivos comerciais mapeiam a sua segurança cibernética necessidades. Para tirar o máximo partido de um teste de phishing deve seguir estes passos:

Planeie a sua estratégia de campanha de simulação depesca

Tudo de bom testes de phishing baseiam-se num sólido trabalho de preparação. A preparação deve abranger as seguintes áreas:

1. 1. Investigar as tendências actuais do correio electrónico de phishing para entregar mensagens simuladas de phishing mais realistas: Pergunte à sua equipa ou consultores que tipo de e-mails estão a ser utilizados para visar a sua indústria ou sector? As aplicações e marcas específicas, por exemplo, Microsoft 365, são populares como alvos falsificados nas campanhas de phishing? Reúna estes dados para utilização durante a parte 'construir' da sua campanha.

2. 2. Com que frequência serão entregues os e-mails de phishing simulados? Isto pode ser semanal, mensal, trimestral, etc. A frequência das campanhas deve estar de acordo com a sua estratégia global de risco de segurançacibernética.

3. 3. Comunicar com os empregados. Desenvolver um conjunto de instruções claras para os empregados sobre como reportar quaisquer e-mails dephishing identificados, e/ou ataques de engenharia social associados. Isto deve incluir detalhes sobre como capturar os detalhes da ameaça.

4. 4. Decidir como formar ainda mais os empregados que não detectam e-mails dephishing. Isto deve explorar a utilização da educação 'ponto de necessidade' para se concentrar na melhoria da formação.

5. 5. Esteja preparado para ajustar a sua estratégia e o trabalho de preparação associado à medida que o cenário de phishing muda.

Construa a sua campanha de Phishing

Um plataforma de automatização para campanhas de simulação dephishing permite gerar os elementos necessários para a realização da campanha; isto inclui a criação de phishing modelos. A phishing simulado automatização plataforma irá oferecer modelos que se baseiam em mundo real phishing ameaças utilizando as marcas falsificadas mais comuns. Uma vez que certos sectores têm ameaças específicas, estas modelos deve ser modificável para reflectir essas especificidades. O importante a ter em conta é que modelos deve ser fácil de ajustar e configurar pelo administrador da campanha utilizando uma consola de gestão centralizada.

Criar Experiências de Aprendizagem que Tornam o Stick de Formação

O objectivo de simulação de phishing campanhas é educar os empregados sobre como detectar um phishing esquema e para mudar o 'urgência de clicar comportamento com o qual os infractores contam. Para assegurar uma experiência de aprendizagem memorável e eficaz, um simulação de phishing plataforma deve proporcionar uma experiência de aprendizagem "point-of-need". Os elementos típicos deste tipo de aprendizagem interactiva são a apresentação de um aviso de aviso, infografia relevante, inquérito para captar métricas para posterior adaptação da formação, etc., a qualquer funcionário que não consiga detectar um phishing e-mail. Este ponto de necessidade irá explicar o que aconteceu e os perigos associados a um phishing esquema. Alguns sistemas avançados darão mais este passo e educarão o empregado sobre estratégias de evasão para ajudar a prevenir o futuro. phishing tentativas.

Recolha e Análise de Métricas

Como a phishing simulado a campanha progride, os empregados devem ser encorajados a relatar as observações e-mails de phishing. O conjunto de instruções que desenvolve durante a sua fase de planeamento são a base para os relatórios dos funcionários de phishing tentativas. Alguns automatizado simulação de phishing As plataformas oferecem um painel de instrumentos de métrica que utiliza phishing simulado dados da campanha para analisar a taxa de sucesso da campanha. Estas métricas são uma parte importante para garantir que a formação seja optimizada. As métricas também lhe dão as munições necessárias para mostrar o nível C e o quadro que A Formação de Sensibilização para a Segurança é eficaz. Algumas plataformas de simulação fornecem dados sobre a percentagem de utilizadores vulneráveis a ataques e o tipo de dispositivo utilizado para aceder ao phishing e-mail. Um maior nível de granularidade dos dados métricos facilita campanhas mais personalizadas. Estas métricas permitem também melhorar continuamente a eficácia de um phishing simulado campanha para se concentrar em cada vez mais sofisticada phishing conteúdo do correio electrónico.

Enxaguar e Repetir a Campanha de Phishing Simulado

O phishing A paisagem está sempre a mudar à medida que os autores de fraudes trabalham para escapar à detecção. Para mapear esta mudança, phishing simulado as campanhas devem também actualização em conformidade com estas alterações. Isto significa que o seu simulação de phishing campanha irá provavelmente mudar para reflectir a phishing paisagem, regularmente e ao longo do tempo. A frequência com que o faz é determinada pela sua análise global dos riscos de segurança. As recomendações sobre os períodos entre campanhas variam, mas cada 4-6 semanas é uma boa regra de ouro. No entanto, os prazos de entrega das campanhas também devem ser ajustados se houver alterações significativas no phishing paisagem aparecem, como foi o caso durante a pandemia de Covid-19.

Tempo para Phish

Uma revisão bibliográfica por investigadores da Agência Sueca de Investigação em Defesa descobriu que 24% dos phishing Os destinatários de correio electrónico clicarão num link e 21% continuarão a introduzir as suas palavras-passe em sítios falsificados. Este número alarmante mostra a importância vital da utilização de phishing educação dos empregados. Mas para que esta educação seja eficaz é necessário um plano de acção. Ao seguir as sugestões da MetaCompliance, pode assegurar que a sua simulação de phishing a campanha é bem sucedida e pára o verdadeiro e malicioso phishing tentativas antes que prejudiquem a sua empresa.