Att genomföra simulerade phishing-kampanjer med hjälp av specialiserad programvara för phishing-simulering är en effektiv metod för att utbilda anställda i att känna igen bedrägliga meddelanden, vilket bidrar till kampen mot phishing. E-postbaserat nätfiske är fortfarande den främsta orsaken till stulna inloggningsuppgifter och en effektiv metod för att infiltrera IT-nätverk med ransomware. För att lyckas genomföra dessa simuleringskampanjer krävs strategisk planering, tydlig kommunikation och grundlig analys. Phishing tillhör de två mest populära och effektiva teknikerna som används av cyberbrottslingar för att infiltrera företagsnätverk. Framgången beror på cyberbrottslingarnas förmåga att dölja skadligt innehåll för att undvika säkerhetsverktyg, samt deras manipulation av anställda och förvandling av dem till oavsiktliga insiders. Här är några riktlinjer för att starta och säkerställa att din phishing-simuleringskampanj fungerar.
Steg för en framgångsrik simulerad phishing kampanj
Simulerade nätfiskeattacker är utformade för att automatisera nätfiskeutbildning och ge lärdomar direkt till de anställda. Dessa simulerade utbildningspaket för nätfiske ger realistiska nätfiskemeddelanden som följer verkliga nätfiskekampanjer.
Men för att få ut det mesta av en simuleringskampanj för nätfiske måste du planera, vara medveten om hotbilden mot nätfiske, kommunicera med de anställda och förstå hur dina affärsmål överensstämmer med dina behov av cybersäkerhet.
För att få ut det mesta av ett phishing-test bör du följa de här stegen:
Planera strategin för din Phishing-simuleringskampanj
Alla bra phishing-tester bygger på ett gediget förberedelsearbete. Förberedelserna bör omfatta följande områden:
- Undersök aktuella trender för nätfiske för att kunna leverera mer realistiska simulerade nätfiskemeddelanden: Fråga ditt team eller dina rådgivare vilken typ av e-postmeddelanden som används för att rikta in sig på din bransch eller sektor. Är specifika appar och varumärken, till exempel Microsoft 365, populära som falska mål i phishingkampanjer? Samla in dessa uppgifter för att använda dem under kampanjens uppbyggnadsdel.
- Hur ofta kommer de simulerade phishing-e-postmeddelandena att levereras? Det kan vara veckovis, månadsvis, kvartalsvis osv. Frekvensen av kampanjerna bör överensstämma med din övergripande strategi för cybersäkerhetsrisker.
- Kommunicera med de anställda. Ta fram tydliga instruktioner för de anställda om hur de ska rapportera identifierad phishing e-post och/eller tillhörande social engineering-attacker. Detta bör innehålla information om hur man ska registrera detaljerna om hotet.
- Bestäm hur du ska vidareutbilda anställda som inte lyckas upptäcka phishingmejl. Man bör undersöka om man kan använda sig av "behovsanpassad" utbildning för att fokusera på förbättrad utbildning.
- Var beredd att anpassa din strategi och det förberedande arbetet i samband med att phishing förändras.
Skapa din simulerade phishing-kampanj
Med en automatiserad programvara för phishing-simulering kan du generera de element som behövs för att genomföra kampanjen; detta inkluderar skapandet av phishing mallar. En automatiserad plattform för simulerat nätfiske kommer att erbjuda mallar som är baserade på verkliga nätfiskehot med de vanligaste förfalskade varumärkena. Eftersom vissa sektorer har specifika hot bör dessa mallar kunna modifieras för att återspegla dessa specifika hot.
Det viktiga är att mallarna ska vara lätta att justera och konfigurera för kampanjadministratören med hjälp av en centraliserad hanteringskonsol.
Skapa inlärningsupplevelser som gör att utbildningen fastnar
Målet med simuleringskampanjer för nätfiske är att utbilda de anställda i hur man upptäcker nätfiskebedrägerier och att förändra det beteende som bedrägerier bygger på, nämligen "att klicka". För att säkerställa en minnesvärd och effektiv inlärningsupplevelse bör en plattform för nätfiske-simulering ge en inlärningsupplevelse vid en punkt där det behövs.
Typiska inslag i denna typ av interaktivt lärande är att presentera en varning, relevant infografik, en undersökning för att samla in mätvärden för ytterligare anpassning av utbildningen etc. för varje anställd som misslyckas med att upptäcka ett phishingmejl.
I denna punkt förklaras vad som har hänt och vilka faror som är förknippade med nätfiskebedrägerier. Vissa avancerade system tar detta ett steg längre och utbildar den anställde i strategier för att undvika nätfiske för att förhindra framtida nätfiskeförsök.
Samla in och analysera mätvärden
När den simulerade phishingkampanjen fortskrider bör de anställda uppmuntras att rapportera observerade phishingmejl. De instruktioner som du tar fram under planeringsfasen utgör grunden för de anställdas rapportering av nätfiskeförsök.
Vissa plattformar för automatiserad simulering avnätfiske erbjuder en instrumentpanel för mätvärden som använder data från simulerade nätfiskekampanjer för att analysera kampanjens framgång.
Dessa mätvärden är en viktig del för att se till att utbildningen optimeras. Mätvärdena ger dig också den ammunition som behövs för att visa C-nivån och styrelsen att utbildningen i säkerhetsmedvetenhet är effektiv.
Vissa simuleringsplattformar tillhandahåller data om hur många procent av användarna som är sårbara för angrepp och vilken typ av enhet som används för att komma åt phishing-e-postmeddelandet. En högre grad av granularitet i mätdata underlättar mer skräddarsydda kampanjer. Dessa mätvärden gör det också möjligt att kontinuerligt förbättra effektiviteten hos en simulerad phishingkampanj för att fokusera på allt mer sofistikerat innehåll i phishingmejl.
Skölj och upprepa den simulerade nätfiskekampanjen
Phishing-landskapet förändras ständigt när bedragare försöker undvika att upptäckas. För att kartlägga denna förändring måste simulerade phishingkampanjer också uppdateras i linje med dessa förändringar. Detta innebär att din simuleringskampanj för nätfiske sannolikt kommer att ändras för att återspegla nätfiskeområdet, regelbundet och över tid.
Hur ofta du gör detta bestäms av din övergripande säkerhetsriskanalys. Rekommendationerna för perioderna mellan kampanjerna varierar, men var 4-6:e vecka är en bra tumregel. Tidpunkterna för leverans av kampanjer bör dock också justeras om det sker betydande förändringar i phishinglandskapet, vilket var fallet under Covid-19-pandemin.
Dags att fiska
En litteraturstudie av forskare vid Försvarets forskningsanstalt visade att 24 % av mottagarna av nätfiskemejl klickar på en länk och 21 % går vidare och anger sina lösenord på falska webbplatser. Denna alarmerande siffra visar hur viktigt det är att använda relevant och fokuserad phishingutbildning för anställda.
Men för att utbildningen ska bli effektiv krävs en handlingsplan. Genom att följa MetaCompliances förslag kan du se till att din simuleringskampanj för nätfiske är framgångsrik och stoppar de verkliga och skadliga nätfiskeförsöken innan de skadar ditt företag.
