Каждый третий верит фишерам
По результатам совместного анализа тренировочных фишинговых рассылок, проведенного "МегаФоном" и "Лабораторией Касперского", в среднем треть персонала в российских компаниях доверяет сымитированным фишинговым письмам.
Сотрудники активно переходят по присланным ссылкам, если им сообщают, например, о введении дресс-кода или предлагают посмотреть фото с корпоративного мероприятия. Эксперты по кибербезопасности обращают внимание, что излишняя доверчивость может нести заметные риски для организаций.
Результаты анализа были получены на основании данных статистики двух решений — "МегаФон Security Awareness" и платформы по повышению киберграмотности сотрудников Kaspersky Automated Security Awareness Platform. Анализировались тренировочные фишинговые рассылки, проведенные в интересах корпоративных клиентов мобильного оператора и разработчика решений в области кибербезопасности в январе-августе текущего года в России.
Тестирования бизнеса на восприимчивость к фишинговым атакам проводятся в соответствии с принципами белого хакинга. Для рассылки могут специально разрабатывать сайты-имитаторы, брендинг, похожий на оригинальный, а также применять методы социальной инженерии. В отличие от настоящих мошеннических рассылок, скомпрометированные данные пользователей не собираются и не хранятся. Организаторы лишь подсчитывают количество ошибок персонала заказчика и предоставляют отчет.
В среднем половина сотрудников российского бизнеса открывает письма из сымитированных рассылок, 35% переходят по ссылке, каждый третий из них (10%) вводит свои персональные данные на сторонних ресурсах. Если сообщение содержит файл-вложение, то 8,3% адресатов открывают его. Самый большой показатель компрометации информации по одной из рассылок составил 33% — каждый третий работник предоставил свои данные. Однако среди компаний, которые провели обучение персонала, эти показатели существенно ниже: только 9% сотрудников открывает вредоносные письма, 2% переходит по ссылке и 0,2% компрометируют свои сведения. Примечательно, что количество компаний, которые проводят обучение и тестовые фишинговые рассылки, за последний год увеличилось в 2,5 раза. Большая часть из них — представители малого бизнеса.
Среди отдельных тренировочных фишинговых рассылок, вызвавших наибольшее доверие среди сотрудников российских компаний, оказались поддельные обращения от HR- и ИТ-отделов. Например, из рассылки о введении дресс-кода по ссылке перешло три четверти получивших ее адресатов (77%). Письмо с темой "Фото с корпоратива" заинтересовало 32%. Также повышенным интересом пользовалась тема "Нарушение корпоративной политики использования учетных записей". По ссылке из письма с таким заголовком кликнули 23% получателей. На безобидное, казалось бы, письмо якобы от специалистов HR-отделов с просьбой пройти онлайн-опрос попались 14% пользователей от общего числа тех, кому оно пришло в рамках еще одной тренировочной рассылки. К тому же всегда остается остроактуальной тема денег. Письмам с заголовками "Ваши средства перемещены в частный инвестиционный фонд" и "Ваша страховая компания отклонила ваше заявление как немедицинское" поверили по 14% получателей.
"Фишинг остается одной из самых актуальных киберугроз. Основные признаки поддельного сообщения — эмоциональные и вовлекающие темы, ошибки и опечатки, странности в оформлении письма, в адресах отправителей и ссылках. Организациям крайне важно повышать уровень кибергигиены в компании и прививать сотрудникам необходимые навыки цифровой безопасности, в том числе с помощью симулированных фишинговых рассылок. Это помогает анализировать уровень киберграмотности в организации и отрабатывать полученные работниками знания на практике. Однако важно помнить, что для всесторонней эффективной защиты от современного ландшафта киберугроз бизнесу важно обеспечивать комплексную киберзащиту, один из элементов которой — решения для повышения киберграмотности сотрудников", — комментирует Татьяна Шумайлова, эксперт направления повышения цифровой грамотности Kaspersky Security Awareness.
"МегаФон" противодействует фишингу на разных уровнях. Как оператор мобильной связи — блокирует абонентам доступ с мобильных устройств на поддельные сайты, количество которых увеличивается примерно в два раза ежегодно. Как технологический партнер бизнеса — анализирует основные тренды в фишинге, отслеживает новые фишинговые домены и использует данную информацию для обогащения других сервисов кибербезопасности. А главное, что с коллегами по отрасли мы единым фронтом ведем борьбу с мошенниками и хакерами", — прокомментировал Александр Осипов, директор по развитию облачных и инфраструктурных проектов "МегаФона".
"Мы регулярно проводим киберучения внутри и для наших заказчиков. Их результаты подтверждают выводы коллег: в среднем каждый десятый получатель фишингового письма переходит по ссылке, вводит логин и пароль на стороннем ресурсе. При этом мы не ограничиваемся рамками электронной почты. Например, недавно проводили учения с фишингом корпоративной wi-fi сети на одном из наших мероприятий. Результат был похожим. При разборе ситуации люди понимают, что поступили неверно и обычно ссылаются на невнимательность. То есть знания, как правило, есть, но они не переходят в сформированный навык. И мы считаем, что делать акцент в обучении необходимо именно на него. Практика показывает, что наиболее эффективный способ его выработки – это выстроенная планомерная работа: тренинги, проверки, разбор, анализ. И так по кругу несколько раз в год. При таком подходе шанс, что защитный механизм в голове в нужный момент сработает, значительно повышается", - рассказал руководитель центра мониторинга и реагирования UserGate Дмитрий Кузеванов.
