Распространенные виды фишинговых мошенничеств, связанных с бизнесом, включают поддельные темы писем, связанные с HR и IT.

Думаете, вы получили важный документ от HR? Будьте осторожны.

Ежеквартальный отчет KnowBe4 по тестированию фишинга показал, что злоумышленники во втором квартале часто добивались успеха с помощью писем, подменяющих отделы кадров. После злополучного клика ссылки в тексте писем и PDF-документах были обычными векторами атак.

TechRepublic поговорил с экспертом KnowBe4 по вопросам безопасности Эрихом Кроном о результатах тестов на фишинг и о том, как защитить компании от постоянно меняющихся фишинговых атак с использованием искусственного интеллекта.

Поддельные электронные письма от HR возглавляют список мошенничеств с использованием социальной инженерии

Некоторые злоумышленники используют поддельные сообщения от HR, чтобы заставить сотрудников поверить, что переход по ссылке или просмотр документа — это срочно. Согласно отчету:

42% изученных тем деловых писем были связаны с HR. Еще 30% были связаны с IT. Многие из этих тем играли на эмоциях сотрудников на работе, например, «Комментарий был оставлен на ваш запрос на отпуск» или «Возможная опечатка».

«Если у вас сильная эмоциональная реакция на текстовое сообщение, телефонный звонок или электронное письмо, нам нужно сделать глубокий вдох, отступить назад и посмотреть на это очень критически», — сказал Крон. «Потому что это атаки социальной инженерии, и они действительно работают, вводя вас в эмоциональное состояние, в котором вы совершаете ошибки».

Другие недавние атаки были совершены с помощью электронных писем, поддельных сообщений от Microsoft или Amazon.

Фишинговые письма с QR-кодами также обманывали сотрудников. Как и вредоносные ссылки, эти QR-коды обычно встречаются в письмах, якобы отправленных известными компаниями, HR или IT.

«Постоянный рост числа фишинговых писем, связанных с кадрами, вызывает особую тревогу, поскольку они нацелены на саму основу доверия в организации», — заявил Стю Сьюверман, генеральный директор KnowBe4, в пресс-релизе от 7 августа. «Более того, увеличение количества QR-кодов в попытках фишинга добавляет еще один уровень сложности этим угрозам».

По данным KnowBe4, наиболее подвержены фишинговым атакам отрасли здравоохранения и фармацевтики, за которыми следуют гостиничный бизнес, образование и страхование — с некоторыми различиями для организаций разного размера.

Как работает отчет о фишинге KnowBe4?

KnowBe4 собирает информацию для своего ежеквартального отраслевого сравнительного отчета от своих клиентов и со своего портала отчетов о фишинге, которым может воспользоваться любая компания.

KnowBe4, которая продает платформу имитации фишинга, запускает фальшивые фишинговые атаки против компаний, чтобы проверить их устойчивость. В частности, KnowBe4 оценила типы атак, на которые попадаются люди, и то, как обучение, подобное их обучению, защищает компании от кибератак.

Данные были получены в результате 54 миллионов смоделированных фишинговых тестов, которые затронули более 11,9 миллионов пользователей из 55 675 организаций по всему миру.

«Зачастую мы на самом деле берем настоящие [фишинговые атаки], которые существуют, и превращаем их в имитированные», — сказал Крон. «Поэтому мы делаем то, что мы называем их обезвреживанием, потому что мы знаем, что это действительно то, что там происходит».

В отчете измеряется «процент подверженности фишингу» — собственная оценка процента «сотрудников, которые могут попасться на уловки социальной инженерии или фишинга». Средний показатель PPP снизился с 34,3% до всего лишь 4,6% после года постоянного обучения и фишинговых тестов.

СМ.: Разница между фишингом и целевым фишингом заключается в том, является ли атака широкомасштабной или направленной на конкретного человека.

Как компании могут снизить уязвимость к фишинговым атакам

Организации должны дать понять сотрудникам, что фишинговые письма могут быть не столь полны опечаток или откровенных просьб о деньгах, как раньше.

«Генеративный ИИ действительно помог с переводами и очисткой, — сказал Крон, — и позволил им [злоумышленникам] масштабироваться гораздо больше, избежав всех тех ошибок, которые мы обычно видим».

Сотрудники должны помнить о необходимости внимательного изучения URL-адресов и адресов электронной почты. Они должны подумать, действительно ли электронное письмо с темой, включающей слово «срочно», является тем, чем оно кажется.

Например, «Это действительно пришло от моего начальника или там просто указано его имя?» — спросил Крон.

Антиспамовые или антивирусные фильтры могут отлавливать некоторые атаки социальной инженерии и фишинга, в то время как многофакторная аутентификация может ограничить возможности злоумышленников, даже если жертва нажимает на ссылку или сканирует QR-код. Наряду с KnowBe4, такие компании, как Sophos, Proofpoint, Ninjio Hoxhunt, Cofense и другие, предлагают обучение по безопасности с помощью имитации атак.

В целом, убедитесь, что сотрудники проявляют бдительность, независимо от того, проверяется ли эта бдительность с помощью регулярного теста на фишинг.

«Будьте немного настороже», — сказал Крон.