Ook bedrijven in de kritieke infrastructuur zijn gevoelig voor phishingaanvallen, zo blijkt uit een experiment dat vorige maand door twee beveiligingsonderzoekers werd gehouden. Tyler Klinger en Scott Greaux verzamelden informatie uit het publieke domein en gebruikten die om overtuigende phishingmails te maken. De mails waren van een 'kwaadaardige' link voorzien die bijhield wie erop klikte.

Uiteindelijk bleek dat 26% van de werknemers die het bericht ontvingen op de link klikten. De meeste spear phishing-aanvallen gebruiken exploits voor bekende beveiligingslekken. Het klikken op een link met een volledig gepatcht systeem is daardoor ongevaarlijk. Het komt ook voor dat aanvallers een zero-day exploit gebruiken, en dan vormt dit wel een risico.

Informatie
Onder de mensen die klikten bevonden zich topbestuurders en managers die directe toegang tot de industriële controlesystemen (ICS) van het energiebedrijf hadden. "Als 26% van je ICS-mensen wordt gehackt, vertelt dat een duidelijk verhaal", liet Klinger tijdens een presentatie weten waar Darkreading over bericht.

Via websites zoals LinkedIn, de bedrijfspagina, Jigsaw en andere sites wist hij de informatie over de werknemers te verzamelen. Het experiment had als doel om aan te tonen dat phishingaanvallen ook succesvol in een ICS-omgeving kunnen zijn. "De meeste mensen denken dat spear-phishing niet voor ICS geldt", merkte Klinger op. De meeste grote aanvallen op bedrijven begonnen allemaal via spear phishing.

E-mails
De gebruikte e-mails waren afkomstig van een supervisor met een link die naar de bedrijfspagina leek te wijzen, de andere e-mail ging over een Rockwell product dat binnen ICS-omgevingen wordt gebruikt. Ook hier werd een link gebruikt die naar een legitieme website leek te gaan, in dit geval van de fabrikant.

De meeste slachtoffers die klikten deden dit vanaf hun pc, hoewel een aantal het ook vanaf andere apparaten deden, waaronder een iPhone. Eén supervisor van de controlekamer klikte zelfs vier keer op de link, omdat die steeds maar niet werkte. "Hij probeerde het eerst, en toen een uur later weer", aldus Klinger.