Onderzoek: 23% gebruikers opent phishingmails
Maar liefst 23% van de mensen die een phishingmail ontvangt opent die ook en 11% klikt op e-mailbijlagen, een stijging ten opzichte van vorige jaren, zo laat beveiligingsbedrijf Verizon in een nieuw rapport weten. Het aantal mensen dat naar phishingsites gaat en daar wachtwoorden invult daalde wel.
Volgens de onderzoekers zou een phishingcampagne van 10 e-mails meer dan 90% kans hebben om ook daadwerkelijk een slachtoffer te maken. En dat kan snel gebeuren. Verizon stelt aan de hand van informatie van twee partners die phishingtests uitvoeren dat de helft van de gebruikers binnen 60 minuten de links in de phishingmails had geopend. De eerste phishingmail werd al na 1 minuut en 22 seconden geopend. Organisaties krijgen dan ook het advies om personeel beter te onderwijzen, e-mails te filteren en de mogelijkheden voor detectie en response te verbeteren.
Een ander advies dat bedrijven krijgen is om hun software te patchen. 99,9% van alle aangevallen kwetsbaarheden is namelijk al meer dan een jaar oud, wat aantoont dat organisaties nog steeds geen beveiligingsupdates installeren. Zo werden er vorig jaar nog aanvallen gedetecteerd op kwetsbaarheden die uit 1999 stammen. De meeste lekken die in 2014 werden aangevallen bleken uit 2007 te stammen.
Kwestie van logisch nadenken en niet te veel Alberto Stegeman kijken ;-)...
Het percentage wordt namelijk veel hoger bij gerichte aanvallen.
Wij hebben tests uitgevoerd waarbij medewerkers aan hen persoonlijk gerichte mails kregen die zeer realistisch waren:
- vanaf een domein wat erg leek op een bekende track/trace-site
- met een opmaak die 1-op-1 die van PostNL was
- met het bericht dat er een pakje voor de medewerker was verzonden
- en of ze op de link wilden klikken voor de track/trace.
De e-mailadressen waren geconstrueerd op basis van LinkedIn-gegevens.
Zo'n mail krijgt een 'click-ratio' van meer dan 90%...
Dit geeft mijns inziens aan dat het werken aan awareness wel moet (tegen de 'eenvoudige'/'kneuterige' mails van Nigerianen, etc.), maar niet helpt tegen enigzins gerichte aanvallen. Daarvoor zul je toch andere maatregelen moeten treffen...
Verder zien die phishingmails er steeds beter uit waarbij ik me kan voorstellen dat er mensen zijn die er intrappen. Vooral dus nieuwe gebruikers die de digitale wereld nog niet zo kennen.
Ik open nog geen link in een mail van familie of bekenden.. En daar moet de voorlichting op gebaseerd zijn.
De huidige software laat de gebruiker hopeloos in de steek. Zie: http://eccentric-authentication.org/blog/2014/11/30/spot-the-differences.html
Het kan beter!
Met een goede toepassing van DNSSEC, DANE en een browser die het eccentric-authentication protocol spreekt kan de browser zelfstandig controleren of een link correct is of een scammer.
Dit protocol biedt geen bescherming tegen malware die -- eenmaal binnen -- op zoek gaat naar de user's private keys. Daarvoor moeten we betere windowsen, osxen en androids bouwen.
De techniek is beschikbaar, nu gaat het om de wil om het toe te passen.
Zie: http://eccentric-authentication.org/Usable-Security.pdf
58% - https://www.security.nl/posting/41314/Journalisten+klikken+massaal+op+phishingmail
37% - https://www.security.nl/posting/392852/Canadese+ambtenaren+klikken+massaal+tijdens+phishingtest
23% - https://www.security.nl/posting/24532/23%25+consumenten+trapt+in+spear-phishingaanvallen
14% - https://www.security.nl/posting/14583/
Laten we het erop houden dat hoe beter de aanval hoe meer er geklikt wordt.
Enige oplossingen:
Providers zouden simpelweg altijd exact moeten vermelden waar een link naar toegaat, ook op mobieltjes.
Of alleen plain text mail gebruiken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
