1 op 3 overheidsmedewerkers Michigan opent 'phishingmail'
Een op de drie overheidsmedewerkers van de Amerikaanse staat Michigan heeft tijdens een test een zogenaamde phishingmail geopend, zo blijkt uit onderzoek van de Rekenkamer van de staat. Om meer bewustzijn onder medewerkers te creëren werden er vorig jaar verschillende trainingen georganiseerd.
Voor de verschillende trainingsprogramma's, zoals phishing, openbare wifi, social engineering en wachtwoorden, waren 60.000 medewerkers aangemeld. De training over phishing werd door 42.000 medewerkers afgerond. Vervolgens wilde de Rekenkamer kijken hoe effectief de training was geweest en besloot naar 5.000 overheidsmedewerkers een zogenaamde phishingmail te sturen.
De phishingmail werd door een op de drie medewerkers (~1600) geopend. Een kwart hiervan (~1200) opende de link in het bericht. Vervolgens voerde bijna 20 procent van de medewerkers (945) zijn of haar wachtwoord in. Verschillende medewerkers rapporteerden de phishingmail echter. Daarnaast laat de Rekenkamer in het rapport (pdf) weten dat er verschillende beveiligingsmaatregelen zijn getroffen om de effectiviteit van phishingaanvallen te beperken.
De respons is altijd lauw, want - 1x raden - 'we hebben het druk'
De overweging dat je het wel eens gruwelijk véél drukker kan krijgen als het netwerk plat komt te liggen door een geslaagde phishing aanval dringt niet of onvoldoende door.
De overheid krijgt allerlei vragen van burgers (= onbekende afzenders). Als ze deze mail niet openen, kunnen ze ook niet beoordelen of iets een phishingmail is.
In dit geval is het kwalijk omdat de medewerkers volgens het artikel al security awareness training hebben ontvangen en er klaarblijkelijk niets mee gedaan hebben.
Dit zie je wel vaker bij Amerikaanse bedrijven. Want een training volgen "omdat het moet van de baas" voldoet niet.
De training moet mensen motiveren om hem te volgen en het geleerde toe te passen.
Er zijn aan ieder van (gemiddeld) 40000 medewerkers, ieder 24 Computer Security cursussen gegeven.
Dan krijg je inderdaad "omdat het moet van de baas".
Ik ben ook benieuwd hoe men eigenlijk detecteerd dat men "email geopend" heeft.
Alleen als je de IT afdeling het email programma verkeerd ingesteld heeft (b.v. standaard alle plaatjes downloaden) zou je dat kunnen detecteren. dat lijkt me een fout van de IT afdeling, niet van de medewerkers.
Als S/MIME en PGP gemeengoed waren dan waren er 33% minder slachtoffers van phishing mail omdat men dan e-mail digitaal kon ondertekenen. Handtekening niet in orde, mail de prullenbak in... Simpeler kan het niet.
De overheid krijgt allerlei vragen van burgers (= onbekende afzenders). Als ze deze mail niet openen, kunnen ze ook niet beoordelen of iets een phishingmail is.
"De" overheid krijgt wel veel mail van burgers, maar dat wil niet zeggen dat alle persoonlijke mailadressen van overheidsmedewerkers direct customer-facing zijn .
Evenmin is dat bij bedrijven van enige omvang het geval.
Ze proberen zoveel mogelijk van de externe interface achter webformulieren af te handelen, en mail adressen zijn vrijwel altijd rol-adressen.
Lastiger is het waarschijnlijk voor gekozen politici, van wie logischerwijs meer verwacht wordt dat ze persoonlijk bereikbaar zijn voor hun kiezers , maar dat is maar een handjevol.
Maar het overgrote deel van 42,000 ambtenaren uit Michigan (en het overgrote deel van de 5000 in de steekproef) zal echt niet een enorm diverse externe mailflow hebben .
Zoals herby ook schrijft, het zijn normale cijfers en het is eigenlijk geen nieuws.
Prima dat ze training doen, en applaus dat ze ook nog een goede steekproef doen om te kijken of er effect was.
Overigens genoeg om een hoop overlast te geven als het medewerkers met toegang tot personeelsgegevens betreft en je een malding bij de AP moet doen.
Openen van de bijlage is VEEL erger.
Of ik even mijn Paypal account wou bijwerken door even in te loggen.
Incl. de link erna, voor het gemak.
Ik heb daar niet eens een account.
Geheel mee eens.
Meer dan de titel lezen was te moeilijk ?
"De phishingmail werd door een op de drie medewerkers (~1600) geopend. Een kwart hiervan (~1200) opende de link in het bericht. Vervolgens voerde bijna 20 procent van de medewerkers (945) zijn of haar wachtwoord in. "
Als S/MIME en PGP gemeengoed waren dan waren er 33% minder slachtoffers van phishing mail omdat men dan e-mail digitaal kon ondertekenen. Handtekening niet in orde, mail de prullenbak in... Simpeler kan het niet.
Lekker realistisch weer. Dan moet je eerst van iedereen uberhaupt een public key hebben, voor je hun berichten kan lezen.
Het openen van een email, en het klikken op een link in een email (laat staan het vervolgens invullen van info op een website), zijn toch echt verschillende zaken. Dat zou je als geen ander moeten weten, indien je werk bestaat uit het organiseren van phishing simulaties.
De conclusie dat deze ratio bij iedere ontvangen mail opgaat is een beetje voorbarig. Het gaat om 1 specifieke mail, met een specifiek onderwerp, en een specifieke afzender. Dus wellicht dat het al heel goed zichtbaar was dat het niet ging om ''een vraag van een burger''.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
