Навчання з безпеки електронної пошти: що працює, а що ні

Згідно з дослідженням Deloitte, 91% кібератак все ще починаються з електронного листа.

Це число мало змінилося за роки. Ми розгорнули спам-фільтри, безпечні поштові шлюзи, AI-виявлення аномалій та десяток інших технічних контролів. Зловмисникам все одно. Коли одну тактику блокують, вони пробують іншу. Коли виявлення ловить патерн, вони змінюють патерн.

Технологічна гонка озброєнь не може бути виграна сама по собі. Навчені співробітники додають інший вид захисту, який застосовує судження та розпізнає контекст. Добре створений спір-фішинговий лист може проскочити через кожен фільтр, але співробітник, який знає, що потрібно верифікувати неочікувані запити, все одно зупинить атаку.

Масовий фішинг закидає широку сітку. Ці атаки імітують сповіщення акаунтів (“Ваш пароль закінчується сьогодні”), повідомлення про доставку, фінансові попередження та IT-запити. Наш посібник з виявлення фішингу охоплює конкретні індикатори.

Цілеспрямований фішинг це зовсім інша справа. Зловмисники вивчають профілі LinkedIn, оголошення компанії та соціальні мережі, потім створюють повідомлення, що посилаються на нещодавні проєкти, називають конкретних колег, згадують реальних постачальників. Спробуйте нашу вправу зі спір-фішингу. Для детального погляду на ширші тактики маніпуляції дивіться наш матеріал про атаки соціальної інженерії.

BEC-атаки імітують довірених осіб, щоб маніпулювати співробітниками для шкідливих дій, зазвичай пов’язаних з грошима або даними. BEC коштував організаціям понад $50 мільярдів з моменту, коли FBI почало відстежувати.

Підроблені сторінки входу, що імітують реальні сервіси. “Скидання пароля”, що захоплюють поточні облікові дані. Мета завжди одна: вкрасти облікові дані для подальших атак.

Шкідливі вкладення, посилання на сайти з drive-by завантаженнями, вбудований контент, що експлуатує вразливості.

Співробітники повинні перевіряти листи зі здоровим скептицизмом. Перевіряйте фактичну адресу електронної пошти, а не відображуване ім’я. Верифікуйте написання домену (paypa1.com проти paypal.com). Наводьте курсор перед натисканням. І ніколи не вводьте облікові дані після натискання посилання з листа. Наше навчання фішинговим симуляціям дозволяє співробітникам практикувати все це. Наша вправа з обізнаності щодо розширень файлів навчає розпізнавати небезпечні типи файлів.

Співробітникам не потрібно ставати експертами з поштових протоколів, але вони повинні розуміти, що технічні стандарти як SPF, DKIM та DMARC верифікують легітимність відправника. Вони також повинні знати, чому підробка все ще працює: зловмисники використовують схожі домени.

Тут навчання зберігає реальні гроші. Запити на грошові перекази потребують телефонного дзвінка за відомим номером. Зміни платіжних реквізитів постачальників вимагають незалежної верифікації. Запити облікових даних мають найясніше правило: ніколи не надавайте паролі електронною поштою.

Регулярні фішингові симуляції тестують розпізнавання в реалістичних сценаріях. Програма повинна використовувати різноманітні типи атак, тестувати всіх включно з керівниками, забезпечувати негайний зворотний зв’язок після натискання та відстежувати прогрес з часом.

Практика перемагає слайди щоразу. Інтерактивні вправи з кібербезпеки створюють сильніше навчання. Спробуйте наші безкоштовні вправи Фішинг та BEC.

Проведіть початкову фішингову симуляцію. Опитайте співробітників. Перегляньте минулі інциденти.

Розгорніть базове навчання з безпеки електронної пошти. Для ширшого погляду перегляньте наш посібник з навчання кібербезпеки.

Щомісячні фішингові симуляції для всіх співробітників.

Фінансовим командам потрібне навчання з BEC. Керівники стикаються з вейлінг-атаками. Зловмисники використовують телефонний вішинг, SMS-смішинг та багатоетапний бочковий фішинг.

Визнавайте людей, які звітують про підозрілі листи. Наш аналіз вимірювання ефективності навчання охоплює важливі метрики.

Найбільша помилка: трактування симуляцій як тестів-пасток. Програми, зосереджені на покаранні, дають зворотний ефект з тієї самої причини. Навчання лише раз на рік передбачувано провалюється. Загальний контент витрачає час.

Ваші співробітники отримають шкідливі листи завтра. Питання в тому, чи вони їх розпізнають і повідомлять, чи натиснуть. Почніть з наших безкоштовних вправ: Фішинг, Компрометація бізнес-пошти або Зворотний фішинг і побачте, як виглядає практичне навчання з безпеки електронної пошти. Перегляньте наш повний каталог навчання з кібербезпеки для більше вправ. Якщо будуєте ширшу програму, наш повний посібник з навчання охоплює повну картину.