Werken phishing simulations echt? Een eerlijke blik

Stuur een nep-phishingmail naar uw personeel, tel wie er klikt en rapporteer het aantal aan het management. Het is een standaardonderdeel geworden van security awareness, en de click rate is de statistiek geworden die iedereen citeert.

Dit roept een terechte vraag op: verminderen phishing simulations daadwerkelijk de kans op een datalek, of produceren ze vooral een grafiek? Het eerlijke antwoord is dat ze goed kunnen werken, maar dat veel programma’s zo zijn opgezet dat ze gegarandeerd niet werken.

De click rate is het verkeerde getal

De click rate is eenvoudig te meten, eenvoudig in een grafiek te zetten en eenvoudig te beïnvloeden. Dat laatste is het probleem. Stuur een overduidelijke test en het percentage daalt. Stuur iets wat echt overtuigend is en het stijgt weer, want met genoeg inspanning kan een aanvaller op een drukke dinsdag bijna iedereen misleiden.

Een dalende click rate kan betekenen dat uw medewerkers alerter zijn. Het kan evengoed betekenen dat uw phishing simulations makkelijker zijn geworden, of dat mensen het verzendpatroon herkennen, of dat iedereen het stilletjes tegen elkaar heeft verteld in de kantine. Niets daarvan weerspiegelt echte weerbaarheid.

Het getal dat wel de moeite waard is om bij te houden, is de report rate: welk deel van de mensen het verdachte bericht naar iemand heeft doorgestuurd. En, nog nuttiger, hoe snel de eerste melding binnenkwam.

Waarom rapportagetijd belangrijker is dan klikken

Ga ervan uit dat er iemand zal klikken. In een bedrijf van vijftig personen, gedurende een jaar, met een vastberaden aanvaller, zal er iemand klikken. Uw beveiliging kan er niet van afhangen dat niemand ooit een fout maakt.

Wat de uitkomst bepaalt, is wat er daarna gebeurt. Als de eerste melding binnen drie minuten binnenkomt, kunt u het bericht uit andere inboxen verwijderen, het account resetten en controleren op verdachte aanmeldingen voordat er iets gebeurt. Als niemand twee dagen lang iets zegt, heeft de aanvaller twee dagen de tijd gehad.

Op deze manier gemeten worden phishing simulations een test van uw detectie en respons, niet een test van individuele oplettendheid. Dat is een veel nuttiger gegeven om te meten, omdat dit het onderdeel is dat u daadwerkelijk kunt verbeteren.

Hoe phishing simulations averechts kunnen werken

Er is een beproefd recept om de situatie te verergeren, en veel organisaties volgen dit onbedoeld op.

• Name and shame. Het publiceren van wie er geklikt heeft, zelfs op subtiele wijze, leert mensen dat fouten maken beschamend is. De volgende persoon die op een echte mail klikt, zegt niets.
• Straf herhaaldelijke klikkers. Het koppelen van resultaten aan functioneringsgesprekken verandert een veiligheidsoefening in een dreiging.
• Gebruik wreed lokaas. Valse bonusaankondigingen, valse ontslagberichten, valse pakketproblemen tijdens een moeilijke periode. Deze leveren hoge click rates op en vernietigen het vertrouwen in interne e-mail, die u voor al het andere nodig heeft.
• Voer één campagne per jaar uit. Een enkele jaarlijkse oefening meet een momentopname, geen gewoonte.
• Sla de follow-up over. Een simulatie zonder uitleg achteraf leert helemaal niets.

De rode draad is angst. Een veiligheidscultuur die op angst is gebouwd, produceert stilte, en stilte is precies wat een aanvaller nodig heeft.

Hoe goede phishing simulations eruitzien

Kondig het programma aan voordat u begint. Vertel iedereen dat er simulaties zullen plaatsvinden, dat resultaten nooit individueel zullen zijn en dat rapporteren het gedrag is waar u naar op zoek bent. U verliest niets door open te zijn, want u probeert niet om mensen te betrappen.

Maak rapporteren moeiteloos. Eén knop in de mailclient, geen instructie om een bericht door te sturen naar een adres dat niemand onthoudt. Reageer vervolgens op elke melding, zelfs op vals alarm, en bedank de persoon. Als rapporteren voelt als roepen in de woestijn, stopt het.

Laat achteraf het antwoord zien. Een kort bericht met ‘dit is wat we hebben gestuurd, dit zijn de drie details die het verraadden’, werkt beter dan welke trainingsmodule dan ook. Houd het vrij van verwijten en mensen zullen het lezen in plaats van het te scannen.

Varieer de moeilijkheidsgraad bewust, voer elke maand of twee iets kleins uit in plaats van één grote jaarlijkse oefening, en combineer het met security awareness training die de aanvallen behandelt waar mensen daadwerkelijk mee te maken krijgen, met name verzoeken om bankgegevens te wijzigen.

Waar simulaties niet kunnen helpen

Eén belangrijke grens: geen enkele hoeveelheid training is bestand tegen een goed opgezette aanval die uw wachtwoord en uw eenmalige code in realtime onderschept. Moderne phishing-kits doen dit routinematig, en de gebruiker doet vaak niets zichtbaar verkeerd.

Dat is een technisch probleem dat een technisch antwoord vereist: phishing-resistant inloggen, zodat een gestolen inloggegeven niet elders kan worden hergebruikt. Bewustwording vermindert hoe vaak mensen worden gevangen. Alleen de onderliggende configuratie bepaalt wat een succesvolle vangst waard is voor de aanvaller. Behandel phishing simulations als één laag tussen meerdere andere, in plaats van als de volledige verdediging.

Laten we dit goed aanpakken

Goed uitgevoerd zijn phishing simulations een oprecht nuttig onderdeel van beveiliging. Uitgevoerd als een verplicht nummertje voor compliance, genereren ze een rapport en een flinke dosis wrevel.

Bij EvolvingDesk pakken we het op de eerste manier aan. We configureren de rapportageknop, meten hoe snel meldingen binnenkomen in plaats van wie er geklikt heeft, houden resultaten anoniem en volgen elke campagne op met een korte uitleg die uw team daadwerkelijk zal lezen. Daarnaast regelen we de technische kant, zodat een klik geen incident wordt.

U houdt er personeel aan over dat het u vertelt wanneer iets er verdacht uitziet, wat meer waard is dan welk percentage op een slide dan ook.

Wilt u testen hoe uw team reageert? Plan een gesprek en we zetten samen een eerste campagne op.

Lees meer

• Hoe u externe medewerkers productief en veilig houdt
• De 3-2-1 back-upregel uitgelegd
• Managed IT-services bij EvolvingDesk

Verder lezen: de NCSC-richtlijnen over phishing-verdediging en de CISA-phishing-richtlijnen.