Czasami można pomyśleć, że próby phishingu mogą być najbardziej oczywiste, jak to tylko możliwe, a i tak okażą się dość skuteczne. Niektórzy pracownicy chętnie klikają w zasadzie dowolne e-maile, narażając siebie i organizację, w której pracują, na ryzyko kradzieży danych.

Firma KnowBe4 zajmuje się cyberbezpieczeństwem i przygotowała raport, z którego wynika, że ataki phishingowe w wiadomościach e-mail często skupiają się na tematyce HR. Pracownik może np. otrzymać wiadomość z działu kadr, która omawia nowe zasady dotyczące wszystkich osób w firmie. Stosunkowo łatwo się nabrać, prawda?

Zobacz również:

• Phishing as a Service - czym jest i dlaczego jest taki niebezpieczny
• Sophos pisze o cyberzagrożeniach w 2023 roku

Cyberprzestępcy oczekują w takich wiadomościach, że wejdziemy na wybraną stronę, a następnie podamy swoje dane logowania i hasło, które wykorzystujemy w systemach firmowych (np. do służbowej poczty). Kiedy już pozyskają takie hasła, w szybkim tempie logują się na skrzynki i zaczynają pobierać dane - a często mogą tak uzyskać dostęp do bardzo wrażliwych informacji.

Z drugiej strony liczba prób phishingu, które dotyczą tematów związanych z Covid-19, znacznie spadła. Pracownicy stali się zwyczajnie bardziej czuli na to zagrożenie i wiedzą, że mnóstwo takich wiadomości to spam i phishing. Personel w firmach jest jednak zaniepok0jony nowymi zasadami w biurze. Organizacje wprowadzają bowiem różne nowe reguły po pandemii, więc ataki phshingowe z tej tematyki okazują się skuteczne.

Phishing - na co uważać?

Niezależnie jednak od tego, jaka jest treść wiadomości, nie dojdzie do ataku, jeśli tylko ją przeczytamy. Problem pojawia się, gdy klikamy bez namysłu w dane łącza i podajemy dane na stronach, które zdecydowanie nie mają w adresie URL domeny naszej firmy. Ważne jest, aby poświęcić chwilę i sprawdzić łącze, w jakie zamierzamy kliknąć, jak również zastanowić się, czy dana wiadomość e-mail pochodzi od nieznanego nam użytkownika. Haker niemal na pewno nie będzie miał konta e-mail w domenie naszej firmy - a już to powinno sugerować, że coś jest nie w porządku.

Pracownicy w takich przypadkach stanowią tzw. ostatnią linię obrony i jeśli nie zrealizowaliśmy wcześniej odpowiednich szkoleń, zwłaszcza w czasie onboardingu, są duże szanse na to, że nie rozpoznają e-maila phishingowego.

Dodatkowo firma KnowBe4 przygotowała listę tematów e-mail, które często pojawiają się w kampaniach phishingowych w ostatnim czasie:

• Zoom: ważny problem
• IT: Przegląd polityki bezpieczeństwa informacji w firmie
• Mastercard: Potwierdzenie. Twoje jednorazowe hasło
• Facebook: Twoje konto zostało tymczasowo zablokowane
• Google: podejmij działania, aby zabezpieczyć złamane hasła
• Microsoft: Pomóż nam Cię chronić — Włącz weryfikację dwuetapową, aby chronić swoje konto
• Docusign: Lucile Green prosi o podpisanie dokumentów dotyczących obowiązkowego szkolenia w zakresie bezpieczeństwa
• IT: Brakujące aktualizacje działające zdalnie
• HR: Elektroniczne wdrożenie nowego HRIS

Uwaga na takie i podobne e-maile.