Fokus auf Kanada: Wird Kanada durch laxe Cyber-Ausbildung zur Zielscheibe?

Kanada ist vielleicht der größte Phishing-Teich der Welt. Das Land wird von E-Mail-Betrügereien überschwemmt, die Menschen dazu verleiten, Passwörter, Kontonummern und andere sensible Informationen preiszugeben, doch nur etwa die Hälfte der kanadischen Unternehmen schult ihre Mitarbeiter wirklich darin, diese Angriffe zu erkennen und abzuwehren.

Kanada: Der größte Phishing-Teich der Welt

Phishing ist weltweit die häufigste Form von Cyberangriffen. Es kann verwendet werden, um Malware auf Mitarbeitergeräten und Unternehmensnetzwerken einzubetten, oder es kann die Form einer "Kompromittierung von Geschäfts-E-Mails" annehmen, bei der sich eine vertrauenswürdige Quelle ausgibt und Zahlungen oder Zugang zu sensiblen Informationen verlangt.

In diesem Jahr wurde Kanada in einem viel beachteten Bericht über Cyberbedrohungen auf Platz 1 der weltweiten Phishing-Angriffe gesetzt. Das Land hat diese zweifelhafte Ehre inne, seit das Cybersicherheitsunternehmen RSA im Jahr 2017 seinen "Quarterly Fraud Report" veröffentlicht hat. [1] Außerdem entfallen auf Kanada 59 % aller Phishing-Angriffe weltweit, so der 2q20-Bericht. Auf die USA, das zweithäufigste Zielland, entfallen nur 9 %.

In den Nachrichten wird der große Unterschied zwischen Kanada und anderen Industrieländern nur schwer zu erklären sein.[2] Einige führen wirtschaftliche und gesellschaftliche Faktoren an. Andere führen es auf einen hartnäckigen Betrug zurück, der mit Hilfe des Zahlungsdienstleisters Interac die kanadische Finanzdienstleistungsbranche mehrere Jahre in Folge gestört hat.[3] Wieder andere nennen andere Zahlen, die Kanada auf Platz 2 der Liste hinter den USA zurückfallen lassen.[4]

Phishing ist jedoch in jedem Fall eine ernsthafte Bedrohung für kanadische Unternehmen. Etwa eine von vier Datenschutzverletzungen, die dem kanadischen Amt für Datenschutz (OPC) im vergangenen Jahr gemeldet wurden, betraf Phishing.[5] Und die durchschnittlichen Kosten eines kanadischen Unternehmens für die Reaktion auf einen größeren Cybersicherheitsvorfall und dessen Behebung liegen laut einem Bericht von IDC Canada und dem Anbieter von Technologielösungen CDW zwischen 5,7 Millionen und 8,4 Millionen Dollar.[6]

Fehlende Schulungen zum Bewusstsein für Cybersicherheit

Die zunehmenden Schäden veranlassen Beobachter, die Notwendigkeit besserer Schulungen zum Thema Cybersicherheit zu unterstreichen. Jüngste Statistiken zeigen, dass die Schulung von Mitarbeitern zur Abwehr von Cyberangriffen wie Phishing in vielen kanadischen Unternehmen immer noch eine geringe Priorität hat:

• Laut einer OPC-Umfrage ist jedes dritte kanadische Unternehmen nach wie vor nicht über Datenschutzverletzungen besorgt, obwohl das Bewusstsein für diese Bedrohung allmählich zunimmt.[7]
• Nur 27 % der kanadischen Unternehmen halten die Ausbildung von Arbeitskräften für entscheidend für eine robuste Cybersicherheit, so Canada Technology Outlook 2020, ein Bericht des Branchenverbands CompTIA.[8]
• Laut IDC/CDW-Bericht bietet die Hälfte der kanadischen Unternehmen keine formellen Schulungen zur Bekämpfung von Phishing an.

Im Vergleich dazu zeigt der "State of Email Security Report 2020" von Mimecast, dass 79 % der US-Organisationen und 75 % der Organisationen weltweit mindestens einmal pro Quartal Schulungen zum Thema Cybersicherheit anbieten. Darunter sind viele Unternehmen, die ihre Mitarbeiter monatlich schulen, und wieder andere, die dies kontinuierlich tun.

COVID-19 erhöht den Druck zur Veränderung

Da die COVID-19-Pandemie mehr Mitarbeiter dazu gezwungen hat, von zu Hause aus zu arbeiten, ist die Zahl der Phishing-Angriffe laut 72 % der für den Mimecast-Bericht befragten Unternehmen stark angestiegen. In ähnlicher Weise prognostiziert die MIT Sloan Management Review , dass "wenn die zu Hause arbeitenden Mitarbeiter in ihrer Cyber-Hygiene weniger wachsam werden, die Zahl der erfolgreichen Angriffe, die auf menschliches Versagen zurückzuführen sind, weiter zunehmen könnte." [9]

Diese unangenehme Realität könnte kanadische Unternehmen dazu veranlassen, Schulungen zum Thema Cybersicherheit ernster zu nehmen. Auf der jüngsten virtuellen kanadischen Cybersecurity-Konferenz MapleSEC prognostizierten die Redner beispielsweise, dass die Flut von Phishing-Angriffen, die auf Mitarbeiter zu Hause abzielen, in vielen Unternehmen Schulungsprogramme zum Thema Cybersicherheit in Gang setzen könnte.[10] Weitere Entwicklungen, die kanadische Unternehmen dazu veranlassen, mehr Schulungen zum Thema Cybersicherheit durchzuführen, sind unter anderem:

• Das kanadische Zentrum für Cybersicherheit hat in seiner aktuellen Liste der 10 wichtigsten IT-Sicherheitsmaßnahmen Schulungen zum Thema Cybersicherheit als vorrangig eingestuft. Zu den Empfehlungen gehören auch Übungen zur Vermeidung von Phishing.[11]
• Es wird erwartet, dass der Druck der kanadischen Bundes- und Provinzregierungen auch die Unternehmen dazu veranlassen wird, ihre Cybersicherheitsstrategien und die von ihnen angebotenen Schulungen zu verbessern.
• Prominente kanadische CEOs haben kürzlich Cyberangriffe als eine der größten Bedrohungen für die Wachstumsaussichten ihrer Unternehmen genannt.[12]
• Im Oktober trafen sich der öffentliche und der private Sektor Kanadas zum Cybersecurity Awareness Month, einer landesweiten Aktion, um auf die Bedeutung der Cybersicherheit aufmerksam zu machen und das Bewusstsein dafür zu schulen.
• In der Öffentlichkeit wächst der Wunsch nach mehr Schulungen zur Cybersicherheit. In einer kürzlich durchgeführten Umfrage gaben 71 % der Kanadier an, dass sie mehr über den Schutz vor Betrug erfahren möchten, und fast ebenso viele sagten, dass sie sich mehr Sorgen darüber machen als je zuvor.[13]
• Die Unternehmen sehen sich auch dem neuen Druck ihrer Kunden ausgesetzt. In einer Umfrage der Unternehmensberatungsfirma KPMG vom September gaben 84 % der Verbraucher an, dass sie ihre Geschäftsbeziehungen zu einem Unternehmen, das von einer Datenschutzverletzung betroffen ist, überdenken würden.[14]

Angesichts der Tatsache, dass Remote-Arbeitsplätze die Bedrohungen für die Cybersicherheit verschärfen, rät die MIT Sloan Management Review Unternehmen, "Programme zur Sensibilisierung für Cyberrisiken neu zu kalibrieren, um die Cyber-Risikokultur ihrer Mitarbeiter, Managementteams und Cybersicherheitsexperten im neuen Cyber-Normalzustand zu messen, zu verfolgen und zu verbessern".

Das Mitnehmen

Kanada wurde von E-Mail-Phishing-Angriffen heimgesucht - weit mehr als jedes andere Land -, und eine laxe Ausbildung im Bereich der Cybersicherheit könnte zu diesem Problem beitragen. Die jüngsten Ereignisse, einschließlich der veränderten Erwartungen und Einstellungen, üben jedoch neuen Druck auf kanadische Unternehmen aus, ihre Mitarbeiter besser zu schulen.

[1] "Vierteljährlicher Betrugsbericht: Q2 2020," RSA

[2] "E-Mail-Rätsel: Warum ist Kanada von so vielen Phishing-Angriffen betroffen?", TechTarget

[3] "Phishing-Kampagne imitiert weiterhin Kanadas größte Online-Banken," IT World Canada

[4] "Dies sind die Länder, die am häufigsten Ziel von Phishing-Angriffen sind," PhishLabs

[5] "A Full Year of Mandatory Data Breach Reporting: What We've Learned and What Businesses Need to Know," Office of the Privacy Commissioner of Canada

[6] "Cyber Resilience: Eine sich entwickelnde Perspektive," IDC Kanada und CDW

[7] "2019-20 Survey of Canadian Businesses on Privacy-Related Issues," Office of the Privacy Commissioner of Canada

[8] "Kanada Technologieausblick 2020," CompTIA

[9] "Cybersecurity for a Remote Workforce," MIT Sloan Management Review

[10] "MapleSEC: Probieren Sie diese Tipps aus, um Ihr Programm zur Verbesserung des Sicherheitsbewusstseins zu verbessern," IT World Canada

[11] "Top 10 IT-Sicherheitsaktionen," Kanadisches Zentrum für Cybersicherheit

[12] "Kanadische CEOs sind optimistischer über Wachstumsaussichten," KPMG

[13] "Sechs von 10 Kanadiern machen sich heute mehr Sorgen über Betrug als jemals zuvor," Interac

[14] "Haben Sie Bedenken, Ihre Daten nach einem Cyberangriff weiterzugeben? You're Not Alone. Neun von 10 Kanadiern fühlen genauso," KPMG