Cyberbewustzijnstraining helpt gebruikers te beschermen tegen merk-spoofingaanvallen

Bij phishingpogingen en andere cyberbeveiligingsaanvallen wordt vaak gebruik gemaakt van bekende merknamen om gebruikers ertoe te verleiden op koppelingen of bijlagen in e-mailberichten te klikken. Interne en externe maatregelen op het gebied van cyberbeveiliging kunnen helpen dit risico tot een minimum te beperken, maar als een onbetrouwbare spoof-e-mail ongecontroleerd door deze verdedigingslinies heen komt, heeft elke organisatie een laatste verdedigingslinie die alles kan maken of breken: mensen. Mensen zijn een zwakke schakel in cyberbeveiliging, maar met de juiste beveiligingsbewustzijnstraining kunnen ze worden omgevormd tot sterke bondgenoten tegen merkexploitatieaanvallen en andere phishingpogingen.

Waarom gebruikers vallen voor merkexploitation-aanvallen

Een belangrijke reden waarom aanvallen op merkexploitatie zo effectief zijn, is dat werknemers eerder geneigd zijn op een link te klikken of op een e-mailverzoek in te gaan als het van een vertrouwd merk afkomstig lijkt te zijn. Bovendien spelen slechte actoren vaak in op de angsten en verlangens van gebruikers om de kans op succes van hun aanval te vergroten.

Werknemers kunnen zich bijvoorbeeld onder druk gezet voelen om actie te ondernemen wanneer een e-mail schijnbaar van een legitieme leverancier onmiddellijke betaling eist voor een te laat betaalde factuur. Ze kunnen het gevoel hebben dat ze moeten handelen wanneer hun e-mail service provider hen vertelt dat hun account is gecompromitteerd en dat ze hun wachtwoord zo snel mogelijk moeten veranderen.

Maar in werkelijkheid kunnen die e-mails afkomstig zijn van kwaadwillende actoren die zich voordoen als gerenommeerde merken. Als je op de "factuur" klikt die bij de e-mail van de leverancier is gevoegd, kan er malware worden geïnstalleerd, zonder dat de gebruiker daarvan op de hoogte is. Ingaan op een dringend verzoek om geld over te maken naar een nieuwe bankrekening kan miljoenen dollars naar fraudeurs sturen. Het "verzoek om wachtwoordwijziging" dat afkomstig lijkt te zijn van een e-mailserviceprovider, kan de gebruiker naar een site leiden waar referenties worden geoogst en de inlogpagina van de provider wordt nagebootst.

Als werknemers in het bedrog trappen, weten ze misschien helemaal niet dat ze zichzelf en hun bedrijf in gevaar hebben gebracht. Als gebruikers bovendien een legitieme e-mail of website niet kunnen onderscheiden van een kwaadaardige imitatiepoging, kunnen ze risicovolle aanvallen met merkexploitatie naar anderen doorsturen, waardoor het probleem nog groter wordt. Uit het rapport 2020 van Mimecast State of Email Security blijkt zelfs dat 60% van de organisaties is getroffen door een aanval die door geïnfecteerde gebruikers aan andere medewerkers is doorgegeven.[1]

Helaas hebben kwaadwillenden ontdekt dat het uitbuiten van merken een gemakkelijke manier is om organisaties binnen te dringen. Deze aanvallen op merken profiteren van de menselijke aard en onze nauwe digitale relaties met de bedrijven die we kennen en vertrouwen. En dat betekent dat kwaadwillenden niet snel zullen stoppen zich bij cyberaanvallen en phishingcampagnes voor te doen als merken.

Het goede nieuws is dat het succes van de aanval uiteindelijk afhangt van de vraag of de ontvanger van de aanval al dan niet in de list trapt. Als u het beveiligingsbewustzijn van uw werknemers kunt vergroten, kunt u de kans verkleinen dat zij bezwijken voor aanvallen met merkexploitatie.

Regelmatige cyberbewustzijnstraining is een essentiële verdediging

Om te voorkomen dat mensen in aanvallen op merkexploitatie trappen, moeten ze de vaardigheden ontwikkelen om zelfs de meest subtiele pogingen tot spoofing te detecteren, of op zijn minst te wantrouwen. Bewustmakingstraining op het gebied van cyberbeveiliging kan helpen - als het goed wordt gedaan.

Bewustmakingstraining kan buitengewoon effectief zijn. Uit een analyse van Mimecast bleek dat werknemers die regelmatig bewustmakingstraining kregen, 5,2 keer minder geneigd waren om op risicovolle links te klikken dan werknemers zonder die training.[2] Maar niet alle bewustmakingstrainingen werken goed.[3] Vaak ontbreekt het de bewustmakingstrainingen aan boeiende inhoud en relevantie, ze duren te lang en zijn te onregelmatig.

Bewustmakingstrainingen moeten regelmatig worden gegeven om ervoor te zorgen dat werknemers er altijd aan denken en op de hoogte blijven van de nieuwste bedreigingen. Toch geeft 55% van de respondenten van het State of Email Security rapport geen awareness training op regelmatige basis.

Goede programma's voor beveiligingsbewustzijn bieden regelmatig boeiende inhoud die kort, bondig en to-the-point is.[4] Onregelmatige, uitgebreide sessies met te veel informatie om te verwerken kunnen leiden tot cognitieve vermoeidheid, en medewerkers kunnen vergeten wat ze moeten weten als het erop aankomt. Aanhoudende, maar niet opdringerige, korte trainingssessies kunnen helpen om belangrijke punten in het geheugen te prenten. En ze helpen ervoor te zorgen dat medewerkers de snel veranderende pogingen om het merk te misbruiken kunnen bijhouden - of het nu via e-mail of gespoofde webpagina's is.

Om effectief te zijn, moet een training ook aanslaan bij individuele personen. Niet elke werknemer heeft dezelfde training nodig of loopt dezelfde risico's.[5] Risicoprofilering gaat een stap verder in het beveiligingsbewustzijn door manieren te bieden om de risicofactoren van een werknemer op een veilige manier te testen en beveiligingsbeheerders te voorzien van de gegevens die ze nodig hebben om op maat gemaakte bewustmakingstraining te maken. Wie in uw organisatie wordt bijvoorbeeld vaak uitgelokt door phishingpogingen die bekende merken imiteren? Welke medewerkers hebben de neiging om achteloos op e-mailbijlagen te klikken? Vervolgens kunnen de juiste stappen worden ondernomen om probleemgebieden aan te pakken voordat er schade kan worden aangericht.[6]

Technologie kan helpen online merkexploitatie terug te dringen

Natuurlijk kan technologie ook helpen om aanvallen op merkexploitatie te beperken. E-mailbeveiligingsdiensten kunnen veel aanvallen van merkexploitatie blokkeren voordat ze uw gebruikers bereiken. En merken kunnen online merkbeschermingssystemen en DMARC e-mailverificatie toepassen om te voorkomen dat slechte actoren deze aanvallen afleveren. Maar het is onvermijdelijk dat sommige aanvallen door elke verdediging heen dringen. Daarom moet u uw medewerkers beter in staat stellen deze aanvallen te detecteren en te voorkomen dat ze er het slachtoffer van worden.

De kern van de zaak

Werknemers zijn de zwakste schakel in de cyberbeveiligingsverdediging van veel organisaties. En ze zijn bijzonder kwetsbaar voor phishingpogingen waarbij vertrouwde merken worden nagebootst. Bewustzijnstraining kan de kans dat medewerkers op schadelijke koppelingen of bijlagen klikken, of hun gegevens invoeren op een phishingpagina, aanzienlijk verkleinen - en zo helpen om zichzelf en de organisatie veilig te houden.

[1] "De stand van zaken e-mailbeveiliging 2020," Mimecast

[2] "Threat Intelligence Briefing: Beveiligingsbewustzijnstraining helpt onveilige klikken drastisch te verminderen temidden van stijgende cyberbedreigingen door het coronavirus," Mimecast Blog

[3] "Why Most Security Awareness Training Fails (And What To Do About It)," Dark Reading

[4] "How To Build A Strong Security Awareness Program," Dark Reading

[5] "Hoe cyberbewustzijnstraining geven die werkt," SC Media

[6] "Mimecast Bewustzijnstraining: Hoe risicoscores werken," Mimecast