Focus op Canada: Maakt lakse cyberopleiding Canada tot doelwit?

Canada is misschien wel 's werelds grootste phishingvijver. Het land wordt overspoeld door e-mailzwendel die mensen ertoe aanzet wachtwoorden, rekeningnummers en andere gevoelige informatie prijs te geven, maar slechts ongeveer de helft van de Canadese bedrijven traint hun werknemers echt om deze aanvallen te herkennen en te omzeilen.

Canada: De grootste phishingvijver ter wereld

Phishing is wereldwijd de meest voorkomende vorm van cyberaanval. Het kan worden gebruikt om malware op apparaten van werknemers en bedrijfsnetwerken in te bouwen, maar het kan ook de vorm aannemen van "business email compromise", waarbij een betrouwbare bron zich voordoet en om betalingen of toegang tot gevoelige informatie vraagt.

Dit jaar stond Canada wereldwijd op nummer 1 wat betreft phishing-aanvallen door een alom gevolgd rapport over cyberdreigingen. Het land heeft deze dubieuze eer in feite al sinds het cyberbeveiligingsbedrijf RSA in 2017 zijn "Quarterly Fraud Report" begon te publiceren. [1] Bovendien is Canada goed voor 59% van alle phishing-aanvallen wereldwijd, volgens het 2q20-rapport. De VS, het tweede meest geviseerde land, is goed voor slechts 9%.

Nieuwsberichten hebben het enorme verschil tussen Canada en andere ontwikkelde landen moeilijk kunnen verklaren.[2] Sommigen hebben economische en maatschappelijke factoren aangehaald. Anderen schrijven het toe aan een hardnekkige zwendel die betalingsdienstaanbieder Interac heeft gebruikt om de Canadese financiële dienstensector verscheidene jaren achtereen te ontwrichten.[3] Weer anderen komen met andere cijfers die Canada naar nummer 2 op de lijst laten zakken, achter de V.S.[4]

Maar phishing is hoe dan ook een ernstige bedreiging voor Canadese bedrijven. Ongeveer één op de vier datalekken die vorig jaar aan het Canadese Office of the Privacy Commissioner (OPC) werden gemeld, betrof phishing.[5] En de gemiddelde kosten voor een Canadees bedrijf om te reageren op en te herstellen van een groot cyberbeveiligingsincident variëren van $5,7 miljoen tot $8,4 miljoen, volgens een rapport van IDC Canada en leverancier van technologieoplossingen CDW.[6]

Gebrek aan training in bewustmaking van cyberbeveiliging

Door de toenemende schade benadrukken waarnemers de noodzaak van betere cyberbewustzijnstraining. Uit recente statistieken blijkt dat het opleiden van werknemers om cyberaanvallen zoals phishing af te slaan, bij veel Canadese bedrijven nog steeds een lage prioriteit heeft:

• Een op de drie Canadese bedrijven blijft volgens een OPC-enquête onbezorgd over datalekken, hoewel de erkenning van deze dreiging geleidelijk toeneemt.[7]
• Slechts 27% van de Canadese bedrijven beschouwt scholing van werknemers als cruciaal voor een robuuste cyberbeveiliging, volgens Canada Technology Outlook 2020, een rapport van de branchevereniging CompTIA.[8]
• De helft van de Canadese bedrijven geeft geen formele training om phishing te bestrijden, volgens het IDC/CDW-rapport.

Ter vergelijking: uit het "State of Email Security Report 2020" van Mimecast blijkt dat 79% van de Amerikaanse organisaties en 75% van de organisaties wereldwijd ten minste eenmaal per kwartaal bewustwordingstraining over cyberbeveiliging geven. Daaronder zijn veel bedrijven die hun werknemers maandelijks trainen en nog anderen die dat continu doen.

COVID-19 voegt druk toe om te veranderen

Nu door de COVID-19 pandemie meer werknemers gedwongen zijn thuis te werken, is het aantal phishing-aanvallen sterk gestegen, volgens 72% van de bedrijven die voor het Mimecast-rapport zijn ondervraagd. In een soortgelijke geest voorspelt de MIT Sloan Management Review : "Naarmate thuiswerkende werknemers minder waakzaam worden in hun cyberhygiëne, kan het volume van succesvolle aanvallen die het gevolg zijn van menselijke fouten, verder toenemen." [9]

Deze onaangename realiteit kan Canadese bedrijven ertoe aanzetten bewustmakingsopleidingen op het gebied van cyberbeveiliging serieuzer te nemen. Op de recente Canadese virtuele cyberbeveiligingsconferentie MapleSEC voorspelden de sprekers bijvoorbeeld dat de stortvloed aan phishingaanvallen die op werknemers thuis zijn gericht, de opleidingsprogramma's voor cyberbeveiligingsbewustzijn in veel bedrijven een impuls zou kunnen geven.[10] Andere ontwikkelingen die Canadese bedrijven ertoe aanzetten meer bewustmakingsopleidingen over cyberbeveiliging te organiseren, zijn onder meer:

• Het Canadian Centre for Cyber Security heeft in zijn huidige lijst van Top 10 IT-beveiligingsacties prioriteit gegeven aan bewustmakingstraining op het gebied van cyberbeveiliging. Oefeningen om phishing te vermijden behoren tot de aanbevelingen.[11]
• Verwacht wordt dat de druk van de Canadese federale en provinciale overheden bedrijven er ook toe zal aanzetten hun cyberbeveiligingsstrategieën en de opleiding die zij aanbieden, te verbeteren.
• Prominente Canadese CEO's hebben onlangs cyberaanvallen genoemd als een van de grootste bedreigingen voor de groeivooruitzichten van hun bedrijven.[12]
• De Canadese publieke en private sector kwamen in oktober samen voor Cybersecurity Awareness Month, als onderdeel van een landelijke inspanning om het belang van cyberbeveiliging onder de aandacht te brengen, onder meer door bewustmakingstrainingen.
• De publieke opinie vraagt steeds meer om meer opleiding op het gebied van cyberbeveiliging. In een recente enquête zei 71% van de Canadezen meer te willen leren over het beschermen van zichzelf tegen fraude, en bijna evenveel Canadezen zeiden zich daar meer zorgen over te maken dan ooit tevoren.[13]
• Bedrijven worden ook geconfronteerd met nieuwe druk van hun klanten. In een onderzoek van managementadviesbureau KPMG in september gaf 84% van de consumenten aan dat zij zouden heroverwegen om zaken te doen met een bedrijf dat door een datalek is getroffen.[14]

Nu werken op afstand de cyberveiligheidsrisico's vergroot, heeft de MIT Sloan Management Review bedrijven geadviseerd om "cyberbewustzijnsprogramma's te herijken om de cyberrisicocultuur van uw werknemers, managementteams en cyberbeveiligingsprofessionals te meten, bij te houden en te verbeteren in de nieuwe cybernormaliteit".

De afhaalmaaltijd

Canada is belaagd door e-mail phishing aanvallen - veel meer dan enig ander land - en lakse cyberbeveiligingsbewustzijnstrainingen dragen mogelijk bij aan het probleem. Recente gebeurtenissen, waaronder verschuivingen in verwachtingen en attitudes, oefenen echter nieuwe druk uit op Canadese bedrijven om hun werknemers meer opleiding te geven.

[1] "Driemaandelijks fraudeverslag: Q2 2020," RSA

[2] "Email Enigma: Waarom wordt Canada getroffen door zoveel phishing-aanvallen?", TechTarget

[3] "Phishing Campaign Continues to Mimic Canada's Biggest Banks Online," IT World Canada

[4] "Dit zijn de top landen die het doelwit zijn van phishingaanvallen," PhishLabs

[5] "Een vol jaar meldplicht datalekken: What we've Learned and What Businesses Need to Know," Office of the Privacy Commissioner of Canada

[6] "Cyber Resilience: An Evolving Perspective," IDC Canada en CDW

[7] "2019-20 enquête onder Canadese bedrijven over privacy-gerelateerde kwesties," Office of the Privacy Commissioner of Canada

[8] "Canada Technology Outlook 2020," CompTIA

[9] "Cyberbeveiliging voor een op afstand werkend personeelsbestand," MIT Sloan Management Review

[10] "MapleSEC: Probeer deze tips om uw Security Awareness Program te verbeteren," IT World Canada

[11] "Top 10 IT Security Actions," Canadian Centre for Cyber Security

[12] "Canadese CEO's optimistischer over groeivooruitzichten," KPMG

[13] "Zes op de 10 Canadezen maken zich nu meer zorgen over fraude dan ooit tevoren," Interac

[14] "Leergierig om uw informatie te delen na een cyberaanval? Je bent niet alleen. Negen op 10 Canadezen denken er net zo over," KPMG