Feiten en statistieken over phishing die u moet weten

Phishing blijft een van de grootste bedreigingen voor de cyberbeveiliging van organisaties, ongeacht hun omvang. Geen wonder, gezien de enorme hoeveelheid e-mail en spam - gemiddeld zo'n 78 miljard e-mails per dag wereldwijd, waarvan 84% spam is. [i]

Zeker, bij phishingaanvallen draait alles om misleiding, of het nu gaat om een oplichterij over een cadeaubon van 100 dollar die in het verschiet ligt of een bedrieger die om het wachtwoord voor uw systeem vraagt. Maar het is de moeite waard om achter het bedrog te kijken om te begrijpen wat waar is over phishing-aanvallen en vervolgens stappen te ondernemen om ze te verijdelen.

Phishing komt vaak voor

Phishing-aanvallen nemen toe, vooral sinds de verschuiving naar werken op afstand tijdens de COVID-19-pandemie. Het Internet Crime Complaint Center (IC3) van de FBI ontving 241.342 phishingklachten in 2020, meer dan twee keer zoveel als de 114.707 die het in 2019 registreerde. Hoewel slechts een fractie van de incidenten wordt gemeld, geven de phishing-statistieken van de FBI een goede indicatie van de algemene groeitrend. Phishing was de meest voorkomende online zwendel die aan de IC3 werd gemeld, veel vaker dan inbreuken op persoonsgegevens of identiteitsdiefstal. [ii]

Sinds het begin van de pandemie melden bedrijven dat werknemers drie keer meer schadelijke e-mails aanklikken dan voorheen. De phishing-statistieken in het Mimecast-rapport State of Email Security 2021 (SOES) omvatten zelfs een toename van 64% in e-mailbedreigingen in 2020.

Phishing komt in vele vormen

Cybercriminelen leren snel en passen hun oplichtingspraktijken voortdurend aan nieuwe communicatiekanalen aan. Populaire methoden en technieken voor phishing waar u op moet letten, zijn onder meer:

• E-mail phishing: Veertig procent van de bedrijven zegt dat hun e-mailbeveiliging tekortschiet, in het SOES-rapport van 2021, en 13% heeft geen e-mailbeveiligingssysteem om de verschillende vormen van e-mail phishing af te weren. Bij de oorspronkelijke phishing-zwendel worden e-mailboxen gespamd met berichten die bedoeld zijn om gebruikers geld te laten sturen, persoonlijke informatie te laten vrijgeven of op een link te laten klikken die malware in hun systeem plaatst.
• Spear phishing: Dit is een meer gespecialiseerde aanval waarbij gebruik wordt gemaakt van persoonlijke informatie uit online bronnen, zoals sociale media en databases met gestolen informatie die beschikbaar zijn op het Dark Web. De e-mails zijn vaak zo opgesteld dat ze lijken op legitieme communicatie van een collega of klant, inclusief een vals adres of een website die op de echte lijkt.
• Whaling: Een nog meer gespecialiseerde vorm van spear phishing richt zich op CEO's, CFO's of andere "grote vissen" met e-mails van bedriegers waarin om gevoelige gegevens wordt gevraagd of waarin wordt gevraagd een valse factuur te betalen.
• Smishing en vishing: Met de groei van de smartphonetechnologie en -kanalen zoals sms, was het slechts een kwestie van tijd voordat fraudeurs uitvonden hoe ze deze voor oplichting konden gebruiken. Bij smishing worden sms-berichten (sms) gebruikt, terwijl bij vishing spraakberichten (robocalls) worden gebruikt, meestal in combinatie met een verzoek om persoonlijke informatie of een link om op te klikken.
• Angler phishing: Sociale media-activiteit kan onderdeel worden van een social engineering-aanval om toegang of persoonlijke informatie te krijgen. Een visser kan bijvoorbeeld een bericht op sociale media onderscheppen waarin over een product wordt geklaagd. Vervolgens stuurt de fraudeur de ontevreden klant een direct bericht waarin hij aanbiedt de zaken recht te zetten als de klant bepaalde informatie deelt of op een verstrekte link klikt. Ten slotte skimt de fraudeur persoonlijke informatie of plaatst hij malware op het systeem van het slachtoffer.

Phishing neemt toe

Uit enkele alarmerende phishingstatistieken en -trends blijkt dat deze dreiging niet afneemt.

• Slechts 16% van de organisaties heeft het afgelopen jaar niet te maken gehad met ten minste één phishing- of ransomware-incident, volgens Osterman Research.
• Veel organisaties hebben vorig jaar meerdere aanvallen te verduren gehad, aldus het SOES-rapport van 2021, en 70% verwacht dat hun bedrijf dit jaar zal worden verstoord door een cyberbeveiligingsdreiging die via e-mail wordt overgebracht.
• Volgens één telling brak januari 2021 maandrecords voor wereldwijde phishingstatistieken, met 245.771 aanvallen die aan de Anti Phishing Working Group (APWG) werden gemeld.[iii]
• Verdedigers lopen nog steeds achter op de slechteriken. In het Osterman-rapport had slechts 45% van de respondenten er vertrouwen in dat alle medewerkers in hun organisatie phishing-e-mails konden herkennen, maar hun vertrouwen daalde tot 34% wanneer hun werd gevraagd naar hun vermogen om smishing, vishing, malafide apps en kwaadaardige pop-upadvertenties online te herkennen.

Phishing-statistieken tonen verliezen aan

De impact van phishing op bedrijven is de afgelopen jaren hard geweest. Volgens een jaarlijkse telling van het Ponemon Institute bedragen de gemiddelde totale kosten van een datalek voor een bedrijf, inclusief schade zoals gederfde omzet, ongeveer 3,86 miljoen dollar. En naarmate de inbreuken groter worden, stijgen ook de kosten. Een verlies van 5 tot 10 miljoen records kost een organisatie gemiddeld 50 miljoen dollar; een verlies van 50 miljoen of meer kan 392 miljoen dollar kosten. [iv]

Een deel van de kosten wordt veroorzaakt door de hogere eisen van aanvallers. Uit het APWG-rapport blijkt dat het gemiddelde verzoek om overboeking bij een spear phishing-aanval of een aanval waarbij een zakelijke e-mail in gevaar wordt gebracht, in het eerste kwartaal van 2021 met 14% is gestegen tot 85.000 dollar, tegen 75.000 dollar in het voorgaande kwartaal. [v]

Hoe phishing te voorkomen

De beste praktijken om uw bedrijf tegen phishing-aanvallen te beschermen, zijn onder meer de volgende:

• Door middel van bewustmakingstraining over beveiliging kan het personeel leren hoe het phishing-e-mails kan herkennen en hoe het verdacht lijkende links of bijlagen kan vermijden.
• Phishingoefeningen en andere realtimetraining waarbij een echte aanval wordt gesimuleerd, houden gebruikers alert op fraude.
• Door beveiligingstechnologieën te installeren zoals phishingfilters op e-mailtoepassingen en webbrowsers kunnen phishingpogingen worden beperkt, en pop-upblokkers kunnen helpen een ander veelgebruikt instrument van fraudeurs tegen te houden.
• Werk alle werkstations en apparaten bij met de nieuwste software en zorg ervoor dat alle softwarepatches en updates worden geïnstalleerd zodra ze worden uitgebracht. Zorg ervoor dat de besturingssystemen op alle apparaten bijgewerkt zijn met de laatste versie.
• Denk aan automatisering. Nieuwe tools op basis van kunstmatige intelligentie en machinaal leren kunnen e-mails screenen door te zoeken naar verklikkerpatronen die op fraude wijzen.

De kern van de zaak

Phishing is helaas niet meer weg te denken uit de digitale omgeving van vandaag. Hoewel e-mail bedrijven efficiënter heeft gemaakt, is het ook het kanaal bij uitstek geworden voor cybercriminaliteit. Aanvallers kunnen hun kunst van het misleiden voortdurend bijschaven, maar wat waar is over phishing-aanvallen is dat het voorkomen ervan begint met bewustwording.

[i] " Totale wereldwijde e-mail & Spamvolume voor augustus 2021 ," Cisco

[ii] " Internet Crime Report 2020 , " FBI Internet Crime Complaint Center

[iii] " Phishing Activity Trends Report 1st Quarter 2021 ," Anti-Phishing Working Group

[iv] " Cost of a Data Breach Report 2020 , " Ponemon Institute

[v] " Phishing Activity Trends Report 1st Quarter 2021 ," Anti-Phishing Working Group