La ricerca sul phishing mette in discussione i tradizionali test di sensibilizzazione alla sicurezza

“Il tasso di clic, la metrica in base alla quale vengono valutati la maggior parte dei programmi di phishing, rappresenta solo una parte del quadro. Un indicatore significativo di miglioramento deve andare oltre il tasso di clic e dovrebbe considerare come i comportamenti relativi a clic, fughe di dati e segnalazioni cambiano insieme nel tempo”, spiega il rapporto. Joe Jones, CEO e cofondatore di Pistachio, approfondisce: “Un basso tasso di clic può creare un falso senso di sicurezza.

Cliccare su un link di phishing è solo un momento in una catena molto più lunga di comportamenti dei dipendenti e, di per sé, dice poco sul fatto che qualcuno, o l’organizzazione nel suo complesso, stia effettivamente diventando più resiliente. Ciò che conta di più è ciò che accade dopo: il dipendente fornisce le credenziali, riconosce l’attacco e si ferma, oppure lo segnala in modo che l’azienda nel suo complesso possa intervenire?

» Pistachio ha individuato diversi effetti di test che mettono in discussione la formazione convenzionale sulla consapevolezza della sicurezza: nella prima simulazione, un numero maggiore di utenti segnala l’accaduto piuttosto che cliccare, ma l’1,57% continua a divulgare le proprie credenziali. Ciò significa che un’azienda con 500 dipendenti ha probabilmente 8 persone che forniranno i propri dati di accesso. I team tecnici non sono automaticamente a basso rischio.

Nel programma di test di Pistachio, il 30,27% degli utenti del reparto di sviluppo tecnico e il 28,53% degli utenti IT hanno cliccato almeno una volta.

Lo stesso test produce risultati diversi a seconda dei team: i tassi di clic variavano dal 26,35% nel reparto Design al 41,31% nel reparto Edilizia. La resilienza al phishing è il risultato di un minor numero di clic e fughe di informazioni, e di una maggiore segnalazione.

Entro la fine del programma di 12 mesi, gli utenti hanno segnalato email sospette quasi il doppio delle volte rispetto a quando vi hanno cliccato sopra, dimostrando che programmi efficaci e continuativi possono rafforzare la vigilanza, e non solo ridurre il numero di clic.

Tuttavia, la formazione deve essere mantenuta oltre il semplice invio di attacchi simulati: nel test Pistachio, i tassi di clic e di divulgazione aumentano nei primi sei mesi del programma prima di iniziare a diminuire. Vale la pena notare che le dimensioni del programma Pistachio implicano che abbia una portata multinazionale, ma non presenta alcuna “analisi geografica”. Questo è deludente.

Sebbene l’analisi evidenzi differenze tra i settori industriali e i team, non opera alcuna distinzione tra le diverse località geografiche.

A onor del vero, non esiste una prova generale che le diverse aree globali siano più o meno vulnerabili al phishing, ma questa ricerca potrebbe confermarlo o smentirlo. Nel peggiore dei casi, potrebbe forse indicare se le organizzazioni globali dovrebbero fornire formazione aggiuntiva alle singole sedi. Nel complesso, si tratta di un rapporto che andrebbe consultato prima di sviluppare qualsiasi test di simulazione di phishing, sia internamente che tramite i servizi offerti da Pistachio.

Correlato: Trezor afferma che 347. 000 utenti hanno ricevuto e-mail di phishing dopo l’attacco a Brevo Correlato: Nuovo attacco di phishing crea pagine dannose all’interno del browser della vittima Correlato: Nuovo toolkit di phishing utilizza le passkey per mantenere l’accesso dopo la reimpostazione delle password Correlato: Oltre 500 organizzazioni colpite da una campagna di phishing durata anni Scritto da Kevin Townsend Kevin Townsend è un collaboratore senior di SecurityWeek.

Scrive di tematiche high-tech da prima della nascita di Microsoft.

Negli ultimi 15 anni si è specializzato in sicurezza informatica e ha pubblicato migliaia di articoli su decine di riviste diverse, dal *Times* e dal *Financial Times* alle riviste di informatica attuali e ormai scomparse.