Служителка получава имейл, маскиран като подкана за нулиране на парола. Тя кликва върху връзката, въвежда своите идентификационни данни в страница, създадена да копира екрана за вход на нейната компания, и продължава деня си. Тя не казва на никого.

Това мълчание е уязвимото място. При 13,9 милиона симулирани фишинг съобщения, едва един на всеки десет получатели е докладвал за опита на своя екип по сигурност. Останалите са го пропуснали, а на реалния атакуващ му трябва само един от тях.

Джон Уилсън, старши сътрудник по изследване на заплахите във Fortra, проследява фишинга от ранните му дни на копирани страници за вход до превръщането му в платена сфера от услуги. Платформите „Фишинг като услуга“ (Phishing-as-a-Service) продават шаблони, хостинг и комплекти, които заобикалят многофакторната автентификация срещу джобни пари. Уменията, необходими за стартиране на кампания, вече са сведени до няколко кликвания.

Уилсън разглежда хората като една от няколкото несъвършени защитни мерки. „Човешкият фактор вече е недостатъчна повърхност за контрол, както са и техническите средства за защита“, споделя той пред Help Net Security. „И двете могат да бъдат заобиколени от решен на всичко атакуващ.“ Неговото предписание е техническите средства да се поддържат обновени, а потребителите да се тестват редовно, така че и двете нива да работят с максимална ефективност.

Процентът на докладване изглежда успокояващ, но той ви казва по-малко, отколкото си мислите. Този бенчмарк третира процента на докладване като жизненоважен показател за една програма за сигурност. Логиката е проста: един доклад може да спре кампания в развитие, а девет от десет симулирани опита не са довели до докладване.

Данните по сектори обаче размиват тази картина. Финансовите банки са докладвали фишинг при 30,98%, което е най-високият процент на докладване в проучването, но същевременно с процент на попълване на форми за вход близо до дъното.

Служителите в сферата на отбраната са докладвали при близо една четвърт от случаите, но са кликвали върху симулирани връзки при 13,02%. Силното докладване и масовото кликване съжителстват в една и съща работна сила.

Уилсън се спира на един показател пред останалите: „Въпреки че попълването на форми представлява най-лошия изход при традиционния фишинг за кражба на пароли, една организация може да бъде компрометирана от зловреден код само чрез едно кликване, без потребителят изобщо да изпраща своите идентификационни данни за вход“, казва той. „Поради тази причина смятам, че процентът на кликване е най-важният показател при оценката на ефективността на обучението.“

Уилсън претегля всеки приоритет: „Приоритизирането на попълването на форми може да доведе до инфекция със зловреден код, причинена от едно кликване, докато приоритизирането на докладването може да доведе до прекомерни фалшиви тревоги, претоварващи центъра за операции по сигурността (SOC). Това носи риск критичен инцидент да не получи необходимото внимание или спешност.“

Преследването на най-новите примамки е губеща игра. Непрекъснато се появяват нови фишинг техники. Уилсън, който ръководи изследванията на заплахите във Fortra, споделя какво остава неизменно:

„Макар да има множество технически иновации във фишинга, като фишинг с кодове за устройства (Device Code phishing), хибриден вишинг (Hybrid Vishing), фишинг като услуга (Phishing-as-a-Service), злоупотреба с легитимни услуги и подправяне на идентификатори на клиенти за OAuth, в основата си техниките за социално инженерство, разчитащи на спешност, авторитет, страх, алчност и т.н., не са се променили. Обучението със симулация на фишинг трябва да се фокусира върху тези основни техники за социално инженерство, а не върху конкретни фишинг примамки, които несъмнено ще продължат да се адаптират и развиват с времето.“

Обучение, изградено върху шаблони от тази седмица, остарява до следващата седмица. Обучението, изградено върху разпознаване на натиск за спешност и авторитет, остава ефективно.

Кой ще се хване на примамката зависи от неговата позиция. Един и същ фишинг имейл се възприема различно в зависимост от това кой го отваря. Езикът очертава една граница – френскоговорящите получатели във Франция докладват при 19,55%, което е приблизително двойно повече от англоговорящата група.

Секторът очертава друга. Служителите в застрахователния сектор са отваряли прикачени файлове със злонамерен код в 12,65% от случаите – процент, който превъзхожда всеки друг сектор в проучването. Един навик може да дефинира цяла група служители.

Размерът на компанията очертава трета граница, която се определя от парите. Малките и средните предприятия кликват повече, въвеждат повече пароли и докладват най-малко. Техните бюджети за обучение са в порядъка на ниски шестцифрени суми, докато най-големите фирми харчат осемцифрени суми.

Служителката, която е въвела паролата си във фалшива страница за вход, никога не е казала на своя екип по сигурност. Около 250 000 души са направили същото в тези симулации. Тази празнина в сигурността е точно това, което всеки фишинг комплект на пазара е проектиран да разшири.