0 
0 O e-mail supostamente de recursos humanos convenceu mais de um quinto dos destinatários a clicar, a maioria dos quais o fez dentro de uma hora após receber a mensagem fraudulenta.
Taxa de cliques de phishing e taxa de relatórios de usuários de tentativas suspeitas de phishing para cada campanha.Fonte: F-SecurePDF
Um ataque simulado de phishing contra mais de 82.000 trabalhadores descobriu que e-mails com impacto pessoal resultaram em mais cliques e que equipes técnicas — como trabalhadores de TI e equipes de DevOps — clicaram com a maior frequência e relataram ataques suspeitos de phishing com menos frequência em comparação com equipes não técnicas
A empresa de segurança de software F-Secure trabalhou com quatro organizações multinacionais para criar campanhas com um dos quatro e-mails de phishing diferentes: uma suposta mensagem de recursos humanos, uma mensagem falsa de fraude de CEO, uma mensagem falsa de compartilhamento de documentos e um aviso falso de uma falha no serviço. Em média, 12% dos usuários clicaram no e-mail de phishing em suas caixas de entrada, mas a taxa dependia significativamente do conteúdo.
Além disso, o tempo médio para relatar um suposto ataque de phishing foi de 30 minutos — bom, mas um pouco problemático, pois um quarto daqueles que clicaram em um e-mail de phishing o fizeram nos primeiros cinco minutos, diz Matthew Connor, gerente de prestação de serviços da F-Secure e principal autor do relatório do estudo.
“A identificação de um ataque e de um phish bem sucedido é de longe a parte mais importante aqui”, diz ele. “É tudo muito bom treinar sua equipe para que eles não cliquem em um e-mail, mas se os e-mails que passam pela sua rede e pelas caixas de entrada, se você mesmo não pegou isso, você precisa saber que alguém vai denunciar isso.https://d10e0414a63da1e0041926ce64b0dc32.safeframe.googlesyndication.com/safeframe/1-0-38/html/container.html
Relatórios rápidos de phish é fundamental
A lição talvez seja a mais importante do estudo: a velocidade é fundamental, diz Connor. Uma maneira de melhorar a taxa de relatórios, e a velocidade, é tornar a reportagem muito simples, como um clique de um botão. Duas empresas que não tinham uma maneira tão fácil de relatar ataques suspeitos de phishing tinham uma taxa média de relatórios inferior a 15%, enquanto uma terceira empresa que tinha um botão onipresente tinha uma taxa de relatórios de 45%.
Como as empresas precisam contar com os trabalhadores para denunciar phishing o mais rápido possível, manter o processo o mais livre de atritos possível é importante, disse Riaan Naude, diretor de consultoria da F-Secure, em comunicado anunciando os resultados.
“As evidências do estudo apontam claramente processos rápidos e indolors de relatórios como um terreno comum onde o pessoal de segurança e outras equipes podem trabalhar juntos para melhorar a resiliência de uma organização contra o phishing”, diz ele. “Acertar isso significa que um ataque pode ser detectado e evitado anteriormente, já que as equipes de segurança podem ter apenas alguns minutos preciosos para mitigar um possível compromisso.”
O estudo também constatou que trabalhar em TI ou DevOps não equivalia a um melhor julgamento ao avaliar potenciais ataques de phishing. Nas duas organizações que tinham trabalhadores em TI ou DevOps, ambos os grupos clicaram em e-mails de teste com probabilidade igual — ou maior – do que outros departamentos em suas organizações, afirmou o F-Secure no relatório.
Em uma organização, 26% dos membros da equipe de DevOps e 24% dos membros da equipe de TI clicaram na carga de phishing de teste, em comparação com 25% para a organização no geral, enquanto 30% dos DevOps e 21% da TI clicaram na carga de phishing na segunda organização, em comparação com 11% no geral.
Os resultados provavelmente mostram a diferença entre os trabalhadores treinados em segurança de TI e aqueles que têm uma natureza suspeita que complementa uma posição na segurança de TI.
“O phishing é colocado na categoria de problemas de segurança da informação — e é — mas também é apenas um navio para um golpe”, diz Connor. “É exatamente o mesmo que ter algo arrancado de você quando você está procurando em outro lugar. E há uma mentalidade de defender contra isso.”
Um clickWhether
este estudo de phishing é uma representação verdadeira do estado de vulnerabilidade da força de trabalho é discutível. O estudo mediu apenas dois desfechos, com um único clique determinado como um ataque bem sucedido. Normalmente, um ataque de phishing exigirá várias etapas como parte de sua cadeia de ataque: o usuário clica em um anexo ou link no e-mail e, em seguida, permite que um programa execute ou insira informações em um site que pareça legítimo, mas está sob controle do invasor.
Muitas vezes, o usuário pensará duas vezes antes de inserir suas informações em um site ou clicar no botão OK para permitir que um programa seja executado.
No entanto, a F-Secure também teve que fazer concessões na construção das iscas de e-mail. As regras da simulação não permitiram que a empresa adaptasse o conteúdo de e-mail para classes de usuários, exigindo que as mensagens fossem amplamente aplicáveis. Além disso, as mensagens de e-mail não poderiam incluir um logotipo ou usar outros idiomas além do inglês. Mais personalização provavelmente teria levado a ataques mais bem sucedidos, afirmou f-Secure no relatório.
Por exemplo, os e-mails de notificação de compartilhamento de documentos e de emissão de serviço não foram marcados como um serviço bem conhecido, e isso provavelmente afetou sua taxa de cliques, argumentou a empresa, acrescentando que “as equipes de ecuridade devem estar cientes de que um invasor real pode imitar um serviço conhecido e ter mais sucesso”.
FONTE: DARK READING