Een verdachte mail of sms wordt nog door te weinig werknemers zonder pardon in de vuilbak gekieperd. Het nieuwe rapport van Phished laat zien dat verdachte bestandstypes en links naar webpagina’s om een boel persoonlijke informatie in te vullen, nog steeds succes boeken bij Belgische werknemers.
Het Vlaamse Phished maakt de balans op van 2021 en kijkt vooruit naar wat de toekomst nog zal brengen op vlak van phishing. De cijfers die zij naar buiten brengen, vertellen dat nog teveel werknemers in de val van phishing trappen. Meer dan 1 op de 5 werknemers loopt het risico om gephisht te worden.
Coronacrisis brengt cybercriminelen op ideeën
Cybercriminelen volgen trends dan ook op de voet en weten wat er leeft in de wereld. Het afgelopen jaar zag Phished dat cybercriminelen meer inspeelden op het coronavaccin. Het was (en is) een belangrijk onderwerp en veel mensen stonden te springen om hun vaccinatie te mogen halen. Daarom zijn mensen minder oplettend eens zij het nieuws krijgen dat ze binnenkort aan de beurt zijn. Cybercriminelen maken daar gebruik van door legitiem ogende e-mails te verzenden omtrent het coronavaccin.
Zowel wereldwijd als in ons land werden corona-gerelateerde mails het meest gebruikt als lokaas. Daarna is er een verschil te merken tussen het wereldwijde toneel en het Belgische. In ons land wordt de tweede plaats gedeeld door twee onderwerpen: HR en supplies. In het eerste geval gaat het dan om mails die zogezegd werden verzonden door de HR-afdeling, met een vraag over de vakantieperiode bijvoorbeeld. In supplies gaat het om mails met informatie over een pakketje dat zogezegd jouw kant opkomt.
Uit de oude doos
Cybercriminelen passen hun aanvalstechnieken dus steeds aan op nieuwe trends. Daardoor wordt de trukendoos die zij kunnen inzetten steeds uitgebreider. Oude methoden worden door minder creatieve dieven gebruikt. Een voorbeeld hiervan is het versturen van e-mailbijlagen met een atypische bestandsindeling.
“Ik maak me nog het meest zorgen over het feit dat maar liefst 7% van alle werknemers een verdachte e-mailbijlage opent. Terwijl er bij phishing – meestal – nog een extra stap volgt voor de echte schade wordt berokkend, kan een malafide bijlage meteen zware gevolgen hebben”, benadrukt Arnout Van de Meulebroucke, CEO van Phished.
Doorgaans nestelen de malafide codes zich niet in Word-, Excel– of PowerPoint-documenten. Natuurlijk is daar geen garantie op. Microsoft geeft daarom bestanden eerst altijd weer in een veilige modus, waardoor actieve content nog niet downloadt. Vertrouwt de gebruiker het bestand, dan kan de veilige modus verlaten worden.
Klikken niet altijd doorslaggevend
Naast bestanden zijn ook linkjes naar webpagina’s iets wat regelmatig in een mail opduikt. Op die pagina’s vragen criminelen om gegevens van het slachtoffer. E-mails en sms-berichten werden voor iedereen een belangrijk communicatiemiddel tijdens de werkuren en daarbuiten. Deze overgang lieten cybercriminelen niet zomaar aan zich voorbij gaan. Via nep-uitnodigingen voor videovergaderingen probeerden zij massaal wachtwoorden te verzamelen.
“Ongewenste kalenderuitnodigingen waarbij hackers je agenda volspammen met meeting invites en fraude op basis van QR-codes, zullen ons het komende jaar steeds meer teisteren”, voorspelt Van de Meulebroucke.
Phished analyseerde ook na hoeveel werknemers werkelijk hun gegevens achterlaten op een webpagina. In 2021 werd 23% van alle Belgische werknemers gephisht door het geautomatiseerde Phished-algoritme. Deze berichten leidden naar veilige landingspagina’s met de boodschap dat ze in de val waren gelopen. In sommige gevallen ging Phished nog een stapje verder en werd er ook gevraagd persoonlijke informatie in te vullen. Aan die boodschap gaf 1 op 4 gehoor. 5,75 procent van de geteste werknemers ging na de ontvangst van een phishingmail dus helemaal door tot en met het delen van gevoelige informatie.
Bol.com verloor 750.000 euro aan phishing
Cybercriminelen afstraffen en phishing voor eens en voor altijd de wereld uithelpen, zou voor iedereen het beste zijn. Toch is dat meer een droom dan de werkelijkheid. Daarom is het belangrijk zelf je bedrijf veilig te stellen. Dat kan door e-mailservers toe te vertrouwen aan een beveiligingsbedrijf en in te zetten op trainingen. Volgens het rapport is namelijk de helft van de werknemers vatbaar voor phishing zonder grondige, voorafgaande training.
Ben je nog niet overtuigd dat een training werkelijk belangrijk is? Weet dan dat het je bedrijf heel wat geld kan kosten als criminelen een werknemer in de luren leggen. Bol.com zal bijvoorbeeld 750.000 euro nooit meer terugzien die een werknemer overmaakte aan cybercriminelen, doordat werd gedacht dat een medewerker van Brabantia de mail stuurde.
Herhaaldelijk trainingen organiseren
Trainingen zijn een goed idee voor iedere organisatie. Phished voorspelt dat zowel het aantal phishing-campagnes als het aantal slachtoffers de komende jaren nog verder toeneemt als er nu niet wordt ingegrepen. Door personeel te trainen verkleint de kans op deze negatieve gevolgen. Voor de trainingen geeft Van den Meulebroucke nog een tip mee.
Mensen hebben nood aan doorgedreven herhaalde opleidingen. Alleen zo blijft de boodschap hangen en zullen ze niet alleen phishingmails kunnen herkennen, maar ook hun koelbloedigheid bewaren.
Arnout Van de Meulebroucke, CEO van Phished
“Een eenmalige workshop helpt niet op vlak van phishing. Studies tonen aan dat zelfs een doorgedreven (eenmalige) opleiding na maximaal zes maanden volledig vergeten is. Mensen hebben nood aan doorgedreven herhaalde opleidingen. Alleen zo blijft de boodschap hangen en zullen ze niet alleen phishingmails kunnen herkennen, maar ook hun koelbloedigheid bewaren indien ze toch ingaan op een malafide bericht.”