Terwijl ransomware en cryptojacking tegenwoordig de meeste aandacht krijgen, blijft phishing voor heel wat organisaties een dagelijkse bedreiging. Wat zijn de phishingmails die ons er het vaakst inluizen? Securityspecialist Sophos maakte een overzicht.
Recent onderzoek van Freeform Dynamics in opdracht van Sophos toont aan dat phishing een belangrijk risico vormt op de bedrijfsvloer. 41 procent van de organisaties komt op dagelijkse basis in aanraking met pogingen tot phishing. Met name de boekhouding, administratie en management zijn populaire doelwitten omwille van hun rechtstreekse toegang tot de bankrekeningen van het bedrijf.
Social engineering
Wie denkt dat hij of zij zich nooit zal laten vangen, maakt zichzelf iets wijs. Cybercriminelen worden steeds slimmer en weten hoe ze de menselijke natuur kunnen misbruiken. In plaats van een standaard mail naar duizenden adressen te sturen in de hoop dat iemand toehapt, gaan ze tegenwoordig veel doelgerichter te werk. Via social engineering en andere trucjes worden overtuigende phishingmails gecreëerd, die soms bijzonder moeilijk te herkennen zijn.
Op basis van resultaten uit Sophos Phish Threat, waarmee bedrijven hun werknemers kunnen trainen op het herkennen van phishingaanvallen, heeft de securityspecialist een overzicht gemaakt van de tien meest succesvolle phishingmails uit de tool.
Het (Engelstalige) lijstje ziet er als volgt:
- [JIRA] A task was assigned to you — 38,50%
- Let’s meet next week — 29,10%
- Harassment Awareness Training — 26,01%
- Car lights left on — 24,61%
- eFax message from {CustomerName} – 2 page(s) — 23,55%
- Traffic Citation for {EmailFirstName} {EmailLastName} — 21,95%
- In arrears for driving on toll road — 21,36%
- Suspicious male spotted outside {CustomerName} Building — 20,44%
- PLEASE READ – Annual Employee Survey — 18,55%
- New Email System at {CustomerName} – Please Read — 18,48%
Het percentage duidt op het aantal e-mails dat werd geopend en waarbij de ontvanger op een link heeft geklikt.
Alledaags
Met voorsprong de meest succesvolle phishingmails refereren naar software die binnen het bedrijf wordt gebruikt, zoals bijvoorbeeld de toewijzing van een taak in een toepassing voor projectbeheer.
Ook mails over alledaagse onderwerpen – “Laten we volgende week afspreken”, “Autolichten branden nog” – en implicaties van slecht gedrag – “Opleiding voor intimidatiebewustzijn”, “Verkeersboete voor {Naam} {Voornaam}” – zijn efficiënte wapens voor phishing.
Hoewel we allemaal alert zijn bij aanbiedingen die te mooi klinken om waar te zijn, staat onze phishingradar nog niet op scherp wanneer het om alledaagse werkgerelateerde e-mails gaat. Het blijft daarom belangrijk om bewustzijn te creëren bij werknemers om de organisatie tegen phishing te beschermen.