Согласно статистике платформы «RED Security Awareness», до прохождения специализированного обучения 41% персонала не справляется с выявлением мошеннических писем и переходит по фишинговым ссылкам или открывает вредоносные вложения. Каждый третий сотрудник вводит на фишинговых сайтах логины и пароли от корпоративных учетных записей.
Результаты исследования показали, что 41% сотрудников компаний уязвим для фишинга, поскольку они не умеют выявлять признаки вредоносных рассылок и переходят по ссылкам из таких писем либо открывают вложения к ним. Кроме того, 34% из них вводят на поддельных страницах логины и пароли от рабочих аккаунтов. При этом около 13% пользователи настолько уверены в правильности своих действий, что, введя корпоративные учетные данные на стороннем ресурсе и не получив ожидаемой информации, повторяют ввод несколько раз подряд.
По данным центра мониторинга и реагирования на кибератаки «RED Security SOC», использование действующих учетных записей рядовых сотрудников и фишинг — самые популярные у хакеров техники для первоначального проникновения в инфраструктуры компаний-жертв. Исследователи также отмечают, что вредоносные рассылки становятся более качественными и таргетированными, в том числе благодаря использованию атакующими технологий искусственного интеллекта. По данным «RED Security SOC», к сентябрю объем фишинговых писем с признаками применения ИИ вырос на 53% по сравнению с аналогичным периодом прошлого года.
Тренировочные фишинговые рассылки в адрес сотрудников компаний-заказчиков были замаскированы под внутрикорпоративные письма на такие темы, как тестирование нового портала ДМС, опрос об удовлетворенности качеством кофе в офисе, согласование дополнительных скидок в корпоративной бонусной программе и тому подобные. Чаще всего люди доверяли письмам с просьбой оценить качество различных корпоративных бонусов, будь то бесплатный кофе в офисе или медицинское страхование.
Для профилактики инцидентов, связанных с действиями сотрудников, специалисты «RED Security Awareness» советуют регулярно проводить для персонала тренинги по кибербезопасности. Эксперты отмечают, что после первого обучения процент переходов по фишинговым ссылкам снижается минимум в два раза. При этом тестирование и обучение сотрудников основам киберграмотности должно быть системным процессом в компании, поскольку разовые мероприятия не дают долгосрочного эффекта. Кроме того, рекомендуется периодически проводить внутренние встречи с отделом ИБ, где сотрудники могли бы задать специалистам свои вопросы и получить консультации по вопросам цифровой гигиены.