Phishing-Simulationen
Testen Sie das Bewusstsein und Verhalten Ihrer Mitarbeiter
Dies ist kein Tool zur Simulation von Phishing-Angriffen
Es gibt zahlreiche Plattformen für Phishing-Simulationen. Diese versenden vorgefertigte E-Mails an Ihre Mitarbeiter, erfassen, wer darauf klickt, und melden diejenigen, die darauf geklickt haben, für ein E-Learning-Modul an. Sie sind kostengünstig, liefern eine prozentuale Erfolgsquote, und für manche Organisationen reicht das aus.
Darum geht es hier nicht.
CREDS führt autorisierte Phishing-Angriffe gegen Ihr Unternehmen durch, die von denselben Personen entwickelt wurden, die auch unsere red team-Maßnahmen durchführen. Die E-Mails werden speziell für Ihr Unternehmen verfasst und nicht aus einer Vorlagebibliothek übernommen. Die Szenarien basieren auf der Erkundung Ihres tatsächlichen Geschäftsbetriebs. Und wenn jemand darauf hereinfällt, tun wir das, was ein echter Angreifer als Nächstes tun würde: Wir nutzen dies aus.
Das Ergebnis ist keine Klickrate. Es zeigt vielmehr, wozu eine Phishing-E-Mail in Ihrer Umgebung führt.
Eine Plattform zur Simulation von Phishing-Angriffen
Ein Phishing-Vorfall mit dem Namen „CREDS“
E-Mail-Vorlagen aus einer Inhaltsbibliothek
Für Ihre Organisation verfasste Szenarien, die auf Erkundungsergebnissen basieren
Wird durch einen Klick oder die Eingabe der Anmeldedaten beendet
Setzt sich in Ihrem Körper fort und führt zu Ihren Kronjuwelen
Gibt den Klickanteil an
Gibt Auskunft darüber, worauf ein Angreifer Zugriff hätte und ob dies jemand bemerkt hat
Registriert den Nutzer für das E-Learning
Zeigt dem Unternehmen, was der Klick tatsächlich kostet
Nur per E-Mail
E-Mail, Telefon, SMS, QR, MFA – Missbrauch und körperliche Gewalt
Was geschieht, wenn jemand darauf hereinfällt?
Bei den meisten Phishing-Übungen ist ein Klick das Ende des Tests. Für uns ist er der Beginn des wirklich interessanten Teils.
Wenn wir durch eine unserer E-Mails Zugangsdaten erhalten oder wenn jemand unsere „freundliche“ Malware ausführt, gehen wir zur nächsten Phase über: Wir nutzen das, was wir haben. Wir authentifizieren uns mit den Anmeldedaten. Wir nutzen den Zugangspunkt, den uns die Malware verschafft hat. Von dort aus tun wir genau das, was ein Angreifer tun würde: Wir erweitern unsere Berechtigungen, bewegen uns lateral und arbeiten auf die Systeme und Daten zu, auf die Ihr Unternehmen tatsächlich angewiesen ist.
Diese „Kronjuwelen“ werden vorab mit Ihnen abgestimmt, bevor wir beginnen. Das Ziel besteht nicht darin, zu prüfen, wie weit wir in der Theorie gehen können, sondern eine konkrete Frage zu beantworten: Wenn eine Person in Ihrem Unternehmen einen schlechten Morgen hat, welche Risiken entstehen dadurch?
Das ist eine Antwort, die sich grundlegend von einem Prozentsatz unterscheidet. Eine Klickrate gibt an, wie viele Personen getäuscht wurden. Hier erfahren Sie, was es kostet, getäuscht zu werden.
Aus diesem Grund ist ein Phishing-Angriff mit CREDS nicht nur eine Bewährungsprobe für Ihre Mitarbeiter. Es ist eine Bewährungsprobe für alle Maßnahmen, die im Nachhinein den Schaden begrenzen sollten: Ihre Segmentierung, Ihr Berechtigungsmodell, Ihr bedingter Zugriff und Ihre Erkennung.
Szenarien, die darauf basieren, was ein Angreifer über Sie in Erfahrung bringen könnte
Echtes Phishing, das funktioniert, ist nicht allgemein gehalten. Es bezieht sich auf ein Projekt, das tatsächlich läuft, stammt von einem Lieferanten, den Sie tatsächlich nutzen, oder trifft in der Woche ein, in der das Ereignis, auf das es sich bezieht, tatsächlich stattfindet.
Jede Phishing-Aktion von CREDS beginnt mit der Auswertung öffentlich zugänglicher Informationen über Ihr Unternehmen: Was ist öffentlich über Ihre Mitarbeiter, Ihre Unternehmensstruktur, Ihre Lieferanten, Ihre Technologie und die Termine in Ihrem Kalender zu erfahren? Diese Erkundung fließt sowohl in die von uns entwickelten Szenarien als auch in die einzelnen E-Mails ein, die wir verfassen.
Es handelt sich um dieselbe Vorgehensweise wie bei „OSINT“, mit der ein „red team“-Vorgang eingeleitet wird, nur in kleinerem Maßstab – und genau darin liegt der Unterschied zwischen einer E-Mail, auf deren Erkennung Ihre Mitarbeiter geschult wurden, und einer, an der sie keinen besonderen Grund haben, zu zweifeln.
Der Umfang (OSINT) wird vor Beginn der Erkundung mit Ihnen abgestimmt. Er kann öffentlich einsehbare persönliche Social-Media-Profile umfassen, da ein echter Angreifer diese nutzen würde. Der Umfang wird vor Beginn dokumentiert, was in der Regel den Erwartungen des Betriebsrats entspricht.
Phishing beschränkt sich längst nicht mehr nur auf E-Mails
Angreifer nutzen die Schwachstellen in der Verteidigung aus, und für die meisten Unternehmen ist dies nicht mehr der Posteingang. Wir überwachen die Kanäle, die tatsächlich gegen Unternehmen wie das Ihre genutzt werden.
E-Mail-Phishing
Maßgeschneiderte Kampagnen, die speziell für Ihre Organisation konzipiert wurden – von breit angelegt bis hin zu individuell gestaltet.
Spear-Phishing
Individuell recherchierte E-Mails, die sich an bestimmte Personen richten, in der Regel an Führungskräfte, Finanz- oder IT-Verantwortliche.
Vishing (telefonisch)
Telefonanrufe, bei denen sich der Anrufer als IT-Supportmitarbeiter, Lieferant oder Kollege ausgibt. Dies ist durchweg der Kanal mit der höchsten Erfolgsquote und zugleich derjenige, den Unternehmen am seltensten testen.
Smishing (SMS)
Textbasierte Ansätze, die die E-Mail-Sicherheit vollständig umgehen und direkt auf privaten Endgeräten landen.
Phishing über QR-Codes
Codes in E-Mails, Dokumenten oder Drucksachen, die das Opfer dazu veranlassen, ein nicht verwaltetes Mobiltelefon zu nutzen, das sich Ihrer Kontrolle entzieht.
MFA – Phishing unter Ausnutzung von Ermüdung und Einwilligung
Eine Flut von Push-Benachrichtigungen und böswillige OAuth-Einwilligungsanfragen – das sind die Techniken, die Angreifer mittlerweile gezielt einsetzen, um die Multi-Faktor-Authentifizierung zu umgehen.
Im Rahmen eines red team-Auftrags stehen physische Maßnahmen, wie beispielsweise ein persönlicher Besuch in Ihren Räumlichkeiten, zur Verfügung, im Gegensatz zu einem Phishing-Auftrag.
Wie wir Ihre Mitarbeiter behandeln
Phishing-Maßnahmen bereiten Unternehmen Unbehagen, und das zu Recht. Sie ermächtigen uns, Ihre Kollegen zu täuschen und – sofern dies gelingt – deren Zugangsdaten zu verwenden. Dies erfordert klare Regeln, die vereinbart werden müssen, bevor irgendetwas beginnt.
Es wird keine Person namentlich genannt. Die Ergebnisse werden in zusammengefasster Form dargestellt. Wir geben an, wie viele Personen einer Gruppe sich beteiligt haben, nicht jedoch, um wen es sich dabei handelt.
Die Ergebnisse werden niemals zu Disziplinarzwecken herangezogen. Dies wird vor Beginn des Auftrags schriftlich vereinbart. Die Untersuchung dient der Bewertung der Organisation, nicht der einzelnen Person.
Die Zugangsdaten werden gemäß einer festgelegten Richtlinie verwaltet. Alle erfassten Anmeldedaten werden für die Dauer des Auftrags sicher gespeichert, ausschließlich im vereinbarten Umfang verwendet und nach Abschluss des Auftrags vernichtet. Wir teilen Ihnen mit, welche Konten betroffen waren, damit Sie eine Zurücksetzung erzwingen können.
Die Zusammenarbeit wurde unter Berücksichtigung Ihres Betriebsrats konzipiert. Wir können Ihnen die Unterlagen zur Festlegung des Untersuchungsumfangs zur Verfügung stellen, die niederländische Organisationen in der Regel für die Konsultation des Betriebsrats benötigen, und beraten Sie darüber, was für eine Prüfung geeignet ist und was nicht.
Der Umgang mit Daten wird dokumentiert. Welche Daten wir erheben, wo diese gespeichert werden, wer Zugriff darauf hat und wie lange sie aufbewahrt werden – gemäß GDPR.
Der Sinn eines Phishing-Tests besteht darin, herauszufinden, ob Ihr Unternehmen einen Fehler verkraften kann. Die Person, die den Fehler begangen hat, als das Problem zu betrachten, macht den Sinn der Übung zunichte.
Über die Klickrate hinaus
Die Klickrate ist die Kennzahl, die jeder zitiert, und zugleich die am wenigsten aussagekräftige. Sie gibt Auskunft darüber, wie viele Menschen getäuscht wurden, nicht aber darüber, ob Ihr Unternehmen damit zurechtkommen könnte.
Meldungsquote
Wie viele Personen haben den Angriff erkannt und gemeldet? Dies ist die wichtigste Kennzahl auf dieser Seite, da sie Aufschluss darüber gibt, ob Ihre Meldekultur funktioniert, und nicht darüber, welche Einzelpersonen versagt haben.
Zeit bis zur ersten Meldung
Wie viel Zeit verging zwischen der ersten Lieferung und dem ersten Alarm? Dies entscheidet darüber, ob ein tatsächlicher Angriff hätte eingedämmt werden können.
Quote der eingereichten Qualifikationsnachweise
Wie viele haben den Klick-Schritt hinter sich gebracht und tatsächlich ihre Zugangsdaten eingegeben?
Reichweite nach dem Kompromiss
Wie weit wir mit dem, was wir erlangt haben, gekommen sind, auf welche Systeme wir Zugriff hatten und wie nahe wir Ihren Kronjuwelen gekommen sind.
Erkennung und Reaktion
Unabhängig davon, ob Ihr SOC oder Ihr Sicherheitswerkzeug die Verwendung der Anmeldedaten, die Ausführung der Malware oder die anschließende laterale Bewegung erkannt hat.
Die letzten beiden sind diejenigen, die Ihnen eine Phishing-Plattform nicht liefern kann, und sie sind in der Regel ausschlaggebend dafür, wie Sie als Nächstes vorgehen.
Alles, was wir getan haben, und alles, was geschehen ist
Sie erhalten einen umfassenden Bericht über den Auftrag: die von uns entwickelten Szenarien und deren Begründung, welche Informationen an wen gesendet wurden, was in den einzelnen Phasen geschah, wie weit die Phase nach dem Sicherheitsvorfall fortgeschritten ist und welche Änderungen wir empfehlen.
Darüber hinaus bietet Ihnen das CREDS-Kundenportal während der gesamten Dauer der Aktion Echtzeit-Einblicke, gestützt auf umfassende Telemetriedaten: Zustellung, Interaktion, Übermittlung von Anmeldedaten, Berichtsaktivitäten sowie die Maßnahmen nach einem Sicherheitsvorfall – und zwar in Echtzeit und nicht erst Wochen später.
Das ist sowohl während einer Kampagne als auch danach von Bedeutung. Wenn die Meldeaktivitäten sprunghaft ansteigen, wissen Sie, dass Ihre Mitarbeiter im Einsatz sind. Wenn sich eine vielversprechende Gelegenheit ergibt, erfahren Sie dies sofort und müssen nicht erst bis zur Abschlussbesprechung warten.
- Vollständiger Bericht über den Auftrag, einschließlich der Begründung des Szenarios und der Ergebnisse nach dem Kompromittierungstest
- Echtzeit-Ergebnisse und vollständige Telemetriedaten im Kundenportal während der gesamten Projektdauer
- Unverzügliche Meldung jedes schwerwiegenden Vorfalls oder jeder Gefährdung
- Aggregierte Ergebnisse, die für die interne Weitergabe geeignet sind, ohne dass einzelne Personen identifiziert werden
- Eine nach Priorität geordnete Liste von Empfehlungen, die sowohl die personellen als auch die technischen Kontrollmaßnahmen umfasst, die versagt haben
- Trendberichte über verschiedene Kampagnen hinweg, bei denen die Interaktion Teil eines laufenden Programms ist
Ein Test liefert Ihnen eine Zahl. Ein Programm gibt Ihnen eine Richtung vor.
Ein einzelner Phishing-Vorfall gibt Aufschluss darüber, wie es um Ihre Sicherheit in einer bestimmten Woche im Hinblick auf bestimmte Szenarien bestellt war. Es handelt sich um eine nützliche Zahl – und eben nur um eine Zahl.
Was Unternehmen tatsächlich wissen müssen, ist, ob sich die Lage verbessert: ob die Zahl der Meldungen steigt, ob die Zeit bis zur Meldung sinkt, ob die Kontrollmechanismen, die beim letzten Mal versagt haben, diesmal greifen, und ob die Personen, die im März Opfer eines Betrugs durch einen sich als Lieferant ausgebenden Angreifer wurden, im September noch immer davon betroffen sind.
Wir empfehlen Ihnen daher, die erste Interaktion als Ausgangsbasis zu betrachten und anschließend in regelmäßigen Abständen Kampagnen durchzuführen, wobei Sie den Kanal, das Szenario und den Schwierigkeitsgrad variieren sollten, damit Sie die Belastbarkeit messen und nicht die Vertrautheit mit einer bestimmten E-Mail.
Das Portal führt den Trend über alle Kampagnen hinweg fort, sodass sich das Gesamtbild nach und nach entwickelt, anstatt jedes Mal neu zu beginnen.
In der Praxis bedeutet dies vierteljährliche Kampagnen nach der Basiserhebung, die im Rahmen eines laufenden Abonnements verfügbar sind und nicht jedes Mal neu festgelegt werden müssen.
Schulungen gehören nicht zu unserem Tätigkeitsbereich, und das ist bewusst so gewählt.
Wir führen Tests durch. Wir bieten keine Sensibilisierungsprogramme, E-Learning-Plattformen oder Beratung zur Verhaltensänderung an, und wir sagen dies lieber offen, anstatt so zu tun, als wäre es anders.
Wir verfügen jedoch über Partner, die dies gut beherrschen, und wir arbeiten mit ihnen zusammen, wenn ein Phishing-Test ergibt, dass Ihr Unternehmen Schulungen benötigt. Die Tests zeigen Ihnen, wo tatsächlich Lücken bestehen, die Schulungen beheben diese, und die nächste Kampagne zeigt Ihnen, ob die Maßnahmen erfolgreich waren.
Sollten Sie bereits über ein Sensibilisierungsprogramm oder eine entsprechende Plattform verfügen, fließen unsere Erkenntnisse dort ein. Falls dies nicht der Fall ist, können wir Ihnen einen Partner vermitteln, der über entsprechende Lösungen verfügt.
Fragen zu Phishing-Maßnahmen
Handelt es sich hierbei um eine Plattform zur Simulation von Phishing-Angriffen?
Was geschieht, wenn jemand darauf hereinfällt?
Werden in dem Bericht einzelne Mitarbeiter namentlich genannt?
Was geschieht mit den von Ihnen erfassten Passwörtern?
Müssen wir unseren Betriebsrat einbeziehen?
Welche Kanäle nutzen Sie?
Bieten Sie im Anschluss daran Sensibilisierungsschulungen an?
Wie oft sollten wir dies durchführen?
Was erhalten wir eigentlich?
Inwiefern unterscheidet sich dies von dem Phishing, das im Rahmen unseres red team-Auftrags vorgesehen ist?
Erfahren Sie, was ein Klick tatsächlich wert ist
Erzählen Sie uns von Ihrer Organisation und Ihren Anliegen, und wir werden den Umfang einer Zusammenarbeit festlegen – von einer einmaligen Basiskampagne bis hin zu einem fortlaufenden Programm.