Phishing
Test het bewustzijn en gedrag van je medewerkers
Dit is geen hulpmiddel voor het simuleren van phishing
Er zijn tal van platforms voor phishing-simulaties. Deze sturen standaardmails naar uw medewerkers, houden bij wie erop klikt en schrijven degenen die dat hebben gedaan in voor een e-learningmodule. Ze zijn goedkoop, leveren een percentage op, en voor sommige organisaties is dat voldoende.
Dat is niet waar het hier om gaat.
CREDS voert geautoriseerde phishingaanvallen uit op uw organisatie; deze zijn ontwikkeld door dezelfde mensen die ook onze red team-opdrachten uitvoeren. De e-mails worden specifiek voor uw organisatie opgesteld en zijn niet afkomstig uit een standaardbibliotheek. De scenario’s zijn gebaseerd op verkenning van uw daadwerkelijke bedrijfsvoering. En wanneer iemand hierin trapt, doen wij wat een echte aanvaller vervolgens zou doen: wij maken er gebruik van.
Het resultaat is geen klikpercentage. Het laat zien tot welke gevolgen een phishing-e-mail in uw omgeving leidt.
Een platform voor het simuleren van phishing
Een phishing-aanval door CREDS
E-mails op basis van sjablonen uit een inhoudsbibliotheek
Scenario’s die speciaal voor uw organisatie zijn opgesteld, op basis van verkenning
Wordt gestopt bij de klik of de inloggegevens
Het dringt verder door in uw lichaam, richting uw edelste delen
Geeft het klikpercentage weer
Geeft aan wat een aanvaller zou kunnen bereiken en of iemand dit heeft opgemerkt
Schrijft de gebruiker in voor e-learning
Geeft de organisatie inzicht in wat de klik daadwerkelijk kost
Alleen per e-mail
Misbruik via e-mail, telefoon, sms, QR, MFA en fysiek geweld
Wat gebeurt er nadat iemand erin is getrapt?
Bij de meeste phishing-oefeningen is een klik het einde van de test. Voor ons is het juist het begin van het interessante gedeelte.
Wanneer een van onze e-mails inloggegevens oplevert, of wanneer iemand onze ‘vriendelijke’ malware uitvoert, gaan wij over naar de volgende fase: wij maken gebruik van wat wij hebben. Wij verifiëren onze identiteit met de inloggegevens. Wij bouwen voort op de voet aan de grond die de malware ons heeft verschaft. Van daaruit doen wij precies wat een aanvaller zou doen: bevoegdheden uitbreiden, ons lateraal verplaatsen en ons richten op de systemen en gegevens waarvan uw organisatie daadwerkelijk afhankelijk is.
Over die ‘kroonjuwelen’ wordt met u afgesproken voordat wij van start gaan. Het doel is niet om te kijken hoever wij in theorie kunnen gaan, maar om een specifieke vraag te beantwoorden: als één persoon in uw organisatie een slechte ochtend heeft, welke risico’s brengt dat dan met zich mee?
Dat is een fundamenteel ander antwoord dan een percentage. Een klikpercentage geeft aan hoeveel mensen zijn misleid. Dit geeft aan wat het kost om misleid te worden.
Dit is ook de reden waarom een phishing-aanval met CREDS niet alleen een test is voor uw medewerkers. Het is een test voor alles wat achteraf de schade had moeten beperken: uw segmentatie, uw bevoegdhedenmodel, uw voorwaardelijke toegang en uw detectie.
Scenario’s die zijn gebaseerd op wat een aanvaller over u te weten zou kunnen komen
Echte phishing die effectief is, is niet algemeen van aard. Het betreft een project dat daadwerkelijk loopt, afkomstig is van een leverancier waarmee u daadwerkelijk zaken doet, of binnenkomt in de week waarin de aangelegenheid waarnaar wordt verwezen daadwerkelijk plaatsvindt.
Elke CREDS-phishingaanval begint met open source-informatie over uw organisatie: wat is er openbaar te achterhalen over uw medewerkers, uw structuur, uw leveranciers, uw technologie en de afspraken in uw agenda? Die verkenning vormt de basis voor zowel de scenario’s die wij opstellen als de individuele e-mails die wij opstellen.
Het gaat om dezelfde OSINT-methode waarmee een red team-aanval wordt ingezet, maar dan op kleinere schaal, en het is het verschil tussen een e-mail die uw medewerkers hebben geleerd te herkennen en een e-mail waarvoor zij geen specifieke reden hebben om te twijfelen.
De reikwijdte van OSINT wordt voorafgaand aan de verkenning met u overeengekomen. Deze kan openbaar zichtbare persoonlijke sociale media omvatten, aangezien een echte aanvaller hiervan gebruik zou maken. Wat er ook onder de reikwijdte valt, wordt gedocumenteerd voordat wij van start gaan; dit is doorgaans wat een ondernemingsraad graag wil zien.
Phishing beperkt zich niet langer alleen tot e-mail
Aanvallers richten zich op de zwakste plekken in de beveiliging, en voor de meeste organisaties is dat niet langer de inbox. Wij beheren de kanalen die daadwerkelijk worden gebruikt om organisaties zoals de uwe aan te vallen.
Phishing via e-mail
Gerichte campagnes die speciaal voor uw organisatie zijn opgesteld, variërend van brede tot op maat gemaakte campagnes.
Spear-phishing
Op maat opgestelde e-mails gericht aan specifieke personen, doorgaans leidinggevenden, financiële medewerkers of IT-beheerders.
Vishing (telefonisch)
Telefoongesprekken waarbij de beller zich voordoet als IT-ondersteuning, een leverancier of een collega. Dit is steevast het kanaal met het hoogste rendement, en tegelijkertijd het kanaal dat door organisaties het minst wordt getest.
Smishing (sms)
Op tekst gebaseerde methoden, die de e-mailbeveiliging volledig omzeilen en rechtstreeks op persoonlijke apparaten terechtkomen.
Phishing via QR-codes
Codes in e-mails, documenten of gedrukt materiaal die het slachtoffer naar een niet-beheerde telefoon leiden die buiten uw controle valt.
MFA: vermoeidheid en phishing via toestemming
Een spervuur aan pushmeldingen en kwaadaardige OAuth-toestemmingsverzoeken: dit zijn de technieken die aanvallers tegenwoordig specifiek gebruiken om meervoudige authenticatie te omzeilen.
Fysieke benaderingen, zoals een persoonlijk bezoek aan uw bedrijfslocatie, zijn mogelijk in het kader van een red team-opdracht, maar niet in het kader van een phishing-opdracht.
Hoe wij uw medewerkers behandelen
Phishing-operaties zorgen ervoor dat organisaties zich ongemakkelijk voelen, en terecht. U geeft ons toestemming om uw collega’s te misleiden en, wanneer dat lukt, hun inloggegevens te gebruiken. Dat vereist duidelijke regels, die moeten worden overeengekomen voordat er ook maar iets begint.
Er wordt geen enkele persoon bij naam genoemd. De resultaten worden in geaggregeerde vorm weergegeven. Wij vermelden hoeveel mensen in een groep hebben deelgenomen, niet wie.
De resultaten worden nooit gebruikt voor disciplinaire doeleinden. Dit wordt voorafgaand aan de opdracht schriftelijk overeengekomen. De oefening is gericht op de organisatie, niet op het individu.
Toegangsgegevens worden beheerd volgens een vastgesteld beleid. Alle verkregen inloggegevens worden gedurende de looptijd van de opdracht veilig opgeslagen, uitsluitend binnen de overeengekomen reikwijdte gebruikt en bij afsluiting vernietigd. Wij laten u weten welke accounts zijn getroffen, zodat u een reset kunt afdwingen.
Bij de uitwerking van dit project is rekening gehouden met uw ondernemingsraad. Wij kunnen de documentatie ter afbakening van de reikwijdte leveren die Nederlandse organisaties doorgaans nodig hebben voor overleg met de ondernemingsraad, en wij zullen u adviseren over wat wel en wat niet geschikt is om te toetsen.
De gegevensverwerking wordt gedocumenteerd. Welke gegevens wij verzamelen, waar deze worden bewaard, wie er toegang toe heeft en hoe lang deze worden bewaard, overeenkomstig GDPR.
Het doel van een phishing-test is om na te gaan of uw organisatie een fout kan opvangen. Als u de persoon die de fout heeft gemaakt als het probleem beschouwt, gaat de hele oefening aan zijn doel voorbij.
Meer dan alleen het klikpercentage
Het klikpercentage is de statistiek die iedereen aanhaalt, maar die het minst bruikbaar is. Het geeft aan hoeveel mensen zijn misleid, niet of uw organisatie hiermee kon omgaan.
Meldingspercentage
Hoeveel mensen hebben de aanval herkend en gemeld? Dit is veruit het nuttigste cijfer op de pagina, omdat het aangeeft of uw meldingscultuur goed functioneert, in plaats van aan te geven welke personen tekort zijn geschoten.
Tijd tot eerste melding
Hoeveel tijd verstreek er tussen de eerste levering en het moment waarop iemand voor het eerst alarm sloeg? Dit bepaalt of een daadwerkelijke aanval zou zijn afgewend.
Percentage ingediende diploma’s
Hoeveel mensen zijn verder gegaan dan het klikken en hebben daadwerkelijk hun inloggegevens ingevoerd?
Bereik na het compromis
Hoe ver we zijn gekomen met wat we hebben verkregen, tot welke systemen we toegang hebben gekregen en hoe dicht we bij uw kroonjuwelen zijn gekomen.
Detectie en reactie
Of uw SOC of beveiligingsinstrumenten nu hebben gedetecteerd dat de inloggegevens werden gebruikt, dat de malware werd uitgevoerd of dat er daarna sprake was van laterale beweging.
De laatste twee zijn de factoren die een phishingplatform u niet kan bieden, en het zijn doorgaans juist deze factoren die bepalend zijn voor wat u vervolgens doet.
Alles wat wij hebben gedaan, en alles wat er is gebeurd
U ontvangt een volledig verslag van de opdracht: de scenario’s die wij hebben opgesteld en de redenen daarvoor, wat er naar wie is verzonden, wat er in elke fase is gebeurd, hoever de fase na de inbreuk is gevorderd en welke aanpassingen wij aanbevelen.
Daarnaast biedt het CREDS-klantportaal u realtime inzicht terwijl de campagne loopt, met alle bijbehorende telemetrie: levering, betrokkenheid, het indienen van inloggegevens, rapportageactiviteiten en de stappen na een inbreuk, en wel op het moment dat deze plaatsvinden in plaats van pas weken later.
Dat is zowel tijdens als na een campagne van belang. Als het aantal meldingen plotseling toeneemt, weet u dat uw mensen aan het werk zijn. Als er zich een belangrijke kans voordoet, weet u dat onmiddellijk en hoeft u daar niet op de afsluitende vergadering pas achter te komen.
- Volledig rapport over de opdracht, inclusief de onderbouwing van het scenario en de bevindingen na de simulatie
- Realtime bevindingen en volledige telemetrie in het klantenportaal gedurende de gehele opdracht
- Onmiddellijke melding van elke ernstige gevaarlijke situatie of blootstelling
- Geaggregeerde resultaten die geschikt zijn voor interne verspreiding, waarbij geen individuele personen worden geïdentificeerd
- Een lijst met aanbevelingen, gerangschikt naar prioriteit, die betrekking heeft op zowel de menselijke als de technische controlemaatregelen die tekortschoten
- Trendrapportage over verschillende campagnes heen, waarbij de betrokkenheid deel uitmaakt van een doorlopend programma
Een test levert u een cijfer op. Een programma geeft u een richting aan.
Een enkele phishing-aanval geeft u inzicht in hoe u er in een bepaalde week voor stond, afgezet tegen een specifieke reeks scenario’s. Het is een nuttig cijfer, maar het is slechts een cijfer.
Wat organisaties eigenlijk moeten weten, is of de situatie verbetert: of het aantal meldingen toeneemt, of de tijd die nodig is om een melding te doen afneemt, of de controles die de vorige keer tekortschoten deze keer wel standhouden, en of de mensen die in maart het slachtoffer werden van een scenario waarbij een leverancier zich voordeed als iemand anders, in september nog steeds in die situatie verkeren.
Wij raden u dan ook aan om de eerste interactie als uitgangspunt te nemen en daarna met tussenpozen campagnes uit te voeren, waarbij u het kanaal, het scenario en de moeilijkheidsgraad varieert, zodat u de veerkracht meet in plaats van de vertrouwdheid met één specifieke e-mail.
Het portaal houdt de trend in alle campagnes bij, zodat het totaalbeeld zich geleidelijk ontwikkelt in plaats van telkens opnieuw te beginnen.
In de praktijk betekent dit dat er na de basismeting elk kwartaal campagnes worden uitgevoerd, die beschikbaar zijn via een doorlopend abonnement in plaats van dat u de omvang ervan telkens opnieuw moet vaststellen.
Training is niet wat wij doen, en dat is bewust zo gekozen
Wij voeren tests uit. Wij organiseren geen bewustmakingsprogramma’s, e-learningplatforms of adviesdiensten op het gebied van gedragsverandering, en wij geven dat liever aan dan dat wij doen alsof dat wel het geval is.
Wat wij wel hebben, zijn partners die hier bedreven in zijn, en wij werken met hen samen wanneer uit een phishing-test blijkt dat uw organisatie behoefte heeft aan training. De test laat zien waar de tekortkomingen daadwerkelijk liggen, de training pakt deze aan, en de volgende campagne laat zien of dit effect heeft gehad.
Indien u al over een bewustmakingsprogramma of -platform beschikt, worden onze bevindingen daarin verwerkt. Indien dat niet het geval is, kunnen wij u in contact brengen met een partner die dit wel aanbiedt.
Vragen over phishing-opdrachten
Is dit een platform voor het simuleren van phishing?
Wat gebeurt er als iemand erin trapt?
Zullen individuele medewerkers in het rapport bij naam worden genoemd?
Wat gebeurt er met de wachtwoorden die u vastlegt?
Moeten wij onze ondernemingsraad hierbij betrekken?
Welke kanalen gebruikt u?
Biedt u achteraf een bewustwordingstraining aan?
Hoe vaak moeten wij dit uitvoeren?
Wat ontvangen wij nu eigenlijk?
In welk opzicht verschilt dit van de phishing die deel uitmaakt van onze red team-opdracht?
Ontdek wat een klik werkelijk waard is
Vertel ons over uw organisatie en waar u zich zorgen over maakt, dan stellen wij een plan van aanpak op, variërend van een eenmalige basiscampagne tot een doorlopend programma.