Около половины нижегородцев подвержены риску стать жертвами фишинга

Компания RED Security проанализировала итоги проектов по повышению киберграмотности сотрудников российских организаций.

Результаты показали, что 41% сотрудников компаний уязвим для фишинга, поскольку они не умеют выявлять признаки вредоносных рассылок и переходят по ссылкам из таких писем либо открывают вложения к ним. Кроме того, 34% из них вводят на поддельных страницах логины и пароли от рабочих аккаунтов. При этом около 13% пользователи настолько уверены в правильности своих действий, что, введя корпоративные учетные данные на стороннем ресурсе и не получив ожидаемой информации, повторяют ввод несколько раз подряд.

В случае реальной фишинговой атаки такие действия сотрудников с высокой вероятностью привели бы в взлому организации. По данным центра мониторинга и реагирования на кибератаки RED Security SOC, использование действующих учетных записей рядовых сотрудников и фишинг – самые популярные у хакеров техники для первоначального проникновения в инфраструктуры компаний-жертв. Исследователи также отмечают, что вредоносные рассылки становятся более качественными и таргетированными, в том числе благодаря использованию атакующими технологий искусственного интеллекта. К сентябрю объем фишинговых писем с признаками применения ИИ вырос на 53% по сравнению с аналогичным периодом прошлого года.

Незнание сотрудниками азов кибербезопасности – прямая угроза бизнесу их работодателей. При этом мы видим, что средний уровень киберграмотности россиян даже немного снижается год к году: в первом квартале прошлого года доля сотрудников, вводивших логины и пароли от рабочих учетных записей, составляла 28%, а сейчас – уже 34%. Это ставит перед компаниями задачу по формированию системного подхода к обучению персонала, – считает Артем Мелехин, руководитель направления по повышения киберграмотности корпоративных пользователей RED Security Awareness компании RED Security.

Тренировочные фишинговые рассылки в адрес сотрудников компаний-заказчиков были замаскированы под внутрикорпоративные письма на такие темы, как тестирование нового портала ДМС, опрос об удовлетворенности качеством кофе в офисе, согласование дополнительных скидок в корпоративной бонусной программе и тому подобные. Чаще всего люди доверяли письмам с просьбой оценить качество различных корпоративных бонусов, будь то бесплатный кофе в офисе или медицинское страхование.

Для профилактики инцидентов, связанных с действиями сотрудников, специалисты советуют регулярно проводить для персонала тренинги по кибербезопасности. Эксперты отмечают, что после первого обучения процент переходов по фишинговым ссылкам снижается минимум в два раза. При этом тестирование и обучение сотрудников основам киберграмотности должно быть системным процессом в компании, поскольку разовые мероприятия не дают долгосрочного эффекта. Кроме того, рекомендуется периодически проводить внутренние встречи с отделом ИБ, где сотрудники могли бы задать специалистам свои вопросы и получить консультации по вопросам цифровой гигиены.