A tűzfalon és a vírusvédelmen nem kell áttörni, ha a támadó ráveszi az Ön egyik munkatársát, hogy ő maga nyissa ki az ajtót. A social engineering az embert célozza, nem a rendszert – és a támadók pontosan tudják, hogy itt a legkisebb az ellenállás.
Úgy dolgozunk, ahogy a támadók: ugyanazokat a kampányokat futtatjuk le e-mailben, telefonon és SMS-ben, aztán megmutatjuk, hol szakadt el a folyamat, és mit érdemes rajta változtatni. A cél nem a leleplezés, hanem az, hogy a csapata legközelebb felismerje és bejelentse a támadást.
A hatókört, a forgatókönyveket és a jelentés formáját a kampány indulása előtt rögzítjük. Azon kívül, amiben megállapodtunk, semmi nem történik.
Egyeztetjük a vizsgálat célját, és olyan forgatókönyveket írunk, amelyek a cég és az ágazat valós fenyegetéseihez illeszkednek.
A megbeszélt időpontban elindítjuk a kampányt e-mailben, telefonon vagy SMS-ben. Az interakciókat csendben és biztonságosan követjük.
A kampány után részletes jelentést kap. Nemcsak számokat: leírjuk, ki hogyan reagált és miért, mi a tendencia, és hol a legnagyobb a kockázat.
A jelentés konkrét javaslatokat is tartalmaz: mit érdemes módosítani a folyamatokon és a technikai védelmen. Az eredményekre építve biztonságtudatossági oktatást tartunk, amely nem az elméleti tudást bővíti, hanem a szokásokat változtatja meg.
A jelentésből kiderül, hányan nyitották meg a levelet, hányan kattintottak, hányan adták meg a jelszavukat, és hányan jelentették be a támadást. Az adatokat csapatonként bontjuk, így nem egy újabb általános előadás következik, hanem célzott oktatás annak, akinek tényleg szüksége van rá. A következő kampányon pedig már mérhető, változott-e a szokás.
A felkészült csapat a leghatékonyabb védelem a pszichológiai manipuláció ellen. A biztonságtudatossági oktatás nálunk nem előadás arról, mi a phishing. Azokat a leveleket nézzük végig, amelyeket a munkatársak néhány héttel korábban tényleg megkaptak és megnyitottak.
Az oktatáson a résztvevők megtanulják:
Az eredmény nem elméleti tudás, hanem reflex: felismerni a támadást, és bejelenteni, mielőtt kárt okoz.
Ügyfélvélemények
Az aktív szakasz általában 1–3 nap. A teljes projekt – az előkészítéstől a jelentésig – 1–2 hét, attól függően, hány forgatókönyv fut, és hány címzettet érint a kampány.
Évente 2–4 alkalommal. A támadók folyamatosan cserélik a sablonjaikat, a figyelem pedig már néhány héttel az oktatás után csökken. A rendszeres kampányból az is látszik, hogy tart-e a hatás, vagy visszaállt a régi szokás.
A kampány alatt nem – különben nem mérnénk semmit. Utána igen: aki kattintott, rövid tájékoztatót kap arról, hogy ellenőrzött szimuláció volt, és arról, miről lehetett volna felismerni a hamis üzenetet. Azt, hogy a munkatársak mikor és milyen formában értesülnek a vizsgálatról, előre rögzítjük – a HR-rel és az adatvédelemért felelős kollégával együtt.
Nem, ha a kampány nem bűnbakot keres. Nevek nem szerepelnek a jelentésben: az eredményt csapatszinten összesítve adjuk át, és az oktatásba visszük tovább, nem a teljesítményértékelésbe. Aki egyszer belülről látott egy jól előkészített támadást, utána magától jelenti be a következő gyanús levelet.
A tömeges kampányok nagy részét megfogják. A cégre írt levelet nem: abban nincs kártékony melléklet, nincs ismert rossz hírű domain, csak egy hihető kérés egy hihető feladótól. Ezt a rést nem technológiával, hanem gyakorlással lehet szűkíteni.
