Większość pracowników w Wielkiej Brytanii „chętnie igra” z bezpieczeństwem

Jak wynika z 10. rocznego raportu Proofpoint, ponad dwie trzecie pracowników w Wielkiej Brytanii świadomie naraża swoje organizacje na ryzyko, podejmując niepotrzebne i niewłaściwe ryzyko cybernetyczne, narażając swoich pracodawców na naruszenia bezpieczeństwa danych, infekcje złośliwym oprogramowaniem lub oprogramowaniem ransomware, straty finansowe i utratę reputacji. Stan phishingu raport.

Proofpoint stwierdził, iż choć udokumentowana częstość występowania ataki phishingowe spadła – 66% organizacji w Wielkiej Brytanii doświadczyło udanego ataku phishingowego w 2023 r. w porównaniu z 91% w 2022 r. – negatywne konsekwencje są ogromne. Zaobserwowała 30% wzrost liczby zgłoszeń strat finansowych, w tym kar takich jak grzywny regulacyjne, oraz 78% wzrost liczby zgłoszeń dotyczących szkód w reputacji.

„Cyberprzestępcy wiedzą, iż ludzi można łatwo wykorzystać poprzez zaniedbanie, naruszenie tożsamości lub, w niektórych przypadkach, złe zamiary” – powiedział Ryan Kalember, dyrektor ds. strategii w Proofpoint.

„Osoby odgrywają kluczową rolę w poziomie bezpieczeństwa organizacji, a 74% naruszeń przez cały czas koncentruje się na elemencie ludzkim. Choć wspieranie kultury bezpieczeństwa jest ważne, samo szkolenie nie wystarczy. Wiedzieć, co robić, a robić to, to dwie różne rzeczy. Wyzwaniem jest teraz nie tylko świadomość, ale także zmiana zachowania”.

Proofpoint stwierdził, iż jego ustalenia podważają długo utrzymujące się przekonanie, iż osoby dopuszczające się ryzykownych zachowań robią to tylko dlatego, iż brakuje im odpowiedniego poziomu wiedzy na temat bezpieczeństwa cybernetycznego i nie przeszły szkolenia zwiększające świadomość bezpieczeństwa.

Zapytani o tę kwestię specjaliści ds. bezpieczeństwa stwierdzili, iż większość ludzi rozumie, iż bezpieczeństwo cybernetyczne to zbiorowa odpowiedzialność lub, ujmując to inaczej, ludzie wiedzą, iż postępują źle, ale nie pozwalają, aby to ich powstrzymało. Stwierdzono, iż sygnalizuje to niepokojącą rozbieżność między ograniczeniami technologii bezpieczeństwa a edukacją użytkowników.

Z danych zebranych przez Proofpoint wynika, iż ​​skala problemu jest rzeczywiście zatrważająca. Około 70% ankietowanych pracujących dorosłych stwierdziło, iż ponownie wykorzystało lub udostępniło dane uwierzytelniające, kliknęło link od nieznanego nadawcy lub przekazało dane uwierzytelniające niewiarygodnemu źródłu, a 97% z nich zrobiło to, wiedząc, iż jest to niewłaściwe.

Ich motywacje były różne, ale większość osób podejmujących ryzyko zdecydowała się na to, ponieważ było to wygodniejsze (48%), chciała zaoszczędzić czas (40%) i uważała, iż ​​sprawa jest na tyle pilna, iż ​​należy odrzucić ostrożność (22%).

Wracając do wyraźnego rozdźwięku w zakresie zmiany zachowań pomiędzy zespołami cybernetycznymi a zwykłymi pracownikami, choć 81% ankietowanych specjalistów ds. bezpieczeństwa stwierdziło, iż większość pracowników wie, iż bezpieczeństwo leży w ich gestii, 58% ankietowanych pracowników albo nie było pewnych, kto ponosi odpowiedzialność, albo wręcz temu zaprzeczało. odpowiedzialny.

Co więcej, mimo iż praktycznie każdy, kto zrobił coś głupiego, wiedział o nieodłącznym ryzyku – co sugerowałoby, iż szkolenie w zakresie bezpieczeństwa w pewnym stopniu działa – istniały wyraźne rozbieżności pomiędzy tym, co zespoły ds. bezpieczeństwa i użytkownicy uznali za najskuteczniejszy sposób zachęcania do zmiany zachowań.

Obrońcy zwykle wierzyli, iż więcej szkoleń (85%) i bardziej rygorystyczne kontrole (89%) to adekwatne rozwiązanie, ale 94% pracowników stwierdziło, iż byliby bardziej skłonni do adekwatnego postępowania, gdyby kontrole były uproszczone i bardziej przyjazne dla użytkownika.

Krajobraz zagrożeń

W dalszej części raportu przedstawiono przegląd obecnego krajobrazu zagrożeń phishingowych na podstawie danych telemetrycznych firmy Proofpoint, które obejmują 2,8 biliona wiadomości e-mail wysłanych do 230 000 organizacji klientów korzystających z usług firmy Proofpoint oraz 183 miliony symulowanych ataków phishingowych.

Do bardziej niepokojących kwestii ostatnich 12 miesięcy należy gwałtowny wzrost liczby zachorowań kompromis dotyczący poczty biznesowej (BEC) wykorzystujące nowo nabytą moc generatywnej sztucznej inteligencji (GenAI) – chociaż liczba ataków BEC w Wielkiej Brytanii w rzeczywistości spadła o ponad 10%. Proofpoint szacuje, iż w tej chwili powstrzymuje średnio 66 milionów ataków BEC miesięcznie. Nie trzeba dodawać, iż ataki BEC „czerpią korzyści” z GenAI, którego cyberprzestępcy wykorzystują do tworzenia coraz bardziej przekonujących przynęt w celu sfałszowania zaufanych osób w docelowej organizacji, takich jak liderzy finansowi i zasoby ludzkie.

Proofpoint podkreślił także kwitnący „rynek” produktów dostarczanie ataków zorientowanych na telefon Metody (ropuchy). Odbiorcy wydają się one niegroźnymi wiadomościami zawierającymi numer telefonu i pewne błędne informacje, ale jeżeli ofiara oddzwoni w odpowiedzi, zostaje połączona z fałszywym call center, gdzie cyberprzestępcy mogą nakłonić ją do oddania danych uwierzytelniających lub udzielenia zdalnego dostępu ich systemy. Telemetria Proofpoint wykrywa w tej chwili 10 milionów ataków ropuch co miesiąc, a ich szczyt przypada na sierpień 2023 r., kiedy odnotowano 13 milionów incydentów.

W raporcie podkreślono także rosnące wykorzystanie zaawansowanych technik aby ominąć uwierzytelnianie wieloskładnikowe (MSZ). Usługa MFA jest uważana przez społeczność zajmującą się bezpieczeństwem za coś w rodzaju złotego środka zapobiegającego przejęciu kont i stała się standardowym elementem najlepszych praktyk wzmacniających podstawową odporność, ale według Proofpoint możemy teraz zacząć docierać do jej ograniczeń.

W badaniu podkreślono szereg zaobserwowanych ataków wykorzystujących serwery proxy do przechwytywania legalnych tokenów MFA w drodze do użytkowników, umożliwiając atakującym ominięcie dodatkowej warstwy bezpieczeństwa zapewnianej przez kody jednorazowe i dane biometryczne.

Co ciekawe, spora liczba gotowych zestawów do phishingu – takich, jakie można kupić na podziemnych forach dotyczących cyberprzestępczości – zawiera w tej chwili w standardzie funkcje obejścia usługi MFA, co oznacza, iż ​​nawet stosunkowo nieskomplikowani napastnicy mogą na tym skorzystać. Proofpoint podkreślił Framework EvilProxyktóre co miesiąc generuje około miliona zaobserwowanych zagrożeń typu phishing, co stanowi szczególne źródło obaw.