Phishing assessment, creare la giusta consapevolezza del rischio negli utenti aziendali: best practice

Il phishing assessment rappresenta un ottimo strumento di valutazione e formazione in mano alle aziende per misurare la consapevolezza dell’intera organizzazione sulla minaccia rappresentata dal phishing (che, come confermato anche dal Rapporto Clusit 2019, continua ad essere uno dei vettori di attacco preferiti dai criminal hacker, con un crescita del 104% rispetto al primo semestre dello scorso anno).

Le aziende investono pesantemente in tecnologie e processi per proteggere il loro patrimonio di informazioni. Ciò che viene spesso trascurata è invece la componente umana, le persone che gestiscono ed elaborano tali informazioni.

Spesso non si decide di investire nella formazione in ambito cyber security del personale perché si pensa che “alle persone non possa essere insegnato a comportarsi in modo sicuro sempre” o “gli investimenti in soluzioni di sensibilizzazione sono molto costosi, quindi meglio investire nelle migliori tecnologie di sicurezza che garantiranno la protezione delle nostre informazioni”.

Entrambi questi pensieri stanno chiaramente ignorando il fatto che la maggior parte degli attacchi informatici è indirizzata alle persone delle organizzazioni e non ai sistemi, proprio tramite e-mail di phishing.

Le persone rappresentano una “anello” fondamentale di quella che costituisce la “catena della sicurezza” aziendale. L’azienda è quindi sicura quanto è sicuro il suo più debole anello.

Che cos’è un attacco di phishing?

Il phishing è uno dei metodi di social engineering più comuni e vettori di attacco più utilizzati dagli hacker per distribuire malware, compromettere credenziali, rubare dati sensibili ed eseguire una varietà di altre minacce.

Attraverso il phishing, gli aggressori inviano messaggi di posta elettronica che sembrano legittimi, ma giocheranno sulle emozioni umane per forzare un errore dell’utente. Le vittime di phishing vengono spesso ingannate nell’aprire allegati dannosi nei messaggi, fare clic su collegamenti a siti web dannosi, fornire dati sensibili o credenziali di account direttamente ai criminali.

Cos’è il phishing assessment

Ecco perché i phishing assessment sono un modo efficace non solo per misurare la consapevolezza di un’organizzazione, ma anche per rafforzare gli obiettivi di apprendimento chiave.

Mediante un programma di phishing assessment, infatti, è possibile anche simulare un attacco phishing per far capire agli utenti aziendali, grazie ad un feedback immediato, cosa accade quando cliccano su un collegamento malevolo: un modo molto pratico per consentire loro di imparare cos’è il phishing e su come avrebbero potuto rilevare che si trattava di un attacco.

Esistono numerosi strumenti commerciali ed anche open source per aiutarci ad eseguire una valutazione del rischio e per poter implementare poi determinate azioni, atte a migliorare i nostri comportamenti di ogni giorno.

L’obiettivo finale è comunque quello di migliorare, tramite formazione e test continui, l’efficacia degli utenti a riconoscere i pericoli ed evitarli, abbassando quindi il livello di rischio globale per l’azienda.

A differenza di altre forme di furto di dati, che possono essere protetti dalle politiche di sicurezza aziendale, dall’antivirus e dal firewall, gli attacchi di phishing colpiscono utenti ignari, che sono l’ultima linea di difesa, quando le e-mail passano il filtro della posta.

I phishing assessment (letteralmente: le valutazioni di phishing) condotti attraverso un ambiente realistico ma controllato consentono all’azienda di valutare i rischi, proteggere meglio i dipendenti e le informazioni sensibili.

Come funziona un phishing assessment

Sono una pletora infinita i “vendor” che offrono queste tipologie di servizi ma generalmente si parte da una dashboard in cui si possono:

• creare finte campagne di phishing;
• decidere il target di utenti;
• decidere gli orari del giorno in cui inviare le e-mail;
• scegliere i template da usare (o se ne creano di propri e mirati) e si decide come impostare la “landing page”, in caso di clic (può essere ad esempio istruttiva, spiegando gli indicatori di phishing a cui fare attenzione).

Screenshot di alcuni phishing templates della piattaforma KnowBe4.

Tutto qui? Si, fondamentalmente è tutto qui.

Al termine della finta campagna di phishing i risultati saranno poi pronti per essere analizzati. Sarà possibile capire, rispetto al campione totale, quante e quali persone hanno cliccato sui link o aperto gli allegati, inserito le credenziali in eventuali form e avere quindi una visione completa del livello di rischio per l’azienda, relativamente a queste tipologie di attacchi.

Screenshot di alcuni risultati di un phishing test eseguito tramite la piattaforma KnowBe4.

Ora che abbiamo costruito una baseline, viene la parte importante. Bisogna decidere come affrontare gli step successivi, per impostare un buon percorso formativo per gli utenti e fare in modo che arrivino preparati al test successivo che avverrà, magari dopo qualche mese, in un processo di miglioramento continuo.

Per fare questo, si possono usare piattaforme di e-learning (messe anche a disposizione dagli stessi vendor che erogano i test di phishing), formazione in ambito sicurezza informatica con istruttori on-site, inviare informative e newsletter periodiche ai dipendenti con gli indicatori di phishing a cui fare attenzione, appendere dei suggerimenti in bacheca e via discorrendo: tutto questo con l’obiettivo primario di mantenere sempre alto il focus sull’argomento.

A questo scopo, può tornare molto utile la piattaforma offerta da Cofense su cui sono disponibili per il download, gratuitamente e anche in lingua italiana, una serie di mini-video sulla sicurezza informatica che possono essere usati per una formazione di base.

Questi video sono divisi per argomenti, sono di breve durata (circa 5 minuti ognuno) e contengono anche delle veloci domande/risposte, per cui possiamo considerarli interattivi per l’utente finale.

Screenshot dei mini-video messi a disposizione dalla piattaforma Cofense.

Basta scaricarli e pubblicarli su un proprio server interno o una piattaforma esistente di e-learning, per mettere a disposizione, fin da subito, uno strumento di formazione iniziale per i propri utenti.

Ovviamente, per una buona riuscita del programma, il coinvolgimento del Board e delle Risorse Umane svolge un ruolo fondamentale nel far sì che gli utenti si sentano parte di un progetto più grande, non solo IT, che coinvolge e richiama all’attenzione l’intera organizzazione.

Un punto critico che mi sento di sottolineare è che queste tipologie di test possono anche ritorcersi contro, se non vengono approcciate nella maniera corretta.

Linee guida per un test di phishing assessment

Riportiamo di seguito alcune linee guida per non rischiare di condurre un test di phishing fallimentare:

1. coinvolgere l’alta direzione: serve che il programma sia supportato dall’azienda, affinché raggiunga i risultati desiderati;
2. nessuna vergogna: mai rendere pubblici i risultati della campagna, non è questo l’obiettivo;
3. non dare la colpa: è utile assicurarsi che i messaggi siano positivi e forniscano la giusta mentalità. Occorre concentrarsi sull’apprendimento, non sui problemi che avrebbero causato se fosse stato un vero attacco;
4. ripetere il processo di apprendimento: il cambiamento del comportamento è un processo di adattamento. La formazione è importante ma la valutazione continua è ancora meglio per impostare la giusta mentalità;
5. tempo giusto: è utile rendere il phishing assessment il più breve e conciso possibile. Non renderlo una campagna di un mese;
6. al mattino presto, ma non troppo presto: per raggiungere la maggior parte della popolazione di dipendenti è necessario assicurarsi che effettuino il test in prima persona;
7. diversificare gli attacchi: utilizzando collegamenti, allegati, siti web fasulli che richiedono nome utente / password e richieste di download di applicazioni non autorizzate;
8. utilizzare esempi di vita reale: è meglio colpire con e-mail che i dipendenti potrebbero effettivamente ricevere. Potrebbe dunque essere utile cambiare i livelli di difficoltà del test e inizia da zero. È sbagliato aspettarsi che le persone capiscano esempi avanzati di phishing dal primo giorno;
9. formazione e progressi: per rendere efficace il phishing assessment, i dipendenti devono comprendere che hanno un ruolo fondamentale nella protezione dell’azienda e dei suoi beni;
10. misurare i progressi: potrebbe tornare utile offrire premi a coloro che mostrano grandi prestazioni alla fine dell’anno. Non per forza parliamo di premi economici: mostrare e ringraziare pubblicamente i migliori dipendenti agisce da incentivo ed aiuta la partecipazione attiva.

Considerazioni finali

I numeri ci sono: la valutazione e la formazione stanno aumentando significativamente la consapevolezza dei dipendenti, riducendo le percentuali di clic ed aumentando le segnalazioni di phishing. Tuttavia, se non lo si approccia nel modo giusto, la valutazione e la formazione al phishing possono andare molto male, a causa delle reazioni dei dipendenti.

Lo scopo di un test di phishing è educare i dipendenti in modo che possano individuare ed evitare di cadere nelle trappole delle e-mail di phishing: provare ad incolparli per un errore, senza adeguata formazione, porterebbe l’IT in uno scenario “noi contro di loro” che impedirà di raggiungere gli obiettivi di consapevolezza della sicurezza dei dipendenti.

Fornire formazione è un primo passo importante perché imposta il test stesso come un qualcosa di più ampio, rispetto al solo “cogliere in fallo”.