В 2021 году от успешных фишинговых атак пострадало больше организаций, чем в 2020 году



Корпоративные организации, похоже, еще больше отстают в борьбе с угрозами фишинга, несмотря на повышенное внимание к проблеме и усилия по ее обузданию.

Новое исследование показывает, что в 2021 году больше организаций испытали хотя бы одну успешную фишинговую атаку по электронной почте, чем годом ранее. В прошлом году также было больше оппортунистических и целевых фишинговых атак по сравнению с 2020 годом, а также фишинговых атак с использованием программ-вымогателей и компрометации деловой электронной почты (BEC).

Исследователи из Proofpoint недавно проанализировали данные опроса 600 специалистов в области ИТ и безопасности, а также другого опроса 3500 сотрудников из семи стран, включая США, Великобританию, Францию, Германию и Австралию. Исследователи также проанализировали данные, собранные в результате примерно 100 миллионов смоделированных фишинговых атак и более 15 миллионов электронных писем, которые конечные пользователи клиентов Proofpoint назвали подозрительными.

Исследование показывает, что в 2021 году 83% организаций столкнулись с успешной фишинговой атакой на основе электронной почты, в ходе которой пользователя обманом заставили совершить рискованное действие, например перейти по неверной ссылке, загрузить вредоносное ПО, предоставить учетные данные и выполнить банковский перевод. Это поразительное увеличение на 46% по сравнению с 2020 годом.

Семьдесят восемь процентов организаций подверглись атаке программы-вымогателя, в которой фишинговое электронное письмо было первоначальным вектором заражения. Семьдесят семь процентов сообщили об инциденте BEC, связанном с фишингом, — это на 18 пунктов больше, чем в 2020 году. В целом, на 12% больше организаций сообщили о том, что они стали жертвами неизбирательной или оппортунистической фишинговой атаки, в то время как количество организаций, сообщивших о более целенаправленном фишинге и атаках BEC, увеличилось. 20%.

«Киберпреступники продолжали атаковать людей, а не инфраструктуру, используя методы социальной инженерии, — говорит Гретель Иган, старший специалист по обучению кибербезопасности в Proofpoint. «Злоумышленники воспользовались глобальными новостными циклами и тенденциями, чтобы привлечь внимание тех, на кого они нацелились».

В качестве примера она приводит злоумышленников, использующих приманки, связанные с новыми штаммами COVID-19, популярное шоу Netflix. кальмар игра, и одна кампания, в которой иранский злоумышленник TA456 использовал привлекательную личность по имени Марселла Флорес, чтобы заразить компьютер сотрудника оборонного подрядчика. «И это только верхушка айсберга. Злоумышленники постоянно используют темы, которые получат наибольшее количество кликов», — говорит Иган.

Исследование Proofpoint является еще одним подтверждением того, что несколько других сообщили о серьезности угрозы фишинга для корпоративных организаций. Недавнее исследование, проведенное Ресурсным центром по краже личных данных (ITRC), показывает, что фишинг является одной из основных причин утечки данных во многих организациях в 2021 году. По данным ITRC, 537 из 1613 публично раскрытых нарушений в 2021 году — или — связаны с фишингом, смишингом или BEC. В опросе, проведенном Darkish Studying в прошлом году, 69% респондентов заявили, что их организации подверглись хотя бы одной фишинговой атаке за последние 12 месяцев.

Ускоренный переход к гибридным рабочим средам, вызванный пандемией COVID-19 в 2020 году, сыграл большую роль в увеличении активности фишинга в прошлом году. В 81% организаций, участвовавших в опросе Proofpoint, более половины сотрудников работали дома либо полный, либо неполный рабочий день. Многие из этих работников в значительной степени полагались на инструменты для совместной работы и социальные сети, в том числе общедоступные, предназначенные для потребителей, чтобы оставаться на связи и взаимодействовать со своими коллегами.

По словам Игана, эти тенденции еще больше открыли двери для фишинга, вредоносных программ и других угроз. Во многих кампаниях злоумышленники использовали не только фишинг по электронной почте, но и фишинговые приманки, рассылаемые через сообщения чата, телефонные звонки и прямые сообщения, добавляет Иган.

Тревожный спад
Исследование Proofpoint показывает несколько тревожное снижение осведомленности работников об угрозах фишинга и о том, как на них реагировать. Только 53% респондентов в опросе Proofpoint 2021 года по сравнению с 61% в предыдущем году правильно определили определение фишинга в вопросе с несколькими вариантами ответов; 23% в опросе Proofpoint 2021 года знали, что такое «смишинг», по сравнению с 31% в 2020 году, и только 24% продемонстрировали знание термина «вишинг» по сравнению с 30% год назад. 42% признались, что нажимали на вредоносная ссылка или выполнение какого-либо действия, которое раскрыло их личные данные и учетные данные для входа или привело к загрузке вредоносного ПО в их систему.

Виноваты были не только сотрудники. Хотя более чем в восьми из десяти организаций большинство сотрудников работают вне дома, по крайней мере, на условиях неполного рабочего дня, только 37% из них обучали сотрудников передовым методам безопасной работы из дома. Несколько обнадеживает, однако, то, что многие американские организации (67%) использовали фишинговые тесты, имитирующие трендовые угрозы, по сравнению с 53% в среднем по всему миру, говорит Иган.

Proofpoint отмечает, что по-прежнему уделяется внимание злоупотреблению брендом и законным услугам. Например, в первой половине 2021 года заметно увеличилось количество злоупотреблений инфраструктурами Microsoft и Google, которые использовались для размещения и отправки угроз в средах хранения Microsoft 365, Microsoft Azure, Google Workspace и Firebase, отмечает Иган.

Иган говорит, что специалисты по информационной безопасности и ИТ в целом более позитивно относятся к приверженности сотрудников кибербезопасности, чем сами работники. Между тем сотрудники описывали кибербезопасность как высокий приоритет для себя, но считали ее малоприоритетной для своей организации. «Вот что нас очень тревожит: 35 % опрошенных специалистов в области информационной безопасности и ИТ не отнесли кибербезопасность к числу приоритетных задач своей организации, — говорит Иган.

https://cyberxhack.org/