Objetivo de la campaña contra el phishing

El objetivo realmente depende de qué compromiso entre eficiencia / productividad y seguridad está dispuesto a realizar.

Detener el phising general (el correo masivo, mal escrito, tipo genérico) no es imposible, y se puede lograr sin demasiado sacrificio, a través de la capacitación adecuada de los empleados. Sin embargo, es muy difícil detener el phising altamente dirigido y de grado profesional, ya que puede parecer provenir de (o ser de) cuentas de correo electrónico legítimas, estar bien escrito y ser muy relevante para la persona que lo recibe. Yo diría que detener este tipo de ataque es casi imposible para cualquier organización que se basa en la interacción con el mundo exterior.

Recientemente hubo algunos ejemplos de estos ataques (contra personas que probablemente tienen capacitación de empleados):

• enlace
• enlace

Por supuesto, capacitar a los empleados para que exhiban un comportamiento "apropiado" requiere la organización interna adecuada para apoyarlo. No tiene mucho sentido decirles a los empleados que no hagan algo que realmente se les exigirá (por ejemplo, hacer clic en los enlaces para cambiar sus detalles de usuario, etc.).

En primer lugar, la persona promedio puede ser muy crítica con cualquier correo electrónico recibido.

• ¿El correo electrónico utiliza un inglés bien construido?
• ¿Este correo electrónico es algo que pidió o esperaba?
• ¿Un correo electrónico que pretende ser de PayPal o su banco le pedirá que siga un enlace a wallyswatersking.com/wp-content/acdasdc.php? Tenga en cuenta que los enlaces que parecen ir a ciertos lugares pueden no hacerlo (a menudo se pueden detectar al pasar el mouse sobre el enlace o al examinar el código fuente del correo electrónico).
• Si un correo electrónico tiene un archivo adjunto, ¿es de alguien que usted conoce? Si no es así, probablemente sea una muy mala idea abrirlo.

Las soluciones técnicas para mitigar estos problemas pueden incluir

• AV actualizado (aunque esto probablemente no sea efectivo en ataques dirigidos).
• Sandboxing de aplicaciones.
• Usar un proveedor de correo electrónico que trabaje activamente contra el phishing y el spam (como Google o Microsoft).

Más sobre phishing aquí

• enlace
• enlace

En un entorno corporativo, el objetivo de los ejercicios de phishing puede incluir cualquiera de los siguientes

• ¿El usuario hizo clic en el enlace sospechoso? En caso afirmativo, ¿por qué no pudo determinar su falsificación? ¿Es necesario que el usuario los capacite o mejores filtros o tecnología de spam?
• ¿Informó el usuario el correo electrónico sospechoso a TI o a través de otros métodos proporcionados (la organización debería estar realizando un seguimiento de los intentos repetidos para ajustar los filtros de spam, ver quién los está dirigiendo, etc.)?
• ¿El usuario abrió o ejecutó algún archivo sospechoso en el correo electrónico?
• ¿El usuario violó alguna política corporativa específica (por ejemplo, todos los archivos también se transfieren a través de SharePoint, no se usan adjuntos)?
• ¿El usuario reenvió los correos electrónicos de suplantación de identidad a otras personas si se lo indicaron y cómo respondieron o informaron esas personas (si el correo electrónico decía: "envíe un mensaje de correo electrónico a su supervisor para su aprobación")?

Básicamente, desea determinar qué controles deben agregarse o mejorarse para reducir el éxito del phishing. Además, si los usuarios saben que se está realizando una prueba de suplantación de identidad (phishing) o que se enteran de ello más adelante, serán más cautelosos durante un período de tiempo debido a los temores de ser castigados o herir a la organización.

Has hecho la pregunta importante. Además de analizar el correo electrónico en busca de marcadores de phishing típicos, si el destinatario no está seguro, ¿cuál es el comportamiento adecuado?

Los empleados deben tener una segunda línea de defensa, que podría ser una bandeja de entrada de "revisión de correo electrónico". Haga que los empleados envíen correos electrónicos "falsos" a un repositorio central donde el personal de TI puede revisar el correo electrónico desde una perspectiva de terceros. El beneficio de este enfoque es que también sirve como un servicio de "informes de phishing".

Los empleados deben estar capacitados para analizar correos electrónicos, pero también deben tener alguna copia de seguridad para ayudarlos cuando lo necesiten. Un simple reenvío a un destino '[email protected]' es fácil de hacer, fácil de entrenar y cubre los informes de phishing y la revisión técnica, todo de una vez.