Cyberbrottslingarnas förändrade nätfisketekniker gör det lättare att nå fram till offrens inkorgar.
Nyligen kunde vi på KnowBe4 konstatera att minst 12 procent av alla e-postbaserade IT-säkerhetshot tog sig hela vägen fram till mottagarnas inkorgar utan att stoppas av spamfilter eller andra säkerhetssystem.
Men nya siffror från cybersäkerhetsleverantören Armorblox ”2023 Email Security Threat Report” visar att siffran är mycket högre, beroende på vilken IT-säkerhetslösning som används av företaget, organisationen eller myndigheten.
Av alla nätfiskeattacker (phishing) som utfördes mot företag och organisationer under 2022 använde 78 % sofistikerade tekniker för att kringgå traditionella e-postsäkerhetssystem och nådde mottagarnas inkorgar i 56 % av fallen.
Enligt rapporten kan nätfiskeattacker delas in i fem kategorier:
-
Jelle Wieringa
51 procent av e-postattackerna försökte få reda på mottagarnas användarnamn och lösenord
- 41 procent innehöll hot baserade på social manipulation (social engineering)
- 3 procent var attacker som imiterade VIP-personer i avsändarfält och innehåll
- 3 procent var i form av utpressning
- 2 procent var försök till bedrägeri med löneutbetalningar
Om man tittar närmare på de två vanligaste metoderna börjar man förstå orsaken till att e-postattacker som dessa tar sig förbi säkerhetsfilter.
Nätfiske som är inriktat på att stjäla användarnamn och lösenord använder en ny och sofistikerad metod för att undvika säkerhetsfilter. I korthet går det ut på att med hjälp av CSS-kod lura säkerhetsfiltren genom att webbplatsens bakgrundsbild med företagslogotyp eller liknande på inloggningssidan visas som negativ och därför inte på något sätt är en imitation, medan den verkar helt normal och autentisk för användaren.
När det gäller social manipulation innehåller de enskilda e-postmeddelandena i sig sällan något skadligt innehåll, vilket gör dem svåra att filtrera bort.
Risken för att dessa två typer av nätfiskeattacker ska lyckas är hög, vilket gör det nödvändigt att både ledning och anställda fortlöpande får utbildning och träning i kunskap och medvetenhet om IT-säkerhet, så att de vad de ska se upp för, vilka bedrägeritekniker som används och hur man – även på avstånd – upptäcker ett skadligt e-postmeddelande.
Av Jelle Wieringa, IT-säkerhetsspecialist på IT-utbildningsföretaget KnowBe4
