S podvodnými e-maily se v práci setkáváme skoro každý den. Potvrdil to i průzkum, který jsme provedli společně s Asociací malých a středních podniků a živnostníků ČR. Přesto firmy své zaměstnance na rozpoznávání phishingu většinou nepřipravují.
Čtyři z pěti firem (80 %) už zaznamenaly útok prostřednictvím podvodných e-mailů, kterými se kyberzločinci snaží vylákat hesla nebo jiné citlivé údaje. Phishing tak s velkým odstupem vede žebříček všech typů útoků. Na druhém místě jsou podvodné faktury a falešné žádosti o změnu čísla účtu (37 % firem), třetí příčku obsadil vyděračský software (ransomware) a další malware (29 %).
Útoky přitom nejsou výjimečnou událostí. Téměř polovina firem (46 %) dokonce zaznamenává pokusy o útok skoro každý den nebo nejméně jednou týdně.
Stačí jedno kliknutí
Bezpečnostní technologie se neustále zlepšují, například i využitím umělé inteligence, ale útočníci také přicházejí se stále novými triky. Filtry nevyžádané pošty tak sice dokážou velkou část phishingových zpráv zastavit, ale zdaleka ne všechny. Jakmile se pečlivě vytvořená podvodná zpráva dostane do schránky, rozhoduje už jen člověk. A právě tady se ukazuje slabé místo.
Jen 43 % firem uvádí, že jejich zaměstnanci přeposílají podezřelé e-maily IT oddělení nebo externímu správci k prověření. Třetina (34 %) zprávu prostě smaže a dál ji neřeší. Pětina firem žádný standardní postup nastavený nemá, a tak vše závisí jen na intuici zaměstnance.
Přestože smazání podezřelé zprávy zní jako rozumná reakce, má to jeden háček. IT oddělení se o takovém pokusu o útok nedozví a nemůže varovat další, třeba méně pozorné, kolegy ani zablokovat odesílatele.
Plánujeme, ale neškolíme
Náš průzkum také ukazuje, že zatímco hrozby přicházejí skoro každý den, příprava zaměstnanců na to, jak jim čelit, probíhá v nejlepším případě jen jednou za rok.
Pravidelně, tedy alespoň jednou ročně, školí zaměstnance v kyberbezpečnosti jen 29 % firem. Dalších 14 % proškolí své lidi pouze jednorázově, typicky při nástupu. Taktiky a dovednosti kyberzločinců se přitom nepřetržitě vyvíjejí, takže jednorázové školení samozřejmě nemůže pokrýt stále nové typy útoků.
Nejpočetnější skupina firem (31 %) školení teprve plánuje a čtvrtina firem (26 %) neškolí a ani to nechystá. Dohromady tak 57 % firem své lidi v kyberbezpečnosti vůbec neškolí. Přitom právě na zaměstnance podvodné e-maily míří.
Jak z lidí udělat první linii obrany
Lidský faktor je při ochraně firmy před kyberútoky extrémně důležitý. Technická opatření odvedou velkou část práce, riziko ale nikdy zcela neodstraní. Proto je nezbytné průběžně budovat bezpečnostní kulturu:
- Školte své lidi pravidelně a na praktických případech. Kratší a častější školení s ukázkami skutečných podvodných e-mailů funguje lépe než jednorázová přednáška.
- Nastavte jasný postup hlášení. Každý musí vědět, komu přeposlat podezřelou zprávu. A nikdo nesmí mít strach přiznat, že na odkaz už klikl – čím dřív se to IT dozví, tím menší škody mohou vzniknout.
- Testujte bdělost. Simulované phishingové kampaně ukážou, jak na tom vaši lidé skutečně jsou.
- Ověřujte platby jiným kanálem. Žádost o mimořádnou platbu nebo změnu čísla účtu vždy ověřte telefonicky na známém čísle, ne na kontaktu z e-mailu.
Druhou linií obrany zůstává technika. Antiphishingový filtr zachytí řadu podvodných zpráv dřív, než se dostanou do schránek zaměstnanců. A pokud útočník přesto heslo získá, vícefaktorové ověřování (MFA) zajistí, že mu samo o sobě k přístupu nestačí.
Cloud, který pomáhá hlídat vaši bezpečnost
Právě vícefaktorové ověřování je automatickou součástí služeb AppOn.cloud pro všechny uživatelské účty. Tato cloudová služba nabízí také další prvky kybernetické ochrany na podnikové úrovni včetně nepřetržitého bezpečnostního monitoringu. Chcete vědět, kde má vaše firma slabá místa? Domluvte si nezávaznou konzultaci.