RED Security: 41% сотрудников компаний верят уловкам киберпреступников

Компания RED Security, открытая экосистема ИБ-решений и экспертизы для комплексной защиты бизнеса, проанализировала итоги проектов по повышению киберграмотности сотрудников российских организаций. Согласно статистике платформы RED Security Awareness, до прохождения специализированного обучения 41% персонала не справляется с выявлением мошеннических писем и переходит по фишинговым ссылкам или открывает вредоносные вложения. Каждый третий сотрудник вводит на фишинговых сайтах логины и пароли от корпоративных учетных записей.

Проекты по повышению киберграмотности корпоративных пользователей были реализованы на базе сервиса RED Security Awareness. С его помощью с начала года семи тысячам сотрудников крупных организаций были направлены тренировочные фишинговые рассылки, которые имитировали реальные методы и уловки киберпреступников. При этом действия получателей фиксировались для формирования аналитики о текущем уровне киберграмотности персонала компаний — заказчиков сервиса RED Security Awareness.

Результаты показали, что 41% сотрудников компаний уязвим для фишинга, поскольку они не умеют выявлять признаки вредоносных рассылок и переходят по ссылкам из таких писем либо открывают вложения к ним. Кроме того, 34% из них вводят на поддельных страницах логины и пароли от рабочих аккаунтов. При этом около 13% пользователи настолько уверены в правильности своих действий, что, введя корпоративные учетные данные на стороннем ресурсе и не получив ожидаемой информации, повторяют ввод несколько раз подряд.

В случае реальной фишинговой атаки такие действия сотрудников с высокой вероятностью привели бы в взлому организации. По данным центра мониторинга и реагирования на кибератаки RED Security SOC, использование действующих учетных записей рядовых сотрудников и фишинг — самые популярные у хакеров техники для первоначального проникновения в инфраструктуры компаний-жертв. Исследователи также отмечают, что вредоносные рассылки становятся более качественными и таргетированными, в том числе благодаря использованию атакующими технологий искусственного интеллекта. По данным RED Security SOC, к сентябрю объем фишинговых писем с признаками применения ИИ вырос на 53% по сравнению с аналогичным периодом прошлого года.

Тренировочные фишинговые рассылки в адрес сотрудников компаний-заказчиков были замаскированы под внутрикорпоративные письма на такие темы, как тестирование нового портала ДМС, опрос об удовлетворенности качеством кофе в офисе, согласование дополнительных скидок в корпоративной бонусной программе и тому подобные. Чаще всего люди доверяли письмам с просьбой оценить качество различных корпоративных бонусов, будь то бесплатный кофе в офисе или медицинское страхование.

Для профилактики инцидентов, связанных с действиями сотрудников, специалисты RED Security Awareness советуют регулярно проводить для персонала тренинги по кибербезопасности. Эксперты отмечают, что после первого обучения процент переходов по фишинговым ссылкам снижается минимум в два раза. При этом тестирование и обучение сотрудников основам киберграмотности должно быть системным процессом в компании, поскольку разовые мероприятия не дают долгосрочного эффекта. Кроме того, рекомендуется периодически проводить внутренние встречи с отделом ИБ, где сотрудники могли бы задать специалистам свои вопросы и получить консультации по вопросам цифровой гигиены.

RED Security Awareness — автоматизированный сервис повышения киберграмотности сотрудников компаний. Сервис включает комплекс теоретических курсов по основным темам киберграмотности и практические тренировки навыков безопасности при работе с электронной почтой. Теория представлена 15 онлайн-курсами для рядовых пользователей и ИТ-специалистов, в конце каждого курса пользователь проходит тестирование.