Фишинг атаките продължават да се оказват едно от най-ефективните оръжия в ръцете на киберпрестъпниците – дори когато организациите инвестират сериозни средства в обучения по киберсигурност. Ново мащабно проучване показва, че стандартните тренинги имат минимален ефект върху реалното поведение на служителите.

Осем месеца, десет кампании и 19 500 служители

Изследователи от UC San Diego, University of Chicago и US San Diego Health проведоха осеммесечно наблюдение върху служители в голяма здравна организация в САЩ. По време на периода са проведени десет симулирани фишинг кампании, изпратени до повече от 19 500 души.

Резултатите са тревожни: 56% от служителите са кликнали поне веднъж върху измамна връзка, а близо една четвърт (25.9%) са се подлъгали два или повече пъти. Почти 10% са попаднали в капана поне три пъти, а един служител е кликнал на абсолютно всички фишинг съобщения.

Обученията – почти без ефект

Според учените скорошното преминаване на обучение по киберсигурност няма статистически значим ефект върху вероятността служител да стане жертва на фишинг. Още по-изненадващо е, че потребителите, преминали през няколко статични сесии, са показали повишена вероятност да сгрешат.

Единственият минимален напредък е отчетен при така нареченото “вградено обучение” – когато потребителят бива информиран веднага след като е кликнал върху фалшива връзка. Дори тогава обаче подобрението е едва 1.7%.

Най-успешните фишинг примамки

Сред най-резултатните кампании са били съобщения, свързани с:

• политика за отпуск и болнични – успели да подведат над 30% от получателите;

• промени в дрескод;

• уведомления за глоби от пътна полиция.

Тези „социално близки“ теми се оказват значително по-ефективни от по-очевидните измами.

Проблемът с ангажираността

Дори когато служителите попаднат на симулирана атака и бъдат пренасочени към обучителна страница, над половината прекратяват сесията в рамките на 10 секунди. По-малко от една четвърт преминават изцяло през обучителните материали.

Изводите

Според учените организациите не бива да очакват, че стандартните годишни обучения или вградените тренинги сами по себе си ще доведат до значим спад в успешните фишинг атаки. Необходим е нов подход, който да увеличи ангажираността на потребителите и да изгради по-дълбоко разбиране за риска.