testy phishingowe

Testy phishingowe to kontrolowana, nieszkodliwa kampania fałszywych wiadomości wysyłanych do własnych pracowników, która ma zmierzyć, jak organizacja radzi sobie z phishingiem, i wskazać, kto potrzebuje szkolenia. NIST w wytycznych o programach szkoleniowych opisuje taki test jako ćwiczenie, w którym do użytkowników trafia „podchwytliwy” e-mail, by sprawdzić, czy rozpoznają próbę phishingu, czy dadzą się nakłonić do kliknięcia linku albo otwarcia zainfekowanego załącznika ^[1]. Microsoft nazywa symulację kampanią dostarczającą realistyczne, ale nieszkodliwe wiadomości phishingowe ^[3].

Jak działa

Test przebiega jak prawdziwy atak, tylko bez szkodliwego ładunku. Według dokumentacji Microsoft podstawowe elementy symulacji to: kto dostaje wiadomość i kiedy, jakie szkolenie dostaje zależnie od reakcji, jaki jest ładunek (link lub załącznik) i treść wiadomości, na przykład o dostarczonej paczce albo problemie z kontem, oraz technika socjotechniki ^[3]. Po wysyłce organizacja sprawdza, kto wiadomość usunął, kto ją zgłosił, kto otworzył ładunek i kto wpisał dane logowania ^[3].

Wyniki służą do planowania kolejnej rundy, więc test ma naturę cyklu, pokazanego na schemacie poniżej.

RYS. 1Cykl testów phishingowych

NIST zaleca zacząć od ustalenia obecnego odsetka kliknięć dla grup użytkowników lub ról, by ocenić, czy potrzebne jest szkolenie ukierunkowane ^[1]. Ćwiczenia mogą też celować w konkretne role, takie jak kierownictwo albo administratorzy ^[1].

Odmiany

Symulacja może naśladować różne techniki ataku. Microsoft, który dobrał je na podstawie katalogu MITRE ATT&CK, wymienia między innymi te pokazane w tabeli ^[3].

Link w symulacji może mieć postać adresu URL albo kodu QR ^[3], co odpowiada atakom typu quishing. NIST wymienia wśród ćwiczeń praktycznych symulacje phishingu, smishingu i vishingu ^[1], czyli także smishing i vishing. Kampania skierowana do wybranych osób, z treścią dopasowaną do ich pracy, odpowiada z kolei spear phishingowi.

W WordPressie

Strona na WordPressie jest dobrym materiałem na scenariusz testu, bo jej administratorzy dostają prawdziwe wiadomości podszywające się pod WordPressa. Singapurska agencja CSA ostrzegała 5 grudnia 2023 roku przed kampanią, w której administratorzy WordPressa dostawali e-maile o rzekomej luce umożliwiającej zdalne wykonanie kodu, oznaczonej zmyślonym numerem CVE-2023-45124 ^[6]. Wiadomość namawiała do pobrania wtyczki z „poprawką”, która w rzeczywistości instalowała tylną furtkę ^[6]. Wśród wskaźników CSA wymieniła ukrytego administratora o nazwie wpsecuritypatch ^[6], czyli nieautoryzowane konto administratora.

Scenariusz oparty na takiej kampanii sprawdza, czy osoby z dostępem do panelu wiedzą, że poprawki instaluje się przez aktualizacje w panelu, a nie z linku w e-mailu. Warto też testować fałszywe powiadomienia o wygasającej domenie, hostingu albo certyfikacie, bo wyłudzają dostęp do kont, które kontrolują stronę.

Znaczenie

Testy phishingowe to pomiar, nie kara. NIST zwraca uwagę, że niski odsetek kliknięć analizowany bez zrozumienia trudności wiadomości może dawać fałszywe poczucie bezpieczeństwa ^[2]. Dlatego opracował metodę Phish Scale, która ocenia, czy dana wiadomość jest dla konkretnej grupy łatwiejsza, czy trudniejsza do rozpoznania, na podstawie wskazówek w treści i dopasowania scenariusza do odbiorców ^[2]. Microsoft z tego samego powodu podaje przewidywany odsetek ofiar dla każdego ładunku: wiadomość zbyt bliska ideału oszuka prawie wszystkich, a zbyt podejrzana nikogo ^[3].

Wytyczne NIST wymieniają wśród mierników programu szkoleń liczbę osób, które otrzymały testowy e-mail phishingowy i prawidłowo go zgłosiły ^[1]. Zgłoszenie jest ważniejszym sygnałem niż samo niekliknięcie, bo pozwala zespołowi bezpieczeństwa zareagować na prawdziwy atak.

Obowiązki prawne

Dyrektywa NIS2 wymienia wśród obowiązkowych środków zarządzania ryzykiem „podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa” (art. 21 ust. 2 lit. g) ^[4]. W motywie 89 wskazuje, że podmioty kluczowe i ważne powinny organizować szkolenia dla pracowników i szerzyć wiedzę na temat cyberzagrożeń, phishingu i technik inżynierii społecznej ^[4]. Członkowie organów zarządzających mają obowiązek odbywać regularne szkolenia z rozpoznawania ryzyka ^[4]. Sekurak w zestawieniu narzędzi do spełnienia art. 21 przypisał testy phishingowe, obok platformy e-learningowej, właśnie do punktu o szkoleniach personelu i zarządu ^[5].

Dyrektywa nie nakazuje wprost testów phishingowych. Są one jednym ze sposobów sprawdzenia, czy szkolenia z cyberbezpieczeństwa dla pracowników i ogólna cyberhigiena działają.

Dobre praktyki

• Zgoda kierownictwa i jasne zasady przed pierwszą kampanią; wyniki służą do szkoleń, a nie do karania.
• Scenariusze o znanej trudności, porównywalne między rundami ^[2].
• Łatwy sposób zgłaszania podejrzanych wiadomości i mierzenie liczby zgłoszeń ^[1].
• Szkolenie od razu po błędzie; Microsoft przypisuje je zależnie od reakcji odbiorcy ^[3].
• Testy uzupełniają zabezpieczenia techniczne, takie jak uwierzytelnianie wieloskładnikowe, a nie je zastępują.