Phishing i socjotechnika

Zgłoszone, nie kliknięte

Przekazujemy Państwu dane zbiorcze i nie wydajemy listy tych, którzy kliknęli. To celowe ograniczenie i negocjowalne wyłącznie w stronę większej prywatności, nigdy mniejszej. Powód jest praktyczny, a nie pryncypialny: ćwiczenie, które produkuje listę do ukarania, produkuje załogę ukrywającą następny prawdziwy phishing - czyli dokładnie ten tryb awarii, któremu chcą Państwo zapobiec.

To, co natomiast mierzymy precyzyjnie, to ścieżka zgłoszenia. Ile czasu do pierwszego zgłoszenia, jakim kanałem i co stało się potem. Organizacja, w której klika czterdzieści procent, ale pierwsze zgłoszenie przychodzi w dziewięćdziesiąt sekund i uruchamia reakcję, jest w znacznie lepszej kondycji niż taka, w której klika pięć procent i nikt nikomu nie mówi.

Autoryzacja i granice

Pisemna autoryzacja od osoby, która może jej udzielić w imieniu testowanych, jawna lista odbiorców, jawna lista wyłączeń i określone okno. Żadnych pretekstów podszywających się pod prawdziwego, wskazanego z nazwiska pracownika, regulatora, placówkę medyczną ani nic, co dotyka prawdziwej osobistej sytuacji kryzysowej. Żadnego zbierania danych logowania ponad sam fakt ich przesłania: zapisujemy, że to się wydarzyło, a nie co to było.

Skąd bierze się rozpoznanie

Jakość pretekstu decyduje o różnicy między ćwiczeniem, które czegoś uczy, a takim, które wszyscy przejrzą. Pretekst budujemy z tego, co naprawdę da się odnaleźć o Państwa organizacji - z tych samych źródeł otwartych, z których skorzystałby napastnik; a gdy odnajdywalna powierzchnia okazuje się szersza, niż Państwo zakładali, to samo w sobie jest już ustaleniem. Za tą pracą stoją opublikowane badania nad warsztatem phishingu i nadużywaniem zaufanej infrastruktury.