Phishing e engenharia social
A taxa de cliques é a métrica errada. Sempre vai haver quem clique, e publicar um ranking de quem clicou ensina a sua equipe a esconder. O número que prevê como um incidente real se desenrola é quanto tempo a primeira pessoa leva para reportar a mensagem - e se algo acontece quando ela reporta.
O que está incluído
- Desenvolvimento de pretextos a partir do que é publicamente descobrível sobre você
- Uma lista de alvos acordada, com exclusão de quem você indicar
- Infraestrutura montada para o exercício e desmontada depois
- Medição de entrega, interação, envio de credenciais e reporte
- Página de destino sem payload, opcional, voltada à conscientização em vez do acesso
O que você recebe
- Tempo até o primeiro reporte, que é o número principal
- Taxas de entrega e interação de forma agregada, nunca uma lista com nomes
- O que a sua filtragem de e-mail barrou e o que deixou passar
- O que aconteceu na fila de segurança quando alguém de fato reportou
- Recomendações de conscientização dirigidas ao processo, não às pessoas
- Carta de atestado para auditores e clientes, mediante solicitação
- Atestado de correção após o reteste, como documento separado
Formato do projeto
- Escopo individualFixado por escrito antes de os testes começarem. De 1 a 3 semanas, incluindo a janela de reporteJanela usual. Construída em torno do seu prazo, se houver. Como funcionam os preços
Reportado, não clicado
Entregamos números agregados e não fornecemos uma lista de quem clicou. Essa é uma restrição deliberada e só é negociável na direção de mais privacidade, nunca menos. O motivo é prático, não de princípio: um exercício que produz uma lista disciplinar produz uma equipe que esconde o próximo phishing real - exatamente o modo de falha que você está tentando evitar.
O que medimos com precisão é o caminho do reporte. Quanto tempo até o primeiro aviso, por qual canal e o que aconteceu depois. Uma organização em que quarenta por cento clicam mas o primeiro reporte chega em noventa segundos e dispara uma resposta está em situação muito melhor do que outra em que cinco por cento clicam e ninguém avisa ninguém.
Autorização e limites
Autorização por escrito de alguém que possa concedê-la em nome das pessoas testadas, uma lista explícita de alvos, uma lista explícita de exclusões e uma janela definida. Nenhum pretexto que se passe por um funcionário real identificado, um regulador, um prestador de saúde ou qualquer coisa que toque uma emergência pessoal verdadeira. Nenhuma coleta de credenciais além do fato de que uma credencial foi enviada: registramos que aconteceu, não qual era.
De onde vem a pesquisa
A qualidade do pretexto é a diferença entre um exercício que ensina algo e um que todo mundo percebe. Construímos pretextos a partir do que é genuinamente descobrível sobre a sua organização, as mesmas fontes abertas que um atacante usaria - o que, por si só, já é um achado quando a superfície descobrível se revela maior do que você esperava. Por trás deste trabalho há pesquisa publicada sobre técnicas de phishing e abuso de infraestrutura confiável.
Perguntas
Não, e isso é deliberado. Você recebe taxas agregadas e um retrato detalhado do caminho do reporte. Nomear indivíduos produz, de forma confiável, uma equipe que esconde o próximo e-mail de phishing real, o que custa mais do que o exercício rende.
Pretextos realistas construídos a partir de informações abertamente descobríveis sobre a sua organização. Nunca nos passando por um funcionário real identificado, um regulador, um prestador de saúde ou uma emergência pessoal. Os limites ficam escritos nas regras de engajamento antes de qualquer envio.
Registramos que uma credencial foi enviada. Não armazenamos a credencial em si. A página de destino também pode ser configurada sem nenhum campo de credencial, se o objetivo for conscientização.
O pretexto por voz pode entrar no escopo onde for legal nas jurisdições pertinentes e estiver autorizado por escrito. Invasão física não faz parte deste projeto.
Individualmente, conforme o tamanho da lista de alvos, o número de pretextos e a duração da janela.
Defina bem o escopo antes de comprar.
Trinta minutos de conversa, um preço fixo por escrito em até 24 horas e uma resposta honesta se este não for o projeto de que você precisa.