1. Istruire i dipendenti sulle attuali minacce di phishing
Gli attacchi di phishing sfruttano la natura umana per indurre le persone a fare qualcosa che l'aggressore desidera. Le tecniche comuni includono la creazione di un senso di urgenza e l'offerta al destinatario dell'e-mail di qualcosa che desidera, il che aumenta la probabilità che il target agisca senza convalidare correttamente l'e-mail.
I phisher spesso approfittano di eventi attuali o impersonano marchi di fiducia nelle loro e-mail per renderle più realistiche. Offrendo informazioni, beni o opportunità legate a un evento attuale o creando una situazione in cui il destinatario crede che qualcosa sia andato storto (come una finta notifica di consegna di un pacco), queste e-mail aumentano la probabilità di ottenere clic.
Le tecniche di phishing e i pretesti utilizzati dai criminali informatici per far sembrare realistici i loro attacchi cambiano regolarmente. I dipendenti dovrebbero essere formati sulle tendenze attuali del phishing, per aumentare la probabilità che siano in grado di identificare e rispondere correttamente agli attacchi di phishing.
2. Insegnare ai dipendenti a segnalare e-mail sospette
La maggior parte degli attacchi di phishing non prende di mira un singolo dipendente di un'azienda. Invece, un aggressore invierà una serie di e-mail, potenzialmente anche lavorando in ordine alfabetico attraverso l'intera directory di e-mail dell'organizzazione. Poiché all'aggressore basta che una sola persona si innamori di scam perché l'attacco abbia successo, l'esecuzione di un attacco così diffuso aumenta le sue possibilità.
Per questo motivo, è importante formare i dipendenti a segnalare qualsiasi e-mail che sospettano possa essere un attacco di phishing. Anche se un dipendente non cade nel phish, un altro potrebbe farlo. Se il team IT/sicurezza viene messo al corrente dell'attacco, può intervenire per eliminare le e-mail dannose prima che vengano aperte ed eseguire la rimozione del malware e il ripristino della password per gli utenti compromessi.
3. Informare i dipendenti sulle politiche aziendali in materia di e-mail
Ogni organizzazione dovrebbe avere una politica di sicurezza della posta elettronica, che includa i principi di Anti-Phishing che definiscono l'uso accettabile della posta elettronica (e di altre soluzioni di comunicazione). Questa politica deve descrivere l'uso accettabile e inaccettabile e come rispondere ai potenziali attacchi (ad es. segnalando le e-mail sospette all'IT e cancellando qualsiasi contenuto noto di phishing).
La politica sulla posta elettronica dell'organizzazione deve essere rivista regolarmente come parte della formazione sulla cybersecurity dell'organizzazione. Attraverso la ripetizione, questo aiuta a garantire che i dipendenti abbiano familiarità con la politica e i suoi requisiti. I dipendenti che conoscono la politica aziendale hanno maggiori probabilità di rispondere in modo appropriato a un attacco e di impedirne il successo.
4. Esaminare le migliori pratiche di sicurezza delle password
Le credenziali degli utenti sono uno degli obiettivi principali dei criminali informatici. Se un aggressore possiede la password di un dipendente, può essere molto più difficile rilevare gli attacchi in corso, poiché può mascherarsi da utente legittimo. Inoltre, i dipendenti utilizzano comunemente la stessa password per più account online, il che significa che una singola password violata può garantire a un aggressore l'accesso a diversi account online del dipendente.
Per questo motivo, il furto di credenziali è un obiettivo comune delle e-mail di phishing. È importante educare i dipendenti sulla minaccia rappresentata dalle e-mail di phishing e sulle migliori pratiche di sicurezza delle password. Tra questi, la necessità di utilizzare password uniche e forti per tutti i loro account, di non condividere mai le password (soprattutto via e-mail) e di non inserire mai una password in una pagina raggiunta da un link inviato via e-mail.
5. Implementare una soluzione automatizzata Anti-Phishing
Nonostante i migliori sforzi di un'organizzazione, l'educazione alla cybersicurezza dei dipendenti non fornirà una protezione perfetta contro gli attacchi di phishing. Questi attacchi stanno diventando sempre più sofisticati e in alcuni casi possono persino ingannare gli esperti di cybersicurezza. Anche se l'educazione al phishing può aiutare a ridurre il numero di attacchi di phishing riusciti contro l'organizzazione, è probabile che alcune e-mail riescano a passare.
Per ridurre al minimo il rischio di attacchi di phishing per l'organizzazione è necessario un software Anti-Phishing basato sull'IA, in grado di identificare e bloccare i contenuti di phishing in tutti i servizi di comunicazione dell'organizzazione (e-mail, applicazioni di produttività, ecc.) e nelle piattaforme(postazioni di lavoro dei dipendenti, dispositivi mobili, ecc.) Questa copertura completa è necessaria perché i contenuti di phishing possono arrivare su qualsiasi mezzo e i dipendenti possono essere più vulnerabili agli attacchi quando utilizzano dispositivi mobili.
Gestire la minaccia del phishing
La protezione dagli attacchi di phishing richiede una strategia Anti-Phishing completa, composta da una sensibilizzazione dei dipendenti ai principi di Anti-Phishing, sostenuta da una solida soluzione Anti-Phishing. Una soluzione di rilevamento del phishing basata sull'IA può filtrare la maggior parte delle e-mail di phishing, riducendo la probabilità che un dipendente ci caschi ed esponga l'organizzazione ad attacchi.
Per saperne di più sulla protezione dagli attacchi di phishing e per programmare una demo privata per vedere di persona come le soluzioni di sicurezza e-mail di Check Point possono aiutarla a identificare e bloccare gli attacchi di phishing contro la sua organizzazione.
Feedback