קמפייני פישינג לארגונים שמדמים תקיפה אמיתית

תרחישים שמותאמים למציאות של הארגון

סימולציית פישינג גנרית יכולה לספק אינדיקציה בסיסית, אך היא לא תמיד משקפת את רמת המוכנות האמיתית של העובדים.

כאשר ההודעה נראית כמו תרגיל מוכר, העובדים עשויים לזהות אותה רק מפני שהיא אינה תואמת את צורת העבודה, השפה או התהליכים בארגון. במצב כזה, התוצאות אינן בהכרח מעידות כיצד הם יגיבו לתקיפה אמיתית וממוקדת.

ב־ExploiX הקמפיינים נבנים על בסיס ההקשר העסקי, המבנה הארגוני ותרחישי האיום הרלוונטיים. המטרה היא ליצור סימולציה אמינה ומבוקרת, שמדמה את הדרך שבה תוקף עשוי לפנות לעובדים בפועל.

• תרחישי OSINT מותאמים:
  שימוש מבוקר במידע גלוי ורלוונטי על הארגון לצורך בניית תרחישים אמינים, במסגרת ה-Scope שאושר מראש.
• Contextual Phishing:
  הודעות שמותאמות לתהליכים, למערכות ולדפוסי התקשורת בארגון.
• התאמה למחלקות ולתפקידים:
  יצירת תרחישים שונים עבור הנהלה, כספים, משאבי אנוש, IT, פיתוח, מכירות וצוותים בעלי הרשאות רגישות.
• התחזות לגורמים מוכרים:
  הדמיית הודעות שנראות כאילו נשלחו ממנהל, ספק, שותף עסקי, מערכת ארגונית או שירות ענן.
• תרחישים ברמות קושי שונות:
  התאמת רמת התחכום למטרת הקמפיין ולרמת הבשלות של הארגון.

כך ניתן לבחון לא רק האם העובדים מזהים הודעת פישינג ברורה, אלא גם כיצד הם מגיבים לתרחיש שמתחבר לשגרת העבודה שלהם.

תקיפה אמיתית לא תמיד מגיעה מערוץ אחד

תוקפים אינם מוגבלים לדוא״ל בלבד. במקרים רבים הם משלבים כמה ערוצים כדי לבנות אמון, להפעיל לחץ ולגרום לעובד לבצע פעולה.

הודעת SMS יכולה להכין את הקרקע למייל, שיחת טלפון יכולה לחזק בקשה שנשלחה קודם לכן, והודעה שמתחזה לספק יכולה להפנות לעמוד התחברות מזויף.

הניסיון שלנו מתוך מבדקי חדירה מאפשר לבנות את הקמפיין מתוך הסתכלות על מסלול התקיפה כולו, ולא רק על הודעת פישינג בודדת.

• Phishing בדוא״ל:
  הודעות המתחזות לספקים, מערכות ענן, שירותים ארגוניים או גורמים פנימיים.
• Spear Phishing ממוקד:
  תרחישים המותאמים לתפקיד מסוים, למחלקה או לקבוצת עובדים בעלת גישה רגישה.
• Smishing:
  הודעות SMS מבוקרות שמדמות עדכון, בקשת אימות, הודעת שירות או מסר מקדים.
• Vishing ו-Social Engineering:
  תרחישים קוליים או שיחות התחזות, כאשר הם רלוונטיים ומאושרים כחלק מהקמפיין.
• Credential Harvesting מבוקר:
  עמודי התחזות המדמים מערכות כגון Microsoft 365, VPN או פורטל ארגוני, ללא שמירת סיסמאות אמיתיות.
• תרחישים רב־שלביים:
  שילוב בין כמה פעולות וערוצים כדי לבדוק כיצד העובד והארגון מגיבים לאורך שרשרת התקיפה.

לא רק הקלקות: ניתוח ההתנהגות המלא

קמפיין פישינג אפקטיבי אינו מסתיים בשאלה מי לחץ. המטרה היא להבין את כל תהליך קבלת ההחלטות והתגובה של העובדים.

הבדיקה יכולה לכלול ניתוח של מספר נקודות לאורך התרחיש:

• פתיחת ההודעה:
  האם המסר משך את תשומת הלב של העובד.
• לחיצה על קישור:
  האם העובד המשיך אל סביבת הסימולציה.
• ניסיון להזין מידע:
  האם בוצע ניסיון להזין פרטים בעמוד המדומה.
• פתיחת קובץ או ביצוע פעולה:
  האם העובד המשיך לשלב נוסף בתרחיש.
• דיווח לצוות האבטחה:
  האם העובד זיהה את האירוע ודיווח בערוץ הנכון.
• זמן עד לדיווח:
  כמה זמן חלף עד שהארגון קיבל התראה שיכולה לאפשר תגובה.

הנתונים האלה מאפשרים לזהות לא רק נקודות חולשה, אלא גם התנהגויות חיוביות: עובדים שמזהים הודעות חשודות, מדווחים במהירות ומסייעים לארגון לבלום את האירוע.

מה מקבלים בסיום קמפיין הפישינג?

בסיום הפעילות הארגון מקבל תמונת מצב ברורה של רמת החשיפה, לצד המלצות שניתן לתרגם לפעולות שיפור.

• תקציר מנהלים:
  הצגה ברורה של הממצאים המרכזיים, רמת הסיכון והמשמעות העסקית.
• ניתוח נתוני הקמפיין:
  שיעורי פתיחה, הקלקה, הזנת פרטים, דיווח וזמני תגובה.
• פילוח לפי מחלקות או קבוצות:
  זיהוי פערים בין תפקידים, יחידות וקבוצות סיכון, בהתאם למדיניות הפרטיות של הארגון.
• זיהוי תרחישים אפקטיביים:
  הבנה אילו סוגי הודעות, ערוצים או מניפולציות היו משכנעים יותר.
• מדדי Baseline:
  יצירת נקודת פתיחה שתאפשר למדוד שיפור בקמפיינים הבאים.
• המלצות טכנולוגיות:
  שיפורים אפשריים במערכות דוא״ל, מנגנוני MFA, הרשאות, סינון והתרעות.
• המלצות תהליכיות:
  שיפור ערוצי דיווח, תהליכי תגובה, הסלמה וטיפול בהודעות חשודות.
• תוכנית הדרכה ממוקדת:
  התאמת ההדרכה לדפוסים שנמדדו בפועל במקום להסתמך על תוכן כללי.

ניתן לשלב את הממצאים כחלק מתהליך רחב יותר של הערכת סיכוני סייבר או ייעוץ אבטחת מידע, כדי לחבר בין ההתנהגות האנושית לבין הסיכונים הטכנולוגיים והעסקיים.

להפוך את הנתונים לתוכנית שיפור

מטרת הקמפיין אינה להציג רשימת עובדים שטעו, אלא לאפשר לארגון לקבל החלטות מבוססות מידע.

בהתאם לתוצאות, ניתן לבנות תוכנית שיפור שכוללת:

1. חיזוק קבוצות סיכון:
   הדרכה ממוקדת למחלקות או לתפקידים שנחשפו כרגישים יותר.
2. שיפור תהליכי הדיווח:
   הפיכת הדיווח על הודעות חשודות לפשוט, מהיר וברור יותר.
3. התאמת בקרות טכנולוגיות:
   חיזוק אימות רב־שלבי, סינון דוא״ל, התראות והרשאות גישה.
4. קמפיינים חוזרים:
   בדיקה האם הפעולות שבוצעו אכן שיפרו את התנהגות העובדים.
5. מדידת מגמות:
   מעקב אחר שיעורי דיווח, זמני תגובה ורמת החשיפה לאורך זמן.

כך הסימולציה הופכת מבדיקה חד־פעמית לתהליך מתמשך של בניית חוסן ארגוני.

קמפיין מבוקר, בטוח ומאושר מראש

כדי שהסימולציה תהיה אפקטיבית, היא צריכה להיות מציאותית. כדי שהיא תהיה מקצועית, היא חייבת להתבצע במסגרת ברורה, מוסכמת ובטוחה.

לפני תחילת הקמפיין מוגדרים מטרות הפעילות, גבולות הבדיקה, קבוצות היעד, סוגי התרחישים והפעולות המותרות.

• הקמפיין מתבצע רק לאחר קבלת אישור מהגורמים המוסמכים.
• ה-Scope, לוחות הזמנים והערוצים מוגדרים מראש.
• לא נעשה שימוש במידע מחוץ למסגרת שסוכמה.
• לא נשמרות סיסמאות אמיתיות של עובדים.
• הסימולציה אינה מיועדת להתקין קוד זדוני או לפגוע במערכות.
• הנתונים נאספים ומוצגים בהתאם למדיניות הפרטיות של הארגון.
• אופן הפילוח והצגת הממצאים נקבע מראש עם הגורמים הרלוונטיים.

למי מתאים קמפיין פישינג?

קמפיין פישינג יכול להתאים לארגונים בשלבים שונים של בשלות אבטחת המידע.

• ארגונים שרוצים לבדוק את רמת המוכנות הראשונית של העובדים.
• חברות שכבר מבצעות הדרכות ורוצות למדוד את האפקטיביות שלהן.
• ארגונים עם עובדים בעלי גישה למידע רגיש או למערכות קריטיות.
• חברות בעלות צוותי כספים, הנהלה או משאבי אנוש החשופים להתחזות ממוקדת.
• ארגונים שרוצים לבחון את תהליכי הדיווח והתגובה של צוותי ה-IT וה-SOC.
• חברות שנערכות לביקורת, להסמכה או לדרישות אבטחה מצד לקוחות.
• ארגונים שחוו אירוע פישינג ורוצים לבדוק האם הפערים נסגרו.

למה לבצע את הקמפיין עם ExploiX?

• חשיבה התקפית:
  התרחישים נבנים מתוך היכרות עם שיטות הפעולה של תוקפים ולא רק מתוך ספריית תבניות.
• התאמה לארגון:
  כל קמפיין מותאם לענף, לתפקידים, למערכות ולסיכונים הרלוונטיים.
• תרחישים מציאותיים:
  בניית סימולציות שמתחברות להקשר העסקי ולשגרת העבודה.
• מדידה רחבה:
  בחינת הקלקות, אינטראקציות, דיווחים, זמני תגובה ומגמות.
• תוצרים ישימים:
  המלצות שמתאימות להנהלה, לצוותי אבטחת המידע, ל-IT ולמשאבי האנוש.
• ראייה מערכתית:
  חיבור בין החוסן האנושי, מנגנוני ההגנה והסיכונים העסקיים.