Két különböző statisztikai összefoglalót is megnéztünk, milyen tendenciák, trendek, mozgások látszanak a tavalyi évben keringő phishing üzenetek terén.

A KnowBe4 2022. negyedik negyedéves elemzése arra mutat rá, hogy az egyik leggyakoribb átverés a cégek IT és HR osztályainak nevében érkező üzenet, ezeknek sokan bedőlnek legyen szó a nyári szabadságolással kapcsolatos téma, vagy csak valamilyen hétköznapi dologgal, például öltözködési dress code kapcsán küldött levél.

De az állítólagos jelszó ellenőrzésre való felhívás is belefért az első három csalárd üzenet típusba, ami meghozza a támadóknak a sikert.

Nincs meglepetés abban, hogy minden rendkívüli eseményt kihasználnak a támadók, legyen az éppen a szilveszteri évváltás, vagy egyéb jelentős eseményre való utalás, ám jól látszik, hogy az üzleti tematika egyre erősebben jelenik meg. Ilyenek lehetnek például a karrier építéssel, munkaprojektekkel kapcsolatos levelek, akár olyanok is, amelyek látszólag a saját főnökeinktől érkeznek, de az olyan jelentős külső partnerek nevével való visszaélés is gyakori, mint a Google, Microsoft vagy az Amazon.

Ha ezekbe az üzenetekbe egy rosszindulatú linket ágyaznak, sajnos sokan megnyitják, mert sürgetve érzik magukat, és ezzel legrosszabb esetben a céges levelezést kompromittálhatják.

A Phishing Benchmark Global Report pedig arra figyelmeztet, hogy a tapasztalatok szerint nagyobb méretű, több ezer alkalmazottat foglalkoztató multinacionális cégek vannak legjobban kitéve az adathalász támadásoknak annak ellenére, hogy jellemzően éppen ezek a szervezetek gazdálkodnak a legjelentősebb kiberbiztonsági költségvetésből.

A jelentés szerint sajnos még mindig sok alkalmazott hajlamos arra, hogy részletesen megválaszolja a bizalmas adatokra vonatkozó kéréseket - még olyankor is, ha azok ismeretlen vagy gyanús e-mail küldőktől származnak. A 2022-es adathalász-szimulációban résztvevő összes végfelhasználó 7%-a kattintott rá az adathalász e-mailben található linkre.

A fenti példánál maradva a számok alapján egy tízezres cégnél 700 alkalmazott kattintana az adathalász hivatkozásra - ami nem kicsi szám-, és ráadásul a kattintók fele az ilyen helyzetekben még a jelszavát is hajlamos begépelni, komoly veszélybe sodorva ezzel a vállalatot.

Mivel a tapasztalatok szerint éppen a nagy cégek és szervezetek járnak az élen a rendszeres kiberbiztonsági képzések megtartásában, ám ezzel együtt mégis ők látszanak a leginkább veszélyeztetett csoportnak is, ez viszont az ilyen képzések színvonalát és hatékonyságát kérdőjelezheti meg erőteljesen.