Overbelaste IT-teams verliezen de strijd tegen phishing

De impact van phishing-aanvallen blijkt groter te zijn geworden door de wereldwijde verschuiving naar werken op afstand, maar ook is de complexiteit toegenomen. Bijna driekwart (74%) van de ondervraagde bedrijven was het afgelopen jaar slachtoffer van phishing, en 40 procent bevestigt er de afgelopen maand mee te maken hebben gehad.

Dit blijkt uit een onderzoek naar phishing-aanvallen op bedrijven van Ivanti, dat een automatiseringsplatform levert dat IT assets van cloud tot edge detecteert, beheert, beveiligt en onderhoudt. 80% van de respondenten ziet een toename van het aantal phishing-pogingen en 85% zegt dat de aanvallen steeds geavanceerder worden. Verder was bij 73% van de respondenten het IT-personeel het doelwit van phishing, waarvan 47% van de pogingen succesvol waren.

Nieuwe vormen van oplichting als smishing (phishing via tekstberichten) en vishing (phishing via spraakberichten) zijn sterk in opkomst en specifiek op mobiele gebruikers gericht. Volgens recent onderzoek van Aberdeen hebben aanvallers een hoger succespercentage op mobiele devices dan op servers, en die trend lijkt te verergeren. Inmiddels bedraagt het jaarlijkse financiële risico van een datalek als gevolg van mobiele phishing-aanvallen ongeveer 1,7 miljoen dollar, wat kan oplopen tot een maximum van ongeveer 90 miljoen dollar.

Gebrek aan technologie en training

Hackers maken momenteel massaal misbruik van de nieuwe gaten in de beveiliging van organisaties in de zogeheten Everywhere Workplace. Werknemers werken overal en meer dan ooit op mobiele apparaten om toegang te krijgen tot bedrijfsgegevens. In het onderzoek noemt 37% van de respondenten een gebrek aan de juiste technologie en kennis van de medewerkers hiervan als de belangrijkste oorzaken voor succesvolle phishing-aanvallen. Verder zegt 34% dat succesvolle aanvallen voortkomen uit een gebrek aan inzicht bij de medewerkers.

96% van de IT-professionals zegt dat hun organisatie cyberbeveiligingstraining aanbiedt om werknemers te leren over veelvoorkomende aanvallen zoals phishing en ransomware. Helaas gaf slechts 30% van de respondenten aan dat 80 tot 90 procent van de werknemers de training ook daadwerkelijk had gevolgd.

Personeelstekorten

Uit het Ivanti-onderzoek blijkt ook dat de effecten van phishing-aanvallen zijn verergerd door een tekort aan IT-talent. Meer dan de helft (52%) van de respondenten zegt dat hun organisatie het afgelopen jaar te maken heeft gehad met een tekort aan personeel. Zo’n 64% van die respondenten bevestigt dat een tekort aan personeel de oorzaak is van de langere tijd die nodig is voor het oplossen van incidenten. Met minder werknemers neemt het vermogen van een organisatie om beveiligingsproblemen snel op te lossen sterk af. Elke downtime als gevolg van een beveiligingsincident kost een organisatie geld en schaadt de productiviteit. Bovendien noemt 46% van de respondenten de toename van phishing-aanvallen een direct gevolg van het personeelstekort.

"Het risico verlagen van phishing-aanvallen is op meerdere manieren een race tegen de klok. Enterprise IT-professionals moeten niet alleen de cybercriminelen voorblijven die voortdurend nieuwe aanvallen bedenken, maar ook hun eigen gebruikers - die schrikbarend snel op kwaadaardige links klikken," zegt Derek E. Brink, vice president en research fellow bij Aberdeen Strategy & Research. "Hoewel veel organisaties hebben geïnvesteerd in initiatieven als security awareness training zouden ze ook prioriteit moeten geven aan het toepassen van geavanceerde automatisering, kunstmatige intelligentie en machine learning-technologieën om phishing-bedreigingen sneller en consistenter te identificeren, te verifiëren en te verhelpen."

Zero trust beveiligingsstrategie

"Iedereen, ongeacht zijn ervaring of kennis van cybersecurity, is vatbaar voor een phishing-aanval. Uit het onderzoek blijkt namelijk dat bijna de helft van de IT-professionals wel eens gedupeerd is," zegt Chris Goettl, senior director product management bij Ivanti. "Om phishing-aanvallen effectief te bestrijden, moeten organisaties een 'zero trust' beveiligingsstrategie implementeren die unified endpoint management combineert met mogelijkheden als on-device threat detection en anti-phishing. Organisaties moeten verder ook overwegen om wachtwoorden af te schaffen door gebruik te maken van authenticatie op mobiele apparaten met biometrische toegang. Daarmee kunnen ze het primaire toegangspunt bij phishing-aanvallen elimineren."

Ivanti ondervroeg voor dit onderzoek meer dan 1.000 enterprise IT-professionals in de VS, Groot-Brittannië, Frankrijk, Duitsland, Australië en Japan.