Zakelijke e-mail steeds vaker onderdeel van phishing-strategie

Bij phishing is een verschuiving gaande van persoonlijke naar zakelijke e-mailonderwerpen plaatsvindt. Denk hierbij aan interne verzoeken en updates van HR, IT en managers.

Dit blijkt uit het Q3 2022 top-clicked phishing-rapport van KnowBe4, aanbieder van een platform voor security awareness en gesimuleerde phishing. Phishing-e-mails teisteren organisaties over de hele wereld. Nieuw onderzoek van cloud- en e-mailbeveiligingsspecialist Avanan toont aan dat bijna 19% van de phishing-e-mails door de filters van Microsoft Defender glipt. Dit is een belangrijke indicatie waarom technologie en e-mailfilters niet de enige methoden zouden moeten zijn voor bescherming tegen schadelijke e-mails.

Veel focus op HR

Zakelijke phishing-e-mails blijven effectief omdat ze de werkdag en de routine van een gebruiker kunnen beïnvloeden. Uit de resultaten van de phishing-analyse blijkt dat 40% van de e-mailonderwerpen betrekking heeft op HR. Hierdoor krijgen gebruikers het gevoel dat ze snel moeten handelen, waardoor ze minder tijd nemen om de legitimiteit van de e-mail in twijfel te trekken. Uit de phishing-analyse van dit jaar blijkt ook dat phishing-links in de hoofdtekst van een e-mail de belangrijkste aanvalsvector voor dit kwartaal zijn. Deze gecombineerde tactieken kunnen verstrekkende gevolgen hebben voor organisaties: ze leiden tot een groot aantal cyberaanvallen met ransomware door compromittering van zakelijke e-mails.

Uit de phishing-analyse van het afgelopen kwartaal blijkt niet alleen een verschuiving naar het gebruik van meer zakelijk georienteerde e-mails, maar ook een afname van het gebruik van persoonlijke e-mails, zoals op social media. Het phishing-rapport van het derde kwartaal van 2022 is zelfs het eerste van dit jaar waarin sociale media niet als hoofdonderwerp worden genoemd.

Steeds verfijnder

“Nu phishing e-mails steeds verfijnder worden, is het meer dan ooit noodzakelijk dat organisaties prioriteit geven aan training op het gebied van security awareness voor alle medewerkers", aldus Stu Sjouwerman, CEO van KnowBe4. “Phishing e-mails die zijn vermomd als interne communicatie zijn gevaarlijk omdat ze de aandacht van gebruikers weten te trekken en meestal aanzetten tot actie. Security awareness-training helpt medewerkers met de bestrijding van phishing en kwaadaardige e-mails door ze te leren waarop ze moeten letten. Het is de sleutel tot het realiseren van een gezonde dosis scepsis. Zo kan een organisatie beter worden beschermd en een sterkere security culture opbouwen.”

Bekijk de resultaten ook een infographic, die hier beschikbaar is.