Sus empleados saben que sus contraseñas son débiles, pero no las cambiarán

El rol del usuario habitual tiende a pasarse por alto cuando los principales medios de comunicación discuten el cibercrimen y, hasta cierto punto, esto es perfectamente comprensible. Después de todo, vender una historia sobre piratas informáticos extremadamente sofisticados patrocinados por el estado que usan herramientas inteligentes de piratería para evitar los mecanismos de defensa de las principales organizaciones es más fácil que vender una historia sobre un empleado que no estaba prestando atención.

Sin embargo, el hecho es que los empleados descuidados a menudo están en la raíz de incluso los ataques de más alto perfil. Todo se debe a los hábitos de seguridad cibernética de las personas y su comprensión del riesgo, o, más precisamente, la falta de él. Para combatir el delito cibernético, las compañías de seguridad deben entender por qué nos enfrentamos a este problema, por lo que WebRoot se asoció con Wakefield Research y realizó un estudio que llamaron acertadamente " Hook, Line and Sinker: Why Phishing Attacks Work ". Los hallazgos son tan fascinantes como preocupantes.

Investigadores entrevistan a 4,000 empleados de oficina demasiado confiados

La encuesta involucró a 4,000 trabajadores de los EE. UU., Reino Unido, Japón y Australia, y una de las primeras cosas que se les pidió a estas personas que hicieran es calcular qué tan seguros están en su capacidad para distinguir los mensajes de phishing de los reales. Sorprendentemente o no, las respuestas dependen al menos en cierta medida de la ubicación geográfica de las personas y su educación cultural. En el Reino Unido, los Estados Unidos y Australia, por ejemplo, alrededor del 90% de los trabajadores dicen que pueden distinguir un mensaje de phishing de uno real. Por el contrario, solo uno de cada dos encuestados japoneses expresó una confianza similar.

Si suponemos que estas cifras también representan al resto del mundo, concluiremos que aproximadamente el 79% de todos los trabajadores de oficina consideran que pueden detectar un correo electrónico de phishing. El siguiente conjunto de figuras muestra que son demasiado arrogantes.

Alrededor del 49% de los encuestados admite haber hecho clic en enlaces en correos electrónicos provenientes de remitentes desconocidos mientras trabajaban. Casualmente o no, el 48% de los empleados entrevistados dicen que han violado su información personal y / o financiera al menos una vez.

Es bastante obvio que aunque piensan que saben mejor, muchos empleados no tienen la educación y la experiencia suficientes para evitar la mayoría de las trampas de phishing. Ese no es el único problema.

Los empleados no saben cómo manejar un incidente de ciberseguridad

El 67% de los encuestados dijeron que habían recibido al menos un correo electrónico de phishing en el trabajo. De ellos, aproximadamente el 39% no hizo nada para informar el mensaje y ayudar a localizar su fuente. Hay algunos otros hallazgos que demuestran la falta de conciencia de seguridad de las personas.

Si bien la mayoría de los encuestados saben que los correos electrónicos no deseados se encuentran en la parte inferior de la mayoría de las operaciones de malware y robo de credenciales, muchos no reconocen los mensajes de texto , las redes sociales y las llamadas de voz como vectores de phishing.

Sin embargo, las estadísticas más preocupantes son las que detallan las acciones de las personas después de una violación. El 29% de los encuestados que admitieron haber sido golpeados por una violación no informaron a las autoridades legales al respecto, y en Japón, aproximadamente el 13% no hicieron absolutamente nada. Un enorme 35% de los trabajadores afectados por una violación de datos no se molestó en cambiar sus contraseñas después de que se filtró su información. Y este, como la mayoría de ustedes debería saber, es el primer y más importante paso que un usuario debe dar a raíz de un ciberataque.

Hay que hacer algo

Obviamente, la situación está lejos de ser ideal, y las empresas de todo el mundo deberían comenzar a pensar en lo que pueden hacer para mejorarla. Los autores del estudio señalaron acertadamente que las organizaciones deben invertir en cursos de capacitación y educación que deberían crear conciencia sobre la amenaza del phishing y otros aspectos de la ciberseguridad. Las simulaciones de phishing, en particular, son especialmente útiles, porque con ellas, los empleados obtienen una experiencia de primera mano de lo que es ser blanco de una estafa de phishing.

Como Cleotilde González, Ph.D. de la Universidad Carnegie Mellon señaló en sus comentarios sobre la investigación, sin embargo, "lo que realmente necesitamos es un cambio de mentalidad". Las personas deben darse cuenta de la importancia de la ciberseguridad, y deben comprender las consecuencias de no tomarlo lo suficientemente en serio.

Entonces, y solo entonces, la verdadera amenaza vendrá de los hackers patrocinados por el estado y sus sofisticadas herramientas. Sin embargo, se enfrentarán a una defensa mucho más formidable.