I tuoi dipendenti sanno che le loro password sono deboli, ma non le cambieranno

Il ruolo del utente normale tende a essere trascurato quando i media mainstream discutono del crimine informatico e, in una certa misura, questo è perfettamente comprensibile. Dopotutto, vendere una storia su hacker sponsorizzati dallo stato estremamente sofisticati che usano strumenti di hacking intelligenti per aggirare i meccanismi di difesa delle principali organizzazioni è più facile che vendere una storia su un dipendente che non prestava attenzione.

Il fatto è, tuttavia, che i dipendenti negligenti sono spesso alla radice anche degli attacchi di più alto profilo. Dipende tutto dalle abitudini di sicurezza informatica delle persone e dalla loro comprensione del rischio o, più precisamente, della loro mancanza. Per combattere il crimine informatico, le società di sicurezza devono capire perché ci troviamo di fronte a questo problema, motivo per cui WebRoot ha collaborato con Wakefield Research e condotto uno studio che hanno giustamente chiamato " Hook, Line e Sinker: Why Phishing Attacks Work ". I risultati sono tanto affascinanti quanto preoccupanti.

I ricercatori intervistano 4.000 impiegati in situazioni di sicurezza eccessiva

Il sondaggio ha coinvolto 4.000 lavoratori provenienti da Stati Uniti, Regno Unito, Giappone e Australia e una delle prime cose che queste persone sono state invitate a fare è stimare quanto siano fiduciosi nella loro capacità di distinguere i messaggi di phishing da quelli reali. Sorprendentemente o no, le risposte dipendono almeno in una certa misura dalla posizione geografica delle persone e dalla loro educazione culturale. Nel Regno Unito, negli Stati Uniti e in Australia, ad esempio, circa il 90% dei lavoratori afferma di poter comunicare un messaggio di phishing da uno reale. Al contrario, solo circa uno su due degli intervistati giapponesi ha espresso la stessa fiducia.

Se assumiamo che queste cifre rappresentino anche il resto del mondo, concluderemo che circa il 79% di tutti gli impiegati ritiene di poter individuare un e-mail di phishing. La prossima serie di figure mostra che sono troppo arroganti.

Circa il 49% degli intervistati ammette di aver fatto clic sui collegamenti nelle e-mail provenienti da mittenti sconosciuti mentre erano al lavoro. Per coincidenza o no, il 48% dei dipendenti intervistati afferma di aver violato le proprie informazioni personali e / o finanziarie almeno una volta.

È abbastanza ovvio che mentre pensano di conoscerlo meglio, molti dipendenti non sono sufficientemente istruiti ed esperti per evitare la maggior parte delle trappole di phishing. Questo non è unico problema.

I dipendenti non sanno come gestire un incidente di sicurezza informatica

Il 67% degli intervistati ha dichiarato di aver ricevuto almeno un e-mail di phishing sul luogo di lavoro. Di questi, circa il 39% non ha fatto nulla per segnalare il messaggio e aiutare a localizzarne origine. Ci sono alcuni altri risultati che dimostrano la mancanza di consapevolezza della sicurezza delle persone.

Mentre la maggior parte degli intervistati sa che le e-mail di spam si trovano in fondo alla maggior parte delle operazioni di furto di malware e credenziali, molte non riescono a riconoscere i messaggi di testo , i social media e le chiamate vocali come vettori di phishing.

Le statistiche più preoccupanti, tuttavia, sono quelle che descrivono in dettaglio le azioni delle persone al indomani di una violazione. Il 29% degli intervistati che hanno ammesso di essere stati colpiti da una violazione non ne ha informato le autorità legali e in Giappone circa il 13% non ha fatto assolutamente nulla. Un enorme 35% dei lavoratori colpiti da una violazione dei dati non si è nemmeno preoccupato di cambiare la password dopo che le loro informazioni sono state divulgate. E questo, come molti di voi dovrebbero sapere, è il primo e più importante passo che un utente dovrebbe compiere sulla scia di un attacco informatico.

Qualcosa deve essere fatto

Ovviamente, la situazione è tutt altro che ideale e le aziende di tutto il mondo dovrebbero iniziare a pensare a cosa possono fare per migliorarla. Gli autori dello studio hanno giustamente sottolineato che le organizzazioni devono investire in corsi di formazione e istruzione che dovrebbero sensibilizzare opinione pubblica sulla minaccia del phishing e su altri aspetti della sicurezza informatica. Le simulazioni di phishing, in particolare, sono particolarmente utili, perché con loro i dipendenti hanno un esperienza di prima mano su cosa significhi essere presi di mira da una truffa di phishing.

Come Cleotilde Gonzalez, Ph.D. della Carnegie Mellon University ha osservato nei suoi commenti sulla ricerca, tuttavia, "ciò di cui abbiamo veramente bisogno è un cambio di mentalità". Le persone devono rendersi conto del importanza della sicurezza informatica e devono comprendere le conseguenze del non prenderla abbastanza sul serio.

Allora e solo allora la vera minaccia verrà dagli hacker sponsorizzati dallo stato e dai loro strumenti sofisticati. Dovranno però affrontare una difesa molto più formidabile.