Bijna driekwart van de organisaties werd het afgelopen jaar slachtoffer van phishing-aanvallen. Meer dan de helft kampt tegelijkertijd met een tekort aan IT-talent. Dat blijkt uit een onderzoek.
De impact van phishing-aanvallen blijkt te groeien door de wereldwijde verschuiving naar werken op afstand. Ook is de complexiteit groter. Bijna driekwart (74%) van de ondervraagde bedrijven was het afgelopen jaar slachtoffer van phishing. Daarvan bevestigt 40 procent dat ze er de afgelopen maand mee te maken hadden.
Uit het phishing-onderzoek van Ivanti blijkt dat 80% van de respondenten een toename ziet van het aantal phishing-pogingen. Daarvan zegt 85% dat de aanvallen steeds geavanceerder worden. Verder was bij 73% van de respondenten het IT-personeel het doelwit van phishing. 47% van de pogingen waren succesvol.
Nieuwe vormen van oplichting als smishing (phishing via tekstberichten) en vishing (phishing via spraakberichten) zijn sterk in opkomst en specifiek op mobiele gebruikers gericht. Volgens recent onderzoek van Aberdeen hebben aanvallers een hoger succespercentage op mobiele devices dan op servers.
Die laatste trend lijkt te verergeren. Inmiddels bedraagt het jaarlijkse financiële risico van een datalek als gevolg van mobiele phishing-aanvallen ongeveer 1,7 miljoen dollar. Dit kan oplopen tot een maximum van ongeveer 90 miljoen dollar.
Gebrek aan training
Hackers maken momenteel massaal misbruik van de nieuwe gaten in de beveiliging van organisaties in de zogeheten Everywhere Workplace. Werknemers werken overal en meer dan ooit op mobiele apparaten om toegang te krijgen tot bedrijfsgegevens. In het onderzoek noemt 37% van de respondenten een gebrek aan de juiste technologie en kennis van de medewerkers hiervan als de belangrijkste oorzaken voor succesvolle phishing-aanvallen.
Verder zegt 34% dat succesvolle aanvallen voortkomen uit een gebrek aan inzicht bij de medewerkers. Maar liefst 96% van de IT-professionals zegt dat hun organisatie cyberbeveiligingstraining aanbiedt om werknemers te leren over veelvoorkomende aanvallen zoals phishing en ransomware. Helaas gaf slechts 30% van de respondenten aan dat 80 tot 90 procent van de werknemers de training ook daadwerkelijk had gevolgd.
Personeelstekorten
Uit het onderzoek bleek ook dat de effecten van phishing-aanvallen nu erger zijn door een tekort aan IT-talent. Meer dan de helft (52%) van de respondenten zegt dat hun organisatie het afgelopen jaar te maken had met een tekort aan personeel. Zo’n 64% bevestigt dat een tekort aan personeel de oorzaak is van de langere tijd die nodig is om incidenten op te lossen.
Met minder werknemers neemt het vermogen van een organisatie om beveiligingsproblemen snel op te lossen sterk af. Elke downtime als gevolg van een beveiligingsincident kost een organisatie geld en schaadt de productiviteit. Bovendien noemt 46% van de respondenten de toename van phishing-aanvallen een direct gevolg van het personeelstekort.
Race tegen de klok
“Het risico verlagen van phishing-aanvallen is op meerdere manieren een race tegen de klok. Enterprise IT-professionals moeten niet alleen de cybercriminelen voorblijven die voortdurend nieuwe aanvallen bedenken, maar ook hun eigen gebruikers – die schrikbarend snel op kwaadaardige links klikken,” zegt Derek E. Brink, vice president en research fellow bij Aberdeen Strategy & Research. “Hoewel veel organisaties hebben geïnvesteerd in initiatieven als security awareness training zouden ze ook prioriteit moeten geven aan het toepassen van geavanceerde automatisering, kunstmatige intelligentie en machine learning-technologieën om phishing-bedreigingen sneller en consistenter te identificeren, te verifiëren en te verhelpen.”
“Iedereen, ongeacht zijn ervaring of kennis van cybersecurity, is vatbaar voor een phishing-aanval. Uit het onderzoek blijkt namelijk dat bijna de helft van de IT-professionals wel eens gedupeerd is,” zegt Chris Goettl, senior director product management bij Ivanti. “Om phishing-aanvallen effectief te bestrijden, moeten organisaties een ‘zero trust’ beveiligingsstrategie implementeren die unified endpoint management combineert met mogelijkheden als on-device threat detection en anti-phishing. Organisaties moeten verder ook overwegen om wachtwoorden af te schaffen door gebruik te maken van authenticatie op mobiele apparaten met biometrische toegang. Daarmee kunnen ze het primaire toegangspunt bij phishing-aanvallen elimineren.”
Lees ook:
- Beveiliging endpoints is en wordt steeds belangrijker
- De kracht van mens en techniek voor informatiebeveiliging