Security w mojej firmie przedobrzyły z ćwiczeniami phishingowymi :D\ \ Zazwyczaj, z tego, co miałem do czynienia - Maciek

MaciekGruba ryba

182

Security w mojej firmie przedobrzyły z ćwiczeniami phishingowymi :D

Zazwyczaj, z tego, co miałem do czynienia, wygląda to tak, że dział security wysyła jakiś ordynarny mail, żeby tylko było można zrobić raport, że przeprowadzono próbę, jakieś randomy się złapały, ale ogólnie ludzie kumają.

A u nas? Security uznało, że nie ma miękkiej gry. U nas ćwiczenia phishingowe wyglądają tak, że jak ostatnio miałem spotkanie z szefem, dajmy na to, Łukaszem Kowalskim, o nazwie sugerującej, że będziemy omawiać nowe narzędzia do pracy, to chwilę później dostałem maila z zaproszeniem do platformy o treści "Łukasz Kowalski zaprasza cię do rejestracji w nowej platformie" i treścią "Cześć! O tym wspominałem na spotkaniu". No kliknąłem jak głupi, bo akurat wszystko było ładnie w kontekście, i nie byłem sam, bo security z dumą ogłosiło, że 86% ludzi którym wysłali podobne kontekstowe fejki się złapało i musieliśmy robić jakieś dodatkowe szkolenia w postaci filmów bez możliwości przewinięcia czy pominięcia.

Teraz spora część firmy zgłasza absolutnie każdy e-mail spoza domeny firmowej jako phishing, żeby nie dostać po łapach, i security się skarży, że oni nie są w stanie tego przerobić :grinning: Jakoś mi ich nie żal :D

Komentarze (26)

100mphLiderprzedwczoraj5

Na jednym szkoleniu byla informacja, ze jak ktos cos chce ASAP to pewnie jest to phising. Zeobilem print screena i teraz jak ktos cos chce ode mnie natychmiast to zglaszam phising i cyk, CSik xD

kodyakFanatyk3 dni temu4

Ja generalnie wrzucam wszystko do kosza oprócz ludzi których znam. Nie zrobiłem przez to kilku szkoleń ale c⁎⁎j tam, jak są ważne to dostaje opierdol od szefa że nie zrobiłem XD. Odporność na phishing 100 proc jak na razie

tptakGwiazdor3 dni temu4

@Maciek błędne zgłoszenia? Wciąż nie słuchali. Powtórka szkoleń

Marcus-Aurelius-64Inspirator3 dni temu20

Ja znalazłem prosty sposób na phishing w pracy. Nie sprawdzam w ogóle maila

ZohanTSWFanatyk3 dni temu7

Teraz spora część firmy zgłasza absolutnie każdy e-mail spoza domeny firmowej jako phishing

No i bardzo k⁎⁎wa dobrze xd

BudoAutorytet3 dni temu4

@Maciek stopień hardkoru takich kampanii powinien być współmierny do ryzyka i wpadek, które już miały miejsce. Gdzieś muszą znaleźć złoty środek 😉

JackDanielsGruba ryba3 dni temu25

U nas security po cyklicznym spędzie z prezesem puścilo maila niby z jego adresu z lewym linkiem do prezentacji ze spotkania... Klikalność też była na poziomie pod 80%, więc cała firma musiała robić szkolenia z bezpieczeństwa. I też teraz narzekają na nadmiar zgłoszeń 😆

rithFanatyk3 dni temu4

@Maciek ja tak robię od zawsze xD

W sensie wszystko co nie jest z domeny firmowej zgłaszam. Yolo xD

con987Twórca3 dni temu70

Aż mi się to przypominało

KronosGURU3 dni temu2

Kurde czy my przypadkiem nie pracujemy w tej samej firmie?

Ja też od kiedy mi wysłali takie spreparowane zaproszenie od szefa dywizji to zgłaszam wszystko, nawet zwykły spam (chociaż tego większość filtr odsiewa). Na razie nie narzekają na nadmiar zgłoszeń.

LondoMollariFanatyk3 dni temu16

@Maciek W mojej jednej z moich poprzednich firm, robiłem w infrastrukturze, w tym security, i generalnie byłem bardzo czujny na wszelkie lewe tematy.

Pewnego pięknego dnia spece od administrowania mailem firmowym zdecydowali się zrobić testy antyphishingowe, bez zapowiedzi i poinformowania mnie. Mieli jakiegoś honeypota do tego gówna, ale wtedy o tym nie wiedziałem. Phish wyglądał dosyć legitnie, i uznałem, że jest na tyle legitny, że trzeba działać - pozgłaszałem wszędzie te IPki i URLe gdzie się dało, a gratisowo jeszcze "otworzyłem" linka z maila... za pomocą LOICa. ( ͡° ͜ʖ ͡°)

Nie ma co tu dużo gadać, ale próba im poszła tak sobie.