Amsterdam - Proofpoint, een toonaangevend cybersecurity- en compliance-bedrijf, presenteert zijn achtste jaarlijkse
State of the Phish-rapport. Dit rapport gaat dieper in op hoe bewust gebruikers zich zijn van phishing-risico's, maar ook op hun kwetsbaarheid en veerkracht. Het rapport toont aan dat aanvallers in 2021 actiever waren dan in 2020. Zo blijkt uit de resultaten dat meer dan driekwart (78%) van de organisaties in 2021 te maken kreeg met e-mailgebaseerde ransomware-aanvallen. Daarnaast werd 77% geconfronteerd met Business Email Compromis (BEC)-aanvallen. Dit vertegenwoordigt een stijging van 18% ten opzichte van 2020. Hieruit blijkt dat cybercriminelen zich blijven richten op mensen, in plaats van dat ze proberen toegang te krijgen tot systemen via technische kwetsbaarheden.
In het rapport 'State of the Phish' van dit jaar zijn de antwoorden geanalyseerd van 600 informatie- en IT-beveiligingsprofessionals en 3.500 werknemers in de VS, Australië, Frankrijk, Duitsland, Japan, Spanje en het Verenigd Koninkrijk. Het rapport analyseert ook gegevens van bijna 100 miljoen gesimuleerde phishing-aanvallen die door Proofpoint-klanten over een periode van een jaar naar hun werknemers zijn verzonden. Daarnaast behandelt het rapport meer dan 15 miljoen e-mails die zijn gemeld via de PhishAlarm-
meldknop.
Het rapport bevat data op regionaal, sector- en afdelingsniveau waaruit de noodzaak blijkt van een mensgerichte aanpak van cyberbeveiliging. In het rapport worden ook voorbeelden van phishing uit de praktijk besproken en wordt de waarde benadrukt van een trainingsoplossing die rekening houdt met veranderende omstandigheden, zoals organisaties tijdens de pandemie hebben ervaren.
Aanvallen in 2021 hadden ook een veel bredere impact dan in 2020. 83% van de respondenten gaf aan dat hun organisatie ten minste één succesvolle phishing-aanval via e-mail heeft meegemaakt, tegenover 57% in 2020. In het verlengde hiervan gaf meer dan twee derde (68%) van de organisaties aan te maken te hebben gehad met ten minste één ransomware-infectie die via e-mail, malware in de tweede fase of een andere exploit werd verspreid. De jaarlijkse stijging is consistent en weerspiegelt de uitdagingen waarmee organisaties te maken kregen toen het aantal ransomware-aanvallen in 2021 steeg.
"Waar 2020 ons leerde dat het belangrijk is om flexibel en responsief te zijn bij veranderingen, leerde 2021 ons dat we onszelf beter moeten beschermen", zegt Adenike Cosgrove, Cybersecurity Strategist bij Proofpoint. "Aangezien e-mail de favoriete aanvalsmethode blijft voor cybercriminelen, is het belangrijk om een bedrijfscultuur op te bouwen waarin beveiliging centraal staat. In dit veranderende cyberlandschap waarin werken op afstand de norm is, is het cruciaal dat organisaties hun mensen in staat stellen om nieuwe cybervaardigheden te leren en toe te passen, zowel op het werk als thuis.
De verschuiving naar hybride werken is in 2021 versneld: 81% van de organisaties zegt dat meer dan de helft van hun werknemers op afstand werkt (parttime of fulltime) als gevolg van de pandemie. Slechts 37% geeft werknemers echter voorlichting over best practices voor werken op afstand. Dit geeft aan dat er niet genoeg kennis is over best practices op het gebied van beveiliging voor het 'nieuwe werken'. Zo zegt 97% van de werknemers thuis een Wi-Fi-netwerk te hebben, maar slechts 60% zegt dat hun netwerk met een wachtwoord is beveiligd. Hieruit blijkt dat het slecht gesteld is met de basishygiëne op het gebied van cybersecurity.
"Deelnemers aan het onderzoek zagen in 2021 een toename van het aantal gerichte aanvallen ten opzichte van 2020, maar toch blijkt uit onze analyse dat de herkenning van belangrijke terminologie zoals phishing, malware, smishing en vishing aanzienlijk daalde", aldus Cosgrove. "Het gebrek aan kennis en het lakse beveiligingsgedrag van werknemers vormen een aanzienlijk risico voor organisaties en hun bedrijfsresultaten. Ons rapport uit 2022 biedt bruikbare adviezen om het bewustzijn van gebruikers te vergroten, risico's te verminderen en mensen te beschermen."
Aanvullende resultaten uit het
2022 State of the Phish-rapport zijn:
- Bijna 60% van de met ransomware geïnfecteerde organisaties betaalde losgeld. Velen (32%) betaalden extra losgeld om weer toegang te krijgen tot data en systemen. 54% kreeg weer toegang tot data/systemen na de eerste betaling, terwijl 4% nooit toegang kreeg tot data/systemen, zelfs niet na betaling. 10% weigerde extra losgeld te betalen en kreeg geen toegang meer tot de data.
- Veel werknemers vertonen risicovol gedrag en houden zich niet aan de best practices voor cybersecurity. 42% zegt in 2021 iets risicovols te hebben gedaan (op een schadelijke link geklikt, malware gedownload, of persoonlijke gegevens of inloggegevens verstrekt). En 56% van de mensen die gebruikmaken van een zakelijk toestel (laptop, smartphone, tablet, enz.) heeft vrienden en familie toegestaan dit apparaat te gebruiken om bijvoorbeeld spelletjes te spelen, media te streamen of online te winkelen.
- De bekendheid met belangrijke beveiligingsterminologie daalde (in sommige gevallen aanzienlijk) ten opzichte van vorig jaar. Slechts 53% van de respondenten koos in een meerkeuzetoets de juiste definitie van de term 'phishing'. Dit was minder dan de 63% van vorig jaar. Slechts 63% herkende de definitie van malware (een daling ten opzichte van 65% in 2020), slechts 23% herkende de definitie van smishing (een daling ten opzichte van 31% in 2020), en slechts 24% herkende de definitie van vishing (een daling ten opzichte van 30% in 2020). Ransomware was de enige term die men beter wist te herkennen, met een stijging van 33% in 2020 naar 36% in 2021.
- Klanten van Proofpoint scoorden beter op het gebied van bewustzijn en beveiligingsgedrag. Het gemiddelde faalpercentage van Proofpoint-klanten bij phishing-simulaties bleef stabiel met 11% op jaarbasis, ondanks dat het aantal tests met 50% steeg gedurende de meetperiode van 12 maanden.
- Medewerkers waren beter in staat om verdachte e-mails te melden die ze in hun inbox kregen. Over de meetperiode van een jaar hebben gebruikers hun beveiligingsteams gewaarschuwd voor meer dan 350.000 phishing-e-mails gericht op inloggegevens, bijna 40.000 e-mails met malware payloads, en meer dan 20.000 schadelijke spamberichten.
Het 2022 State of the Phish-rapport en een lijst met globale en regionale vergelijkingen kunnen worden gedownload via:
https://www.proofpoint.com/us/resources/threat-reports/state-of-phish.
Meer informatie over best practices en training op het gebied van cyberbewustzijn is te vinden op:
https://www.proofpoint.com/us/product-family/security-awareness-training.
Over Proofpoint
Proofpoint, Inc. is een toonaangevend cybersecurity-bedrijf dat de belangrijkste activa en grootste risico’s van organisaties beschermt: hun werknemers. Proofpoint helpt bedrijven over de hele wereld met zijn geïntegreerde suite van cloud-oplossingen om gerichte bedreigingen te stoppen, hun data te beschermen en hun gebruikers minder vatbaar te maken voor cyber- aanvallen. Toonaangevende organisaties van elke omvang, inclusief meer dan de helft van de Fortune 1000, vertrouwen op Proofpoints mensgerichte oplossingen voor security en compliance om hun belangrijkste security- en compliance-risico’s te beperken. Dit geldt voor e-mail, cloud, sociale media en het web. Meer informatie is beschikbaar op
www.proofpoint.com.