Hoe leer je medewerkers phishing herkennen?
Er gaat bijna geen week voorbij zonder nieuws over een organisatie die is gehackt. Soms liggen systemen dagen stil, worden gegevens buitgemaakt of blijkt iemand geld te hebben overgemaakt naar een rekening die helemaal niet van de leverancier was.
Vaak begint het met een e-mail. Een factuur van een bekende leverancier. Een melding dat je wachtwoord verloopt. Of een bericht van 'de directeur' die dringend iets geregeld wil hebben. Wie op een verkeerde link klikt en vervolgens inloggegevens invult, kan onbedoeld een aanvaller toegang geven tot bedrijfsgegevens of systemen.
Met spamfilters, beveiligde accounts en monitoring kun je veel tegenhouden. Toch glippen er altijd wel eens verdachte berichten tussendoor. Daarom is het belangrijk dat medewerkers phishing herkennen en weten wat ze moeten doen als ze een verdachte mail ontvangen.
Phishing herkennen door te oefenen
Je kunt medewerkers vertellen waar ze op moeten letten, maar in de praktijk leer je vaak meer door zelf te oefenen. Met een phishingsimulatie ontvangen medewerkers gedurende een langere periode testmails in hun eigen mailbox.
Die mails kunnen worden afgestemd op hun functie en werkzaamheden. Een directeur krijgt bijvoorbeeld andere berichten dan iemand aan de balie of op de financiële administratie. Daarmee sluiten de tests aan op situaties die medewerkers tijdens hun werk daadwerkelijk kunnen tegenkomen.
Wat gebeurt er als iemand een testmail ontvangt?
- Een verdachte mail herkennen en melden. Medewerkers kunnen verdachte berichten via een extra knop in Outlook melden. Gaat het om een testmail, dan krijgen ze direct een bevestiging dat ze de phishingpoging goed hebben herkend.
- Toch op een link klikken. Klikt iemand op een link in de testmail, dan verschijnt een melding dat het om een simulatie ging. Zo leert de medewerker meteen waar hij of zij de volgende keer op kan letten.
- Een echte verdachte mail melden. Ook berichten die geen onderdeel zijn van de simulatie kunnen via de meldknop worden doorgestuurd. DigiState kan vervolgens controleren of er daadwerkelijk sprake is van phishing.
De testmails komen op willekeurige momenten binnen, verspreid over een langere periode. Want als iedereen weet dat er elke eerste maandag van de maand een testmail komt, leer je weinig. Het gaat er juist om dat medewerkers ook op een drukke dinsdagmiddag alert blijven.
Inzicht krijgen en blijven leren
Alles wordt bijgehouden: wie een mail meldt, wie klikt en hoe vaak. Dat komt samen in een rapportage. Je ziet daarin of het klikgedrag over een langere periode verandert en welke afdelingen of functies extra aandacht nodig hebben.
Daarnaast volgen medewerkers een korte online training van ongeveer een kwartier. Met een uitleg en enkele vragen leren ze hoe phishing werkt en welke signalen kunnen wijzen op een verdachte mail. Denk aan een afzender die net niet klopt of een verzoek dat ineens heel dringend is.
Het doel is niet om medewerkers op fouten te betrappen, maar om ze bewuster te maken. Door te oefenen en direct feedback te krijgen, leren ze verdachte situaties steeds beter herkennen.
Marin Heideman: "Klanten vinden dit een leuke, leerzame manier omdat het voor medewerkers een soort onderlinge strijd wordt om de meeste phishing mails te vangen. En het vergroot ook nog eens het bewustzijn!"
Phishingsimulatie bij DigiState
DigiState kan phishingcampagnes en security awareness-trainingen als extra dienst toevoegen aan de IT-omgeving van klanten.
Wij richten de simulatie in, zorgen dat de testmails correct worden afgeleverd en regelen de meldfunctie in Outlook. Ook verzorgen we de rapportages, zodat je kunt volgen hoe het veiligheidsbewustzijn binnen jouw organisatie zich ontwikkelt.
Wil je weten hoe phishingbestendig jouw organisatie is? Neem contact met ons op. We bespreken graag wat een phishingsimulatie voor jouw medewerkers kan betekenen.