Phishing simulatie laten uitvoeren, van scenario tot eindrapport door BSM
Wilt u een phishing simulatie laten uitvoeren zonder zelf een tool te bedienen, of een betere phishingtest dan nu? BSM maakt het scenario samen met u op maat, verstuurt de testmails, registreert wie klikt, gegevens invult of terugmailt en schrijft het eindrapport. U krijgt één vaste contactpersoon bij BSM.
- Cybersecurity-experts sinds 2004
- Eén vaste contactpersoon
- Gegevens in Europa
- Gemiddeld 2–4 weken
Wat een phishing simulatie van BSM omvat: oefenen, leren en bewust blijven
Een phishing simulatie voor uw medewerkers bestaat bij ons uit drie stappen die op elkaar voortbouwen. U kunt elke stap apart afnemen, en wat uw medewerkers in de phishingtest meemaken, komt terug in de stappen erna.
- 1
Oefenen
De phishingtest. Wij bouwen een phishing scenario op zoals een kwaadwillende hacker dit ook zou kunnen doen, en sturen het naar de medewerkers op uw deelnemerslijst. Voor uw medewerkers is het een oefening zonder gevolgen.
Phishingtest laten uitvoeren - 2
Leren
Na de test ontvangen alle medewerkers een herkenningsbrief phishing, in een opbouwende toon. Desgewenst volgt een phishing training door onze eigen trainers, waarin de uitkomsten van uw eigen test terugkomen.
Meer over phishing training - 3
Bewust blijven
Eén tot vier keer per jaar opnieuw, of vaker, steeds met een ander scenario.
Meer over phishing as a service
Het hele scenario van uw phishing simulatie sluit aan op uw organisatie
Samen kiezen wij een scenario dat past bij het niveau en de werkwijze van uw organisatie. Wij nemen met u door welke systemen u gebruikt en wat voor mails uw medewerkers ontvangen. Daarna bespreken wij een aantal actuele scenario’s waaruit u kunt kiezen. Heeft u een idee voor een eigen scenario, dan bouwen wij dat ook. Ligt het dicht bij een bestaand scenario, dan verwerken wij het in een semi-maatwerktest; anders geven wij het vorm als volledig maatwerk. Onze specialisten adviseren, het laatste woord is aan u.
De moeilijkheid bepalen wij met herkenningspunten: de signalen waaraan een medewerker een phishingmail kan herkennen, zoals een afwijkend adres, haast of een link naar een ander domein. Hoe minder en hoe subtieler die punten, hoe lastiger de mail. Voor een eerste phishingtest kiezen wij meestal duidelijke punten; bij een volgende test bepalen wij samen hoe subtiel ze zijn. Precies die punten leest iedereen na afloop terug in de herkenningsbrief phishing.
- De ogenschijnlijke afzender en het onderwerp
- De starttijd en, bij volledig maatwerk, de groepen die meedoen
- Het uiterlijk van de mail en van de inlogpagina
- Het aantal en de subtiliteit van de herkenningspunten
Drie niveaus voor uw phishing simulatie, van beproefd scenario tot gerichte aanval
Op elk niveau krijgt u dezelfde begeleiding, herkenningsbrief phishing en eindrapport; het niveau bepaalt hoeveel wij voor u nabouwen. U betaalt één vaste prijs per test, zonder licentie per medewerker per maand.
Semi-maatwerk
Een beproefd scenario dat wij samen met u op maat maken.
- Drie tot vijf herkenningspunten in de mail
- Eén groep; afzender, spoofing en starttijd samen bepaald
- Past bij: een eerste phishingtest
Volledig maatwerk
Wij bouwen alles na voor uw organisatie, zoals een kwaadwillende dat ook zou doen.
- Nagebouwde inlogpagina of verzonnen website
- Domeinnaam die op de uwe lijkt; tot vijf groepen, verspreid over dagen
- Past bij: organisaties die al eerder een phishingtest deden
Advanced
Een gerichte aanval, alleen na uw schriftelijke akkoord.
- Spear phishing op personen of afdelingen
- Ook telefoon en een remote sessie mogelijk
- Past bij: een hoog gewenst veiligheidsniveau, of red/blue teaming
Drie routes laten zien of uw phishingprotocol werkt
Een phishingmail leidt tot reacties in de hele organisatie. De een klikt en vult gegevens in, een ander antwoordt de ogenschijnlijke afzender, een derde belt de helpdesk. Daarom volgt elke phishingtest van BSM drie routes, en ziet u ook wie niets deed.
Route 1 en 2 registreren wij zelf, via de phishingpagina en de hackermailbox. Route 3 houdt uw organisatie bij: wie de mail meldde of navraag deed bij de helpdesk of de ogenschijnlijke afzender. Dat verslag stuurt u ons na afloop, en wij beschrijven het in het eindrapport. Een verdachte mail hoort altijd direct gemeld te worden bij de juiste persoon, ook na een klik.
- Route 1, de phishingpagina: wie klikt en wie daarna gegevens invult
- Route 2, de hackermailbox: wie terugmailt en dus met de ‘hackers’ mailt
- Route 3, melden en navraag: wie de helpdesk of de ogenschijnlijke afzender benadert
- Daarnaast: wie niets deed
Phishing simulatie laten uitvoeren of zelf een tool bedienen: het verschil
Met phishing simulatie software of een van de bekende tools verstuurt u zelf phishing simulaties. Daar komt meer bij kijken dan de licentie. Iemand moet scenario’s schrijven die bij uw organisatie passen, de whitelisting in uw mailfilter inrichten en bijhouden, vragen van medewerkers opvangen en de uitkomsten uitleggen. Die uren komen meestal bij IT terecht, naast het gewone werk.
Bij een phishing simulatie dienst ligt dat werk bij ons. Wij schrijven het scenario, sturen uw IT-beheerder de instructies voor het filter, bellen u vlak voor de start en geven uw helpdesk en de ogenschijnlijke afzender vooraf een document met tips om op vragen van collega’s te reageren. Uw IT-afdeling besteedt weinig tijd aan de test.
Een platform past goed bij organisaties met een eigen securityteam dat zelf vaak korte testmails wil versturen en e-learning aan de uitkomsten wil koppelen. Dan heeft u de mensen en de tijd om de tool te bedienen. Heeft u die niet, of wilt u een betere phishingtest dan nu, dan voert BSM de phishing simulatie voor u uit.
medewerkers klikte op een generieke phishingmail, in een experiment onder 33.016 medewerkers
Veilig voor uw medewerkers, en hun gegevens blijven in Europa
Het doel van een phishing simulatie is leren, samen en zonder met de vinger te wijzen. Daarom gaan wij zorgvuldig om met alles wat uw medewerkers tijdens de test doen, en met de deelnemerslijst die u ons geeft.
Gevoelige reacties, zoals een antwoord dat voor een echte collega bedoeld was, blijven bij BSM. Of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u zelf en legt u vast in de verwerkersovereenkomst. Grote organisaties kiezen vaak voor volledig anoniem.
- Het eindrapport noemt geen medewerkers bij naam
- Wachtwoorden al in de browser afgekapt
- Eigen servers in Duitsland, in datacenters met een ISO 27001-certificaat
- Een verwerkersovereenkomst is standaard
Vier dingen die wij van u nodig hebben voor de phishing simulatie
Dit is wat uw organisatie zelf regelt. Uw contactpersoon denkt mee over het scenario en hoort van ons op elk belangrijk moment.
Wat wij van u vragen
- 1Een contactpersoon die met ons meedenkt
- 2Een deelnemerslijst met namen en e-mailadressen
- 3Uw akkoord op de testmail
- 4Een IT-beheerder die de whitelisting instelt met onze instructies
Vijf redenen om uw phishing simulatie door BSM te laten uitvoeren
Onze cybersecurity-experts voeren phishing simulaties uit voor gemeenten, banken, scholen, zorginstellingen en dienstverleners. Op deze vijf punten kunt u ons beoordelen.
Realistische, menselijke scenario’s uit echte incidenten, sinds 2004
Onze specialisten worden ingeschakeld als een organisatie slachtoffer is geworden van phishing of ransomware. Die aanvallen zijn de basis van onze scenario’s.
Afgestemd op uw organisatie, samen met onze experts
Onze specialisten adviseren over het scenario, de afzender en de moeilijkheid, op basis van hoe uw organisatie werkt.
Phishing as a service: geen software, wij doen het werk
U hoeft geen platform te kopen of te leren. Wij richten elke test in, voeren hem uit en schrijven het eindrapport.
Uw gegevens in goede handen bij een vergund onderzoeksbureau
BSM heeft een vergunning van het Ministerie van Justitie en Veiligheid (POB 1104). Wie aan uw test werkt, is gescreend en heeft een wettelijke geheimhoudingsplicht.
Wij kijken naar de hele organisatie, ook naar meldingen
Naast kliks en ingevulde gegevens zien wij wie terugmailt naar de ‘hackers’. Wie meldt of navraag doet bij de helpdesk, houdt uw organisatie bij; dat nemen wij mee in het eindrapport. Zo test u ook uw phishingprotocol.
Vragen over een phishing simulatie laten uitvoeren
Wat als onze mailfilter de testmail tegenhoudt?
Dat voorkomen wij vooraf. Uw IT-beheerder krijgt van ons instructies om de testmail door te laten (whitelisting). Daarna sturen wij een testmail naar uw contactpersoon, zodat u ziet dat hij aankomt en hoe hij eruitziet. Pas als dat klopt, starten wij.
Kunnen afdelingen een ander scenario krijgen?
Ja, bij volledig maatwerk: tot vijf groepen, met starttijden verspreid over meerdere dagen. Elke groep kan een eigen mail krijgen die past bij het werk van die afdeling; of dat zinvol is, hangt af van het scenario en uw budget. Bij advanced kan dat ook, en kan in principe alles. Bij semi-maatwerk is er één groep: iedereen krijgt dezelfde mail van dezelfde afzender, druppelsgewijs verstuurd.
Hoe vaak laten wij een phishing simulatie uitvoeren?
Dat bepaalt u. De meeste organisaties testen één tot vier keer per jaar, steeds met een ander scenario; elke maand kan ook. Het effect van één phishingtest is na een paar maanden weg (NCSC en Digital Trust Center, 2022). Eén losse test kan ook.
Wat kost een phishing simulatie?
De prijs hangt af van vier dingen: het aantal medewerkers, het niveau, het aantal groepen en starttijden, en of er een training bij komt. Voorbereiding, uitvoering, eindrapport en herkenningsbrief phishing zijn inbegrepen. Het bedrag hoort u na de intake, zodra het scenario duidelijk is.
Wat ziet BSM van wachtwoorden?
Vult iemand een wachtwoord in, dan wordt het al in de browser afgekapt. Wij leggen alleen de eerste twee tekens en de lengte vast. Dat is genoeg om bijvoorbeeld te zien of een standaardwachtwoord nooit is aangepast. Bij advanced gaat dit anders, en alleen met uw schriftelijke akkoord.
Kunnen wij BSM inzetten naast KnowBe4?
Ja. BSM is reseller en partner van KnowBe4 sinds 2023, dus wij kennen het platform goed. U houdt de oefeningen in KnowBe4 en laat daarnaast een phishingtest op maat door ons uitvoeren, bijvoorbeeld voor uw audit. De starttijd stemmen wij af op uw campagnes in KnowBe4.
Lees ook
- 5 min leestijd
BIO2 en ENSIA: bewustwording aantonen als gemeente, met een phishingtest
De BIO2 vraagt dat medewerkers de regels kennen, getraind zijn en weten hoe zij melden. Zo helpt een phishingtest met eindrapport dat aantonen voor ENSIA.
Lees het artikel - 4 min leestijd
NEN 7510 awareness: bewustwording in de zorg aantonen met een phishingtest
NEN 7510 vraagt dat zorgmedewerkers bewust omgaan met informatie. Wat de auditor wil zien en hoe een phishingtest dat in de zorg helpt aantonen.
Lees het artikel - 4 min leestijd
ISO 27001 awareness training: maatregel A.6.3 aantonen met een phishingtest
Maatregel A.6.3 van ISO 27001 vraagt bewustwording, opleiding en training. Wat de auditor wil zien en hoe een phishingtest dat helpt aantonen.
Lees het artikel
Begin uw phishing simulatie met een gratis intake
In de intake bespreken wij uw situatie, het niveau dat bij u past en de vragen van uw OR of privacy officer. U ontvangt daarna een offerte op maat. De doorlooptijd is gemiddeld twee tot vier weken.