Advanced phishingtest: een spear phishing simulatie, zo ver als u wilt
Met een spear phishing simulatie oefent uw organisatie wat een echte aanvaller doet: een gerichte aanval op personen of afdelingen, per mail, telefoon, sms of QR-code. Wij loggen in met wat medewerkers afgeven en gaan door tot de grens die u vooraf vastlegt.
- Alleen met schriftelijk akkoord
- Grenzen vooraf vastgelegd
- Eigen rapport per scenario
- Vergund onderzoeksbureau (POB 1104)
Advanced is stap 1 van de phishing simulatie: oefenen met een gerichte aanval
- 1
Oefenen
Een realistische, onschuldige phishingmail die past bij uw organisatie.
- 2
Leren
Na afloop uitleg voor iedereen, en desgewenst een training op maat.
- 3
Bewust blijven
Eén tot vier keer per jaar opnieuw, of vaker, steeds met een ander scenario.
Een spear phishing simulatie laat zien hoe ver een aanvaller bij u komt
Een echte aanvaller stopt zelden bij één klik. Hij kiest een doelwit, zoekt uit waar die persoon mee bezig is, belt erachteraan en logt in met wat hij heeft gekregen. Een advanced phishingtest van BSM doet hetzelfde, als oefening. Wij zetten de spear phishing aanval op zoals een kwaadwillende hacker dat zou doen, gericht op de personen of afdelingen die u kiest.
Onze medewerkers onderzoeken incidenten bij organisaties die slachtoffer werden van phishing en ransomware. Daar zien wij hoe gerichte aanvallen in de praktijk verlopen, en die kennis zetten wij in bij uw oefening.
Advanced is bedoeld voor organisaties met een hoog gewenst veiligheidsniveau. Vaak volgt het op volledig maatwerk, als uw medewerkers al met een nagebouwde inlogpagina hebben geoefend. Advanced is ook geschikt om incidentbeheer en forensic readiness te oefenen.
Spear phishing per mail, telefoon, sms of QR-code, tot en met een remote sessie
Een aanvaller gebruikt elk kanaal waarop hij uw medewerkers kan bereiken. Voor uw spear phishing simulatie kiest u samen met ons welke kanalen meedoen. Wij kunnen een medewerker ook overhalen tot een remote sessie, waarin hij ons op afstand laat meekijken op zijn computer. Per aanvalsvorm leest u op een eigen pagina wat het is, hoe u het herkent en wat u doet.
Spear phishing per mail
Een mail op naam, voor één persoon of een kleine groep, zoals de directie of de financiële afdeling. Het scenario sluit aan op hun werk of op een partij waarmee zij te maken hebben.
Vishing: per telefoon
Wij bellen medewerkers, los of als vervolg op een mail. Zo oefent u of iemand aan de telefoon gegevens afgeeft of een verzoek uitvoert dat hij had moeten controleren.
Meer over vishingSmishing: per sms
Een sms met een link naar een pagina van ons. Op een telefoon is een afwijkend adres lastiger te zien dan op een computer.
Meer over smishingQuishing: via een QR-code
Een QR-code die naar een pagina van ons leidt, bijvoorbeeld in een mail. Wie scant, ziet het adres pas daarna, en opent het vaak op de eigen telefoon.
Meer over quishingNa een gelukte login bepaalt u of wij doorgaan of stoppen
Bij semi-maatwerk en volledig maatwerk kappen wij ingevulde wachtwoorden in de browser af. Bij advanced komt een wachtwoord werkelijk bij ons binnen, ook als een medewerker het aan de telefoon geeft. Wij gebruiken het zoals een aanvaller dat zou doen, in drie stappen.
Inloggen, ook met tweestapsverificatie
Met dat wachtwoord proberen wij in te loggen op de systemen die u vooraf heeft aangewezen, zoals het mailaccount van die medewerker. Ook tweestapsverificatie kunnen wij omzeilen; dat is ons in de praktijk gelukt.
Doorgaan of stoppen
Na een gelukte login kunnen wij proberen informatie los te halen. Veel klanten kiezen ervoor om op dat moment te stoppen, zodat er geen echte problemen ontstaan. Wat u kiest, ligt vooraf vast.
Wachtwoord verwijderd en gewijzigd
Na afloop verwijderen wij de wachtwoorden die wij ontvingen. Iedereen van wie wij het wachtwoord echt hebben, oefent meteen met het wijzigen ervan.
Grenzen en afspraken liggen vast voordat de aanval begint
Een advanced phishingtest voeren wij alleen uit met uw schriftelijke akkoord. Na uw akkoord op de offerte leggen wij in het startgesprek samen vast welke personen, afdelingen of groepen meedoen, welke kanalen wij gebruiken, op welke systemen wij mogen inloggen en waar de grens ligt. Bij advanced kan in principe alles; wat niet is afgesproken, doen wij niet.
Voor de start tekenen wij met u een vrijwaring en een verwerkersovereenkomst. U bepaalt wie in uw organisatie van de oefening weet, en u heeft één vaste contactpersoon bij BSM. Wie bij ons aan de aanval werkt, is gescreend en heeft een wettelijke geheimhoudingsplicht.
- Schriftelijk akkoord, vrijwaring en verwerkersovereenkomst
- Personen, kanalen, systemen en grens vooraf vastgelegd
- U bepaalt wie van de oefening weet
- Vlak voor de start bellen wij uw contactpersoon
Incidentbeheer en forensic readiness oefenen, met ons red team tegen uw blue team
Met advanced kan ook uw securityteam oefenen. Het red team is het aanvallende team: dat zijn onze specialisten, die de afgesproken aanval uitvoeren. Het blue team zijn uw verdedigers, zoals uw IT-afdeling, servicedesk of securityteam. Zij oefenen of zij de aanval opmerken, op tijd reageren en de sporen veiligstellen voor onderzoek achteraf. Dat laatste heet forensic readiness.
Het red team: BSM
- Voert de afgesproken aanval uit, via de kanalen die u kiest
- Probeert in te loggen op de systemen die u aanwijst
- Test desgewenst ook uw IT-afdeling, zonder dat die vooraf is ingelicht
- Zet na afloop de leermomenten voor uw IT- en securityteam op een rij
Het blue team: uw verdedigers
- 1De aanval opmerken
- 2Meldingen van medewerkers op tijd oppakken
- 3Reageren volgens uw draaiboek voor cyberincidenten
- 4Sporen veiligstellen voor onderzoek achteraf
Een eigen rapport per advanced-scenario
Elk advanced-scenario krijgt een eigen rapport, geschreven door de specialisten die de aanval uitvoerden. U leest daarin wat een aanvaller bij uw organisatie had kunnen bereiken. Wat uw helpdesk en securityteam opmerkten en meldden, houdt u zelf bij; dat verslag verwerken wij in het rapport. Of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u in de verwerkersovereenkomst.
- Hoe ver de spear phishing aanval kwam, per kanaal
- Waar inloggen lukte, en of tweestapsverificatie standhield
- Wat uw verdedigers opmerkten, en of meldingen de juiste persoon bereikten
- Of uw draaiboek voor cyberincidenten werkte
- Wat u kunt verbeteren in beveiliging, phishingprotocol en incidentbeheer
- Advies voor uw volgende oefening
De prijs van advanced is maatwerk, en die bespreken wij in de intake
Geen twee advanced-scenario’s zijn gelijk. De prijs hangt af van vier dingen: het aantal medewerkers, het niveau, het aantal groepen en starttijden, en of er een training bij komt. Wat u bij advanced wilt oefenen, welke kanalen, hoe ver wij na een login gaan en of uw securityteam meedoet als blue team, bespreken wij in de intake; daarna hoort u het bedrag.
In de gratis intake bespreken wij wat u wilt weten en wat realistisch is voor uw organisatie. Daarna maken wij een voorstel op maat. Neem contact op voor de mogelijkheden.
Vragen over een advanced phishingtest
Gaat dit niet te ver voor onze medewerkers?
Het doel blijft leren, samen en zonder met de vinger te wijzen. Daarom gaan wij niet verder dan u vooraf schriftelijk vastlegt. Deelnemers krijgen na afloop uitleg in een opbouwende toon: waaraan de aanval te herkennen was, en bij wie zij een verdacht bericht of telefoontje melden.
Wie in onze organisatie weet van de oefening?
Dat bepaalt u. In elk geval uw contactpersoon en degene die het akkoord tekent. Of uw helpdesk, IT-afdeling of securityteam het weet, hangt af van wat u wilt oefenen: wilt u uw verdedigers testen, dan kunt u hen bewust niet inlichten. Onze specialisten adviseren, het laatste woord is aan u.
Kunnen wij alleen vishing, smishing of quishing laten oefenen?
Ja. Vishing, smishing en quishing zijn los te bestellen als advanced-scenario, na een intake. U krijgt dezelfde afspraken vooraf en een eigen rapport. U kunt die kanalen ook combineren met spear phishing per mail.
Past advanced als eerste phishingtest?
Wilt u eerst weten hoe de hele organisatie op phishing reageert, dan adviseren wij meestal semi-maatwerk of volledig maatwerk. Advanced is gericht op personen of afdelingen en gaat verder. Welk niveau bij u past, adviseren wij in de intake.
Wat gebeurt er met de gegevens die u tijdens de oefening ziet?
Wij gebruiken ze alleen voor de oefening en het rapport. Alle gegevens blijven in Europa, op onze eigen servers in Duitsland, in datacenters met een ISO 27001-certificaat. Na afloop bewaren wij alleen wat nodig is voor het rapport.
Neem contact op voor de mogelijkheden van een advanced phishingtest
In de gratis intake bespreken wij wat u wilt oefenen, welke kanalen en grenzen passen en of uw securityteam meedoet. Daarna ontvangt u een voorstel op maat. Liever eerst bellen? +31 (0)20 820 36 93.