Een phishingtest laten uitvoeren: zo werkt een phishing test bij BSM
Een phishingtest laten uitvoeren door BSM betekent: uw medewerkers krijgen een onschuldige mail die lijkt op echte phishing. Zo ziet u hoeveel medewerkers klikken, gegevens invullen of terugmailen, met namen of volledig anoniem, zoals u kiest. BSM bereidt de phishing test met u voor, voert hem uit en schrijft het eindrapport.
- Cybersecurity-experts sinds 2004
- Eindrapport zonder namen
- Gegevens in Europa
- Geen software nodig
Een phishing test uitvoeren in zes stappen, van intake tot eindrapport
Voor een eerste phishingtest hoeft u niet te weten hoe zoiets werkt. Wij leiden u door elke stap en zeggen steeds wat wij van u nodig hebben. Bij elke stap staat hieronder wat uw rol is.
Gratis intake
U vertelt ons waarom u wilt testen, bijvoorbeeld na een incident in uw omgeving of op vraag van uw bestuur of verzekeraar. Wij adviseren een niveau en een scenario en beantwoorden uw eerste vragen.
Het scenario op maat
Na uw akkoord op de offerte volgt het startgesprek. Daarin bepaalt u met onze specialisten de ogenschijnlijke afzender, het onderwerp, de starttijd en, bij volledig maatwerk, de groepen. U ontvangt de testmail en de pagina achter de link, om zelf te beoordelen.
De voorbereiding
U levert een deelnemerslijst aan en uw IT-beheerder stelt met onze instructies de whitelisting in. Pas als de testmail goed bij uw contactpersoon aankomt, geeft u akkoord.
De phishingtest zelf
Wij versturen de mails en bellen uw contactpersoon vlak voor de start. Terwijl de test loopt, volgen wij wie klikt, gegevens invult of terugmailt.
Uitleg voor iedereen
Na afloop ontvangen alle medewerkers de herkenningsbrief phishing. Zo leert ook wie niet klikte waaraan deze mail te herkennen was.
Het eindrapport
Onze specialisten beschrijven wat er gebeurde en wat u kunt verbeteren. Met dat rapport kiest u de volgende stap, zoals een phishing training of een nieuwe test met een ander scenario.
Wat uw medewerkers tijdens de phishing test zien
Uw medewerkers krijgen op een gewone werkdag een mail in hun inbox. Meestal adviseren wij om vooraf aan te kondigen dat er getest gaat worden: die aankondiging is al een extra leermoment. Kiest u er bewust voor om niets aan te kondigen, bijvoorbeeld voor een moeilijkere test of een nulmeting, dan weten alleen de mensen die u kiest ervan, zoals de helpdesk en de ogenschijnlijke afzender.
Het scenario kan aansluiten op hun werk, op de actualiteit of op een partij waarmee uw organisatie te maken heeft. Hoe herkenbaarder het onderwerp, hoe moeilijker de test; voor een makkelijke test kiezen wij daarom soms bewust een algemener scenario. Een phishing test voorbeeld: een bericht dat lijkt te komen van een systeem dat zij dagelijks gebruiken, met het verzoek in te loggen. Wie op de link klikt, komt op een pagina die bij het scenario hoort. Bij semi-maatwerk is dat een pagina uit een beproefd scenario, bij volledig maatwerk een pagina die wij voor u nabouwen. Onze scenario’s zetten wij niet online, want een scenario werkt alleen zolang uw medewerkers het niet eerder zagen; de afbeeldingen op deze site zijn illustraties. Het scenario voor uw organisatie ziet u vooraf, voordat u akkoord geeft.
- Een ogenschijnlijke afzender en een onderwerp, samen met u gekozen
- Herkenningspunten waaraan de mail te herkennen is
- Een link naar een inlogpagina of een verzonnen website
- Een starttijd die u samen met ons kiest
Herkenningspunten bepalen hoe moeilijk de phishingtest is
Een herkenningspunt is een signaal waaraan een oplettende medewerker kan zien dat een mail niet klopt. Bij semi-maatwerk zitten er drie tot vijf in de mail en op de pagina; bij volledig maatwerk bepalen wij het aantal samen met u. Hoe duidelijk die punten zijn, bepaalt hoe lastig de test wordt.
Welke moeilijkheid past, kiezen wij samen met u. Wij kijken of uw organisatie eerder heeft getest, welk werk uw medewerkers doen en wat u wilt weten. Bij een eerste phishing test kiezen wij meestal punten die goed te vinden zijn. Dan ziet u hoe uw organisatie er nu voor staat, hebben uw medewerkers een eerlijke kans en leert iedereen er het meest van.
Bij een volgende test in uw phishing simulatie kiezen wij een ander scenario en bepalen wij samen hoe subtiel de punten zijn. Zo ziet u per test of meer mensen de mail herkennen en melden.
- Een afzenderadres dat net afwijkt
- Een link die naar een ander domein leidt
- Haast of een dringend verzoek
- Een vraag die niet past bij de ogenschijnlijke afzender
De phishing test voor uw bedrijf: drie niveaus
Voor een eerste phishingtest adviseren wij meestal semi-maatwerk. Wilt u direct weten hoe uw medewerkers reageren op een inlogpagina die op de uwe lijkt, dan past volledig maatwerk. Advanced is voor organisaties met een hoog gewenst veiligheidsniveau, vaak als vervolg op volledig maatwerk. Ook kunt u er incidentbeheer en forensic readiness mee oefenen: een aanvallend team (red team) tegen uw verdedigers (blue team).
Semi-maatwerk
Een beproefd scenario dat wij samen met u op maat maken.
- Drie tot vijf herkenningspunten in de mail
- Eén groep; afzender, spoofing en starttijd samen bepaald
- Past bij: een eerste phishingtest
Volledig maatwerk
Wij bouwen alles na voor uw organisatie, zoals een kwaadwillende dat ook zou doen.
- Nagebouwde inlogpagina of verzonnen website
- Domeinnaam die op de uwe lijkt; tot vijf groepen, verspreid over dagen
- Past bij: organisaties die al eerder een phishingtest deden
Advanced
Een gerichte aanval, alleen na uw schriftelijke akkoord.
- Spear phishing op personen of afdelingen
- Ook telefoon en een remote sessie mogelijk
- Past bij: een hoog gewenst veiligheidsniveau, of red/blue teaming
Zo verschillen de drie niveaus van een phishingtest
| Onderdeel | Semi-maatwerk | Volledig maatwerk | Advanced |
|---|---|---|---|
| Past bij | een eerste phishingtest, de hele organisatie | organisaties die al eerder testten | een hoog gewenst veiligheidsniveau, als vervolg op maatwerk, of red/blue teaming |
| Vertrekpunt | een beproefd scenario, op maat gemaakt | alles nieuw gebouwd | een gerichte aanval |
| Website speciaal voor u nagebouwd, bijvoorbeeld uw inlogpagina | nee, pagina uit het scenario | ja | ja |
| Domeinnaam die op de uwe lijkt | nee, domein uit het scenario | ja | ja |
| Verzending | één groep, druppelsgewijs verstuurd | tot vijf groepen, verspreid over dagen; desgewenst een eigen mail per groep | per persoon, afdeling of groep; in principe kan alles |
| Gerichte aanval op personen of afdelingen (spear phishing) | nee | nee | ja |
| Telefoon en een remote sessie | nee | nee | ja |
| Ingevulde wachtwoorden | afgekapt | afgekapt | anders, met uw akkoord |
| Uw akkoord vooraf | op de testmail | op de testmail en de nagebouwde pagina | schriftelijk, op de hele aanval |
Op elk niveau: het scenario samen met u op maat gemaakt, advies over de moeilijkheid, één vaste contactpersoon bij BSM, desgewenst een tussentijdse update, de herkenningsbrief phishing voor alle medewerkers en een geanonimiseerd eindrapport. U installeert geen software.
Drie routes laten zien hoe uw medewerkers op de phishing test reageren
Klikken is één van de uitkomsten van een phishingtest. Daarom houden wij bij elke phishingtest drie routes bij, en de groep die niets deed. Samen geven ze een beeld van hoe uw organisatie reageert als er echt phishing binnenkomt.
Route 1: wie klikt of gegevens invult op de phishingpagina
Wij registreren wie de link in de mail opent (route 1.1) en wie daarna op de pagina gegevens invult (route 1.2). Zo ziet u hoeveel medewerkers tot de laatste stap gaan.
Route 2: wie terugmailt naar de ‘hackers’
Een antwoord op de phishingmail komt binnen in de mailbox van de ‘hackers’, die wij beheren. Medewerkers denken dat zij een collega mailen en mailen zo met de ‘hackers’. Wie terugmailt, kan ook het e-mailadres van de ‘hackers’ opslaan. Daarom zijn terugmailers het grootste risico, ook na de test.
Route 3: wie meldt of navraag doet
Sommige medewerkers melden de mail bij de helpdesk, vragen daar na of hij echt is, of benaderen de ogenschijnlijke afzender rechtstreeks. Dat gebeurt in uw eigen organisatie: u houdt het bij en stuurt ons na afloop een verslag. Wij beschrijven het in het eindrapport, zodat u ziet of uw phishingprotocol bekend is.
Daarnaast: wie niets deed
Wie de mail liet liggen, liep geen risico. Met een melding had deze groep collega’s en IT eerder kunnen waarschuwen; daarom staat ook zij in het eindrapport.
Het eindrapport: wat u na afloop in handen heeft
Het eindrapport wordt geschreven door de specialisten die uw test hebben uitgevoerd. Het beschrijft per route wat er gebeurde, noemt geen namen van medewerkers en zet de uitkomsten in een risicomatrix. Daarbij staat wat u kunt verbeteren, bijvoorbeeld in uw phishingprotocol of voor groepen die extra aandacht nodig hebben. Wilt u tijdens de test al meekijken, dan krijgt u na een paar uur een tussentijdse update.
Omdat wij elke test met hetzelfde risicomodel beoordelen, kunt u de uitkomst later naast die van een volgende phishingtest leggen. Het rapport helpt aantonen dat u aan de bewustwording van uw medewerkers werkt, bijvoorbeeld voor ISO 27001, NEN 7510, de BIO2 of de Cyberbeveiligingswet.
Voor uw medewerkers is er de herkenningsbrief phishing, ook als intranettekst. Die legt in een opbouwende toon uit hoe de testmail in elkaar zat, aan welke punten hij te herkennen was en bij wie een verdachte mail gemeld hoort te worden.
Een veilige phishing test voor medewerkers en hun gegevens
Vult een medewerker een wachtwoord in, dan wordt het al in de browser afgekapt. Wij leggen alleen de eerste twee tekens en de lengte vast, genoeg om te zien of iemand een standaardwachtwoord gebruikt. Bij advanced werken wij anders, en alleen met uw schriftelijke akkoord.
Alle gegevens van de test blijven in Europa, op onze eigen servers in Duitsland, in datacenters met een ISO 27001-certificaat. Wie bij BSM aan uw test werkt, is gescreend en heeft een wettelijke geheimhoudingsplicht; BSM is een vergund onderzoeksbureau (POB 1104). Voor de start sluiten wij met u een verwerkersovereenkomst.
- Wachtwoorden in de browser afgekapt
- Geen namen in het eindrapport of de herkenningsbrief phishing
- Met namen of volledig anoniem: dat kiest u in de verwerkersovereenkomst
- Wie de uitkomsten mag inzien, legt u vooraf met ons vast
Wat een phishingtest kost: één vaste prijs per test
De prijs van een phishingtest hangt af van vier dingen: het aantal medewerkers, het niveau, het aantal groepen en starttijden, en of er een training bij komt. Voorbereiding, uitvoering, begeleiding, eindrapport en herkenningsbrief phishing zitten erin.
Een gratis phishing test bieden wij niet aan, omdat een goede phishingtest een scenario op maat, begeleiding tijdens de test en een eindrapport van onze specialisten vraagt. Gratis is wel de intake: een gesprek waarin wij uw situatie bespreken, een niveau en scenario adviseren en uw vragen beantwoorden. Daarna beslist u of u verdergaat.
Vragen over een eerste phishingtest
Voelen medewerkers zich na een phishingtest gepakt?
Het doel is samen leren, niet met de vinger wijzen. Daarom noemt het eindrapport geen namen en krijgt iedereen dezelfde herkenningsbrief phishing. In de brief ziet iedereen waaraan de mail te herkennen was, en dat melden altijd goed is, ook na een klik.
Mag een phishingtest van de ondernemingsraad?
Of uw OR moet instemmen, hangt af van uw organisatie en van wat er met de uitkomsten gebeurt. Wij raden aan de OR vooraf te informeren. Wij leggen uit wie welke uitkomsten ziet, waar de gegevens staan en dat het eindrapport niemand noemt, en lichten dat zo nodig toe aan uw OR.
Moeten wij software installeren?
Nee. Wij werken met onze eigen, zelfontwikkelde software en versturen de testmails vanaf onze servers. Uw IT-beheerder past alleen het mailfilter aan, zodat de testmail binnenkomt.
Hoeveel werk is een phishing test voor IT?
Weinig. Uw IT-beheerder zet met onze instructies de whitelisting klaar en controleert samen met ons dat de testmail aankomt. Uw helpdesk krijgt vooraf van ons een document met tips: wat medewerkers te zien krijgen en hoe te reageren. De meldingen die binnenkomen, houdt de helpdesk bij voor het verslag na afloop.
Wat als iemand echt gegevens invult?
Dan gebeurt er verder niets: de pagina is van ons en wij bewaren alleen wat nodig is voor het eindrapport. Die medewerker leest in de herkenningsbrief phishing, net als iedereen, waaraan de mail te herkennen was. In een echte situatie is dat het moment om IT te waarschuwen, en dat leggen wij ook uit.
Hoe lang duurt een phishingtest?
De doorlooptijd is gemiddeld twee tot vier weken. De test zelf kan binnen een dag draaien; in overleg kan de doorlooptijd een week zijn, als wij de reacties korter opvangen. Hoe vlot het gaat, hangt ook af van wanneer de deelnemerslijst en uw akkoord binnen zijn.
Lees ook
- 4 min leestijd
Een phishingtest helpt awareness training aantonen voor de audit
Een phishingtest is een praktische oefening die helpt aantonen dat u aan awareness werkt. Wat een auditor wil zien en welke stukken u van ons krijgt.
Lees het artikel - 5 min leestijd
BIO2 en ENSIA: bewustwording aantonen als gemeente, met een phishingtest
De BIO2 vraagt dat medewerkers de regels kennen, getraind zijn en weten hoe zij melden. Zo helpt een phishingtest met eindrapport dat aantonen voor ENSIA.
Lees het artikel - 4 min leestijd
NEN 7510 awareness: bewustwording in de zorg aantonen met een phishingtest
NEN 7510 vraagt dat zorgmedewerkers bewust omgaan met informatie. Wat de auditor wil zien en hoe een phishingtest dat in de zorg helpt aantonen.
Lees het artikel
Uw eerste phishingtest laten uitvoeren begint met een gratis intake
Na de intake ontvangt u een offerte met één vaste prijs voor de test. Bellen kan ook: +31 (0)20 820 36 93.