Veelgestelde vragen over een phishingtest, beantwoord door de specialisten van BSM

Of instemming van de OR nodig is, verschilt per organisatie en hangt af van wat u met de uitkomsten doet. Wij raden aan uw OR vooraf te informeren. Wie welke uitkomsten ziet en waar de gegevens staan, lichten wij in de intake toe, zo nodig rechtstreeks aan uw OR of privacy officer.

Nee, alleen de eerste twee tekens en de lengte: een ingevuld wachtwoord wordt al in de browser afgekapt. Dat is genoeg om te zien of een standaardwachtwoord nooit is aangepast. Bij advanced krijgen wij wachtwoorden wel echt binnen, alleen met uw schriftelijke akkoord; wie zijn wachtwoord invulde, oefent dan meteen met het wijzigen ervan, en na afloop verwijderen wij de wachtwoorden.

Dat kiest u zelf: u ontvangt de uitkomsten met namen of volledig anoniem, zoals u vastlegt in de verwerkersovereenkomst. Grote organisaties kiezen vaak voor volledig anoniem. Het eindrapport en de herkenningsbrief phishing noemen niemand.

Dat adviseren wij meestal, omdat de aankondiging zelf al een leermoment is voor uw medewerkers. Kiest u bewust voor geen aankondiging, bijvoorbeeld voor een moeilijkere test of een nulmeting, dan weten alleen de mensen die u aanwijst ervan.

Dat voorkomen wij zoveel mogelijk, want het doel is samen leren, niet met de vinger wijzen. Na afloop krijgt iedereen dezelfde herkenningsbrief phishing, in een opbouwende toon, met de punten waaraan de testmail te herkennen was. Daarin leest iedereen ook bij wie een verdachte mail gemeld hoort te worden, ook na een klik.

Omdat er soms persoonlijke of vertrouwelijke informatie terugkomt, zoals een antwoord dat voor een echte collega bedoeld was. Bij BSM, een vergund onderzoeksbureau (POB 1104), komt die informatie bij gescreende medewerkers met een wettelijke geheimhoudingsplicht.

In Europa, op onze eigen servers in Duitsland. Die servers staan in datacenters met een ISO 27001-certificaat.

Direct melden bij de juiste persoon, meestal de IT-helpdesk, ook als hij al heeft geklikt. Bij wie dat in uw organisatie is, hoort in uw phishingprotocol te staan.

Een geanonimiseerd eindrapport, geschreven door de specialisten die uw test uitvoerden. Het beschrijft per route wat er gebeurde, vat de uitkomsten samen in een risicomatrix en noemt wat u kunt verbeteren, bijvoorbeeld in uw phishingprotocol. Voor uw medewerkers is er de herkenningsbrief phishing, die u ook als intranettekst kunt gebruiken.

Ja, als u dat wilt: na een paar uur krijgt u een tussentijdse update. Of daarin namen staan, hangt af van wat u in de verwerkersovereenkomst kiest, met namen of volledig anoniem.

Drie manieren waarop medewerkers op de testmail reageren. Route 1 is de phishingpagina: wie alleen klikte (1.1) en wie klikte én gegevens invulde (1.2); route 2 is de hackermailbox: wie op de mail antwoordde. Route 3 is melden en navraag: wie meldde bij de IT-helpdesk, daar navraag deed of de ogenschijnlijke afzender benaderde; daarnaast ziet u wie niets deed.

Wie op de testmail antwoordt, denkt een collega te mailen en mailt in werkelijkheid met de ‘hackers’. Zo iemand kan het adres van de ‘hackers’ ook opslaan, en dan blijft het risico na de test bestaan.

Nee, dat speelt zich af binnen uw organisatie. Wie meldt of navraag doet, noteert uw helpdesk of contactpersoon; na afloop ontvangen wij dat verslag en verwerken wij het in het eindrapport. Zo ziet u of uw phishingprotocol in de praktijk werkt.

Ja. Met het eindrapport laat u zien dat u werkt aan de bewustwording van medewerkers; het helpt aantonen voor ISO 27001, NEN 7510, de BIO2 of de Cyberbeveiligingswet. En de phishingtest zelf is ook al een oefening voor iedereen die meedoet.

Ja. Uw eerste test is uw nulmeting, en omdat wij elke test met hetzelfde vaste risicomodel beoordelen, kunt u de uitkomsten naast elkaar leggen. Bij een volgende test kiezen wij een ander scenario, en samen bepalen wij hoe subtiel de herkenningspunten zijn, zodat u ziet of meer mensen de mail herkennen en melden.

De phishingtest is de eerste stap, oefenen; de phishing simulatie is het hele programma van oefenen, leren en bewust blijven. Na de test kan een phishing training door onze eigen trainers volgen. Stap 3, bewust blijven, heet bij ons phishing as a service: wij voeren de test voor u uit, zo vaak als u wilt en steeds met een ander scenario.

Drie: semi-maatwerk, volledig maatwerk en advanced. Semi-maatwerk is een beproefd scenario dat wij samen met u op maat maken, voor één groep en met drie tot vijf herkenningspunten; bij volledig maatwerk bouwen wij een inlogpagina of een verzonnen website na, met een domeinnaam die op de uwe lijkt en tot vijf groepen, verspreid over dagen. Advanced is een gerichte aanval na uw schriftelijke akkoord, met spear phishing en eventueel telefoon of een remote sessie.

Meestal semi-maatwerk. Wilt u meteen zien hoe uw medewerkers reageren op een nagebouwde versie van uw eigen inlogpagina, dan past volledig maatwerk. Test u nu al met een andere aanbieder of software, dan is ook semi-maatwerk vaak al een betere phishingtest dan nu.

Voor organisaties met een hoog gewenst veiligheidsniveau, vaak als vervolg op volledig maatwerk. Daarnaast is advanced geschikt om incidentbeheer en forensic readiness te oefenen, met red en blue teaming.

Bij semi-maatwerk wel: één groep krijgt dezelfde mail van dezelfde afzender, druppelsgewijs verstuurd. Bij volledig maatwerk zijn tot vijf groepen mogelijk, met starttijden verspreid over meerdere dagen. Of een groep ook een eigen mail krijgt, hangt af van het scenario en uw budget. Bij advanced kan dat ook; daar is in overleg in principe alles mogelijk.

U, met advies van onze specialisten; het laatste woord is aan u. Wij leggen u actuele scenario’s voor, en een eigen idee kan ook. Ligt dat idee dicht bij een bestaand scenario, dan wordt het semi-maatwerk; anders volledig maatwerk.

Dat kiest u samen met ons, via de herkenningspunten: signalen zoals een afwijkend adres of haast, waaraan een medewerker phishing kan herkennen. Ook het onderwerp telt mee: hoe herkenbaarder het onderwerp, hoe moeilijker de test, en voor een makkelijke test kiezen wij soms bewust een algemener scenario.

Uit echte incidenten. Onze medewerkers doen werkzaamheden bij bedrijven die slachtoffer zijn geworden van phishing, ransomware en virussen, en wat zij daar zien, verwerken wij in onze scenario’s. Wij doen dit als cybersecurity-experts sinds 2004.

Ja. Vishing (telefoon), smishing (sms) en quishing (QR-code) zijn los te bestellen als advanced-scenario, na een intake. Hoe ver zo’n scenario gaat, bepaalt u, en alleen met uw schriftelijke akkoord. Een advanced-scenario krijgt een eigen rapport.

Ja. Sinds 2023 zijn wij reseller en partner van KnowBe4, en wij helpen ook bij de inrichting en ondersteuning. Naast uw oefeningen in KnowBe4 kunt u ons een phishingtest op maat laten uitvoeren, bijvoorbeeld voor een audit.