Zo werkt de phishingtest bij BSM.
Zo verloopt de phishingtest, stap voor stap
Na uw akkoord gaan we samen aan de slag. Wij doen het meeste werk en adviseren bij elke keuze. Tijdens de aanval houden we alles live bij en stemmen we met u af. U houdt de regie.
De voorbereiding
Van kennismaking tot testmail. U levert alleen een paar dingen aan, zoals de deelnemerslijst; de rest regelen wij.
8 stappen
Online kennismaking
Na uw akkoord beginnen we met een videogesprek.
Samen het scenario bepalen
We bepalen samen hoe het scenario er precies uitziet. Wij adviseren, u beslist. Afhankelijk van uw pakket kiezen we een bestaand scenario of maken we er een volledig op maat.
We kiezen een onderwerp en een afzender, desgewenst met name spoofing, en adviseren over de moeilijkheid. Voor een eerste test raden we een makkelijke mail aan, als nulmeting.
Ook spreken we af wat iemand ziet na het invullen van een wachtwoord en of de tussentijdse rapportage anoniem is, en kiezen we de startdatum en de looptijd. De mails gaan meestal verspreid over de dag, net als bij een echte aanval. Zo raakt niemand overspoeld, ook uw IT-helpdesk niet.
U deelt de deelnemerslijst
U stuurt ons een lijst met de namen en e-mailadressen van de medewerkers die meedoen. Zo weten we precies naar wie de mails straks gaan.
Wij zetten alles klaar
Wij bouwen de phishingmail, de landingspagina en het verzendschema. Dat doen we in ons eigen phishingsysteem, op servers in Duitsland die ISO 27001-gecertificeerd zijn.
Omdat we alles in eigen hand hebben en alle data binnen Europa blijft, weet u zeker dat de gegevens in goede handen zijn. U hoeft hier niets voor te doen.
Whitelisting
Wij sturen de whitelist-gegevens naar uw technische contactpersoon. Uw IT zet ons op de whitelist. Zo blijven de mails niet in een spamfilter hangen en komen ze echt bij uw medewerkers aan.
Wij bereiden u voor
Een phishingtest roept bij de meeste organisaties reacties op, en dat is een goed teken. Medewerkers melden de mail, nemen contact op met de IT-afdeling of de ogenschijnlijke afzender, of bespreken het bericht met collega’s.
Wij bereiden u daar goed op voor, zodat u weet hoe u kunt reageren. Zo verloopt de test soepel, is het leereffect groter en sluiten we de test voor iedereen positief af. U ontvangt van ons een document met tips voor de IT-helpdesk en de ogenschijnlijke afzender.
De testmail
Daarna testen we of de mail goed aankomt. We sturen een testmail naar uw contactpersoon en horen graag of die binnen is. Zo weten we zeker dat de whitelisting werkt en dat de mail bij al uw collega’s aankomt.
Alles staat klaar
We bevestigen dat alles klaarstaat en laten u weten wanneer de test van start gaat. Een semi-maatwerk test kan zo binnen 1 tot 2 werkdagen na uw akkoord starten.
De aanval
Op de dag zelf versturen we de mails verspreid over de dag, houden we alles live bij en stemmen we met u af.
6 stappen
Op de dag van de test
Op de dag van de start nemen wij nog even contact op om te bevestigen dat we zo gaan starten en of dat nog steeds goed uitkomt.
De aanval begint
Wij starten de aanval en sturen de mails na elkaar of volgens de afgesproken tijdsduur verspreid over de dag. We controleren of de e-mails aankomen en geven uw contactpersoon een seintje dat de test is gestart.
Op de dag van de test zijn we telefonisch bereikbaar. Gaat er iets mis, of is er een andere reden, dan pauzeren of stoppen we de test direct. Er worden dan geen nieuwe mails meer verstuurd.
Alles komt live binnen
Wij zien direct wat er gebeurt: wie de mail laat liggen, wie op de link klikt, wie een wachtwoord invult en wie zelfs terugmailt naar de ‘hackers’.
Een test zet veel in beweging, dus we kijken verder dan kliks. Meldingen en navraag bij de helpdesk houdt uw organisatie bij. Zo zien we na afloop samen of uw phishingprotocol werkt, en of er nog wachtwoorden binnenkwamen nadat iemand iets had gemeld.
Na een wachtwoord
Wat iemand na het invullen van een wachtwoord ziet, hebben we vooraf afgesproken. Direct uitleg: dan is het meteen een leermoment.
Of geen melding: dan kijken we of iemand het zelf doorheeft en meldt. Zo waarschuwt niemand zijn collega’s en meten we eerlijker.
Tussentijdse update
Na een paar uur sturen we u de eerste resultaten en bevindingen.
Deze update kan volledig anoniem zijn: dan noemen we uit privacyoverwegingen geen namen. Wilt u wel namen ontvangen, bijvoorbeeld om medewerkers persoonlijk te begeleiden, dan sturen we die alleen naar uw contactpersoon. Voor beide is wat te zeggen; we bespreken het vooraf. Het doel is samen leren, niet met de vinger wijzen.
Samen bijsturen
We bellen even met uw contactpersoon om te horen hoe het in de organisatie gaat. Samen maken we een plan: hoe lang de test nog doorloopt, vaak nog enkele dagen, en wanneer u de herkenningsbrief die wij hebben opgemaakt aan alle medewerkers kunt delen.
Na de aanval
We sluiten de test netjes af, delen de resultaten veilig en zorgen dat iedereen ervan leert.
7 stappen
De test is afgelopen
Als de test definitief is afgelopen, stoppen wij de tracking. Er komen geen gegevens meer binnen en de link in de mail werkt niet meer.
De definitieve resultaten
U krijgt een Excel-overzicht van de kliks en de ingevulde wachtwoorden, met namen of volledig anoniem, zoals u in de verwerkersovereenkomst heeft gekozen. Van elk wachtwoord ziet u alleen de lengte en de eerste twee tekens.
Het wachtwoord wordt al in de browser versleuteld en gestript, zodat wij het volledige wachtwoord nooit ontvangen.
Een brief voor iedereen
De ‘herkenningsbrief phishing’ die u intern deelt met alle medewerkers is het eerste leermoment. Daarin leggen we het doel van de test uit. Ook krijgen medewerkers tips over hoe de phishingmail te herkennen was en wat ze de volgende keer kunnen doen.
Heeft uw organisatie al procedures, bijvoorbeeld voor het melden van verdachte mail? Dan verwerken we die in de brief. De brief is in een opbouwende toon geschreven.
Drie routes
In het eindrapport kijken we naar drie routes. Route 1, de phishingpagina: wie op de link klikt en wie daarna gegevens invult. Route 2, de hackermailbox: wie op de mail antwoordt en zo met de ‘hackers’ mailt. Route 3, melden en navraag: wie de mail meldt of navraag doet bij de helpdesk of de ogenschijnlijke afzender. Dat houdt u bij, en u stuurt het ons na afloop in een verslag.
Juist die terugmailers vormen het grootste risico, omdat zij direct contact hebben met de aanvaller.
Daarnaast brengen we in kaart wie niets heeft gedaan. Ook daar valt winst te behalen: een verdachte mail hoort altijd direct gemeld te worden bij de juiste persoon.
Het eindrapport
Tot slot schrijven onze specialisten een uitgebreid, geanonimiseerd eindrapport over de drie routes, met een risicomatrix. Het is uw meetpunt voor de volgende test en bruikbaar als bewijs voor ISO 27001, NEN 7510 en de Cyberbeveiligingswet.
U kunt het intern delen, bijvoorbeeld met de directie of in een teamoverleg.
Optionele training
Om het leermoment te maximaliseren kan er een training volgen: een algemene training in cyberveiligheid, afgestemd op de resultaten van de test. Zijn er onderwerpen waarvan u denkt dat er nog veel mist, dan nemen we die mee.
De training kan voor de hele organisatie zijn of alleen voor de belangrijkste groep, bijvoorbeeld de directie. Dat hangt af van uw wensen en budget.
Blijf scherp: herhaal de test
Veel organisaties testen één tot vier keer per jaar, sommige zelfs elke maand. Medewerkers weten dan dat ze af en toe een test kunnen verwachten, blijven scherper en hebben meerdere leermomenten per jaar. Herhaling houdt iedereen alert.
Benieuwd hoe uw organisatie het doet?
In een gratis intake bespreken we uw situatie en welke test past.