Volledig maatwerk phishingtest, nagebouwd voor uw organisatie
Bij een volledig maatwerk phishingtest bouwen wij alles na voor uw organisatie, zoals een kwaadwillende dat ook zou doen: een nagebouwde inlogpagina of een verzonnen website, met een domeinnaam die op de uwe lijkt. Zo ziet u hoe uw medewerkers reageren als het echt op uw organisatie lijkt.
- Cybersecurity-experts sinds 2004
- Tot vijf groepen
- Uw akkoord vooraf
- Gegevens in Europa
Een volledig maatwerk phishingtest is stap 1 van de phishing simulatie
- 1
Oefenen
Een realistische, onschuldige phishingmail die past bij uw organisatie.
- 2
Leren
Na afloop uitleg voor iedereen, en desgewenst een training op maat.
- 3
Bewust blijven
Eén tot vier keer per jaar opnieuw, of vaker, steeds met een ander scenario.
Een nagebouwde inlogpagina en een domeinnaam die op de uwe lijkt
Een kwaadwillende die uw organisatie wil aanvallen, zoekt eerst uit hoe u werkt: welke systemen uw medewerkers gebruiken, hoe uw inlogpagina eruitziet en met welke partijen u mailt. Bij volledig maatwerk doen wij hetzelfde. Wij bouwen het scenario helemaal nieuw, voor uw organisatie.
Wie op de link in de mail klikt, komt op een pagina die wij voor deze test bouwen: een nagebouwde inlogpagina die uw medewerkers kennen, of een verzonnen website die bij het scenario past. Daarnaast registreren wij een domeinnaam die op de uwe lijkt. Bij semi-maatwerk komen de pagina en het domein uit een beproefd scenario. Omdat wij ze bij volledig maatwerk voor u bouwen, kunnen wij de test moeilijker maken.
Vult een medewerker op de nagebouwde pagina een wachtwoord in, dan wordt het al in de browser afgekapt. Wij leggen alleen de eerste twee tekens en de lengte vast.
- Een nagebouwde inlogpagina of een verzonnen website
- Een domeinnaam die op de uwe lijkt
- Een mail en een ogenschijnlijke afzender die bij het scenario passen
Uw eigen scenario-idee krijgt hier vorm, ook als het ver van onze scenario’s ligt
Heeft u zelf een idee voor een scenario, bijvoorbeeld naar aanleiding van een incident? Ligt het dicht bij een van onze bestaande scenario’s, dan verwerken wij het in een semi-maatwerktest. Ligt het er ver vanaf, dan geven wij het vorm als volledig maatwerk. Heeft u nog geen idee, dan stellen onze specialisten een scenario voor. Zij adviseren, het laatste woord is aan u.
Het scenario kan aansluiten op het werk van uw medewerkers, op de actualiteit of op een partij waarmee uw organisatie te maken heeft, zoals een leverancier. Hoe herkenbaarder het onderwerp, hoe moeilijker de test. Samen met u bepalen wij hoe dicht het scenario bij uw organisatie komt en hoe subtiel de herkenningspunten zijn: de signalen waaraan een oplettende medewerker de mail kan herkennen.
Tot vijf groepen, met starttijden verspreid over meerdere dagen
Krijgt iedereen op dezelfde starttijd dezelfde mail, dan weet een deel van uw medewerkers al via collega’s dat er getest wordt. Bij volledig maatwerk verdelen wij de deelnemers daarom over tot vijf groepen, bijvoorbeeld per afdeling. Elke groep krijgt een eigen starttijd, en die starttijden verspreiden wij over meerdere dagen.
Groepen kunnen ook een eigen mail krijgen, zoals een andere mail voor finance dan voor de servicedesk. Of dat zinvol is, hangt af van het scenario en van uw budget; onze specialisten adviseren u daarover. Bij semi-maatwerk is er één groep, en krijgt iedereen dezelfde mail van dezelfde afzender. Bij advanced kunnen groepen ook; daar kan in principe alles.
Zo verloopt een volledig maatwerk phishingtest, met uw akkoord vooraf
U krijgt dezelfde begeleiding, herkenningsbrief phishing en eindrapport als op de andere niveaus, met één vaste contactpersoon bij BSM. Het verschil zit in de voorbereiding: wij bouwen meer, en u beoordeelt meer voordat de test start.
Gratis intake
U vertelt wat u met de test wilt weten en wat u van eerdere tests vond. Wij adviseren of volledig maatwerk bij u past.
Scenario en groepen
Na uw akkoord op de offerte bepalen wij in het startgesprek samen het scenario, de ogenschijnlijke afzender, de groepen en hun starttijden.
Wij bouwen na
Wij schrijven de mail, bouwen de pagina en registreren de domeinnaam. Uw helpdesk en de ogenschijnlijke afzender krijgen van ons een document met tips.
Uw akkoord
U bekijkt de testmail en de nagebouwde pagina en geeft er akkoord op. Uw IT-beheerder stelt met onze instructies de whitelisting in.
De test
Wij bellen uw contactpersoon vlak voor de start en versturen de mails per groep. Desgewenst krijgt u na een paar uur een tussentijdse update.
Brief en eindrapport
Alle medewerkers krijgen de herkenningsbrief phishing, in een opbouwende toon. Onze specialisten schrijven het eindrapport, met advies voor de volgende stap.
Het eindrapport laat per route zien hoe uw organisatie reageerde
Elke phishingtest van BSM volgt drie routes. De eerste twee registreren wij zelf: de phishingpagina en de hackermailbox. Wie op de mail antwoordt, denkt een collega te mailen en mailt zo met de ‘hackers’. Wie terugmailt, kan het adres van de ‘hackers’ ook opslaan; dat is het grootste risico. Route 3 houdt uw organisatie bij, en u stuurt ons na afloop een verslag.
Onze specialisten beschrijven de uitkomsten in het eindrapport, met een risicomatrix. U ontvangt de uitkomsten met namen of volledig anoniem, zoals u kiest in de verwerkersovereenkomst; grote organisaties kiezen vaak volledig anoniem. Omdat wij met een vast risicomodel werken, kunt u deze test later naast een volgende test van BSM leggen.
- Route 1, de phishingpagina: wie alleen klikte (1.1) en wie ook gegevens invulde (1.2)
- Route 2, de hackermailbox: wie op de mail antwoordde
- Route 3, melden en navraag: wie de IT-helpdesk of de ogenschijnlijke afzender benaderde
- Daarnaast: wie niets deed
Volledig maatwerk past bij organisaties die al eerder testten
Welk niveau bij u past, hangt af van wat u al heeft gedaan en wat u wilt weten. Wij adviseren u daarover in de intake.
Na een eerdere phishingtest
U deed al eerder een phishingtest: bij ons, bij een andere aanbieder of met een eigen tool. Herkenden uw medewerkers de vorige testmail snel, dan laat deze test zien of zij ook een mail herkennen die op uw eigen omgeving lijkt.
Uw eerste phishingtest
Heeft uw organisatie nog niet eerder getest, dan adviseren wij meestal semi-maatwerk: een beproefd scenario dat wij samen met u op maat maken, met drie tot vijf herkenningspunten.
Meer over deze testEen hoog gewenst veiligheidsniveau
Advanced kan volgen voor organisaties met een hoog gewenst veiligheidsniveau, vaak na volledig maatwerk, of om incidentbeheer en forensic readiness te oefenen met red en blue teaming. Het is een gerichte aanval, alleen na uw schriftelijke akkoord.
Meer over deze test
Wat een volledig maatwerk phishingtest kost: één vaste prijs per test
De prijs hangt af van vier dingen: het aantal medewerkers, het niveau, het aantal groepen en starttijden, en of er een training bij komt. Voorbereiding, nabouw, uitvoering, begeleiding, herkenningsbrief phishing en eindrapport zitten erin.
Het bedrag hoort u na de intake, als duidelijk is welk scenario en welke groepen het worden.
Vragen over een volledig maatwerk phishingtest
Mag BSM onze inlogpagina nabouwen?
Ja, alleen voor deze test en met uw akkoord. Voor de start tekenen wij samen een vrijwaring en een verwerkersovereenkomst.
Kunnen wij BSM inzetten naast onze huidige tool?
Ja. U houdt uw eigen oefeningen en laat daarnaast een volledig maatwerk phishingtest door ons uitvoeren, bijvoorbeeld voor uw audit. Gebruikt u KnowBe4: BSM is reseller en partner van KnowBe4 sinds 2023 en kent het platform goed. De starttijd stemmen wij af op uw andere oefeningen.
Kondigen wij de test vooraf aan?
Meestal adviseren wij een vooraankondiging, omdat die al een leermoment is. U kunt er ook bewust voor kiezen niets aan te kondigen, bijvoorbeeld voor een moeilijkere test. Dan weten alleen de mensen die u aanwijst ervan, zoals de helpdesk en de ogenschijnlijke afzender.
Wordt de test te moeilijk voor onze medewerkers?
Hoe moeilijk de test wordt, bepalen wij samen met u. Ook een volledig maatwerk phishingtest heeft herkenningspunten, zoals de afwijkende domeinnaam, en na afloop leest iedereen in de herkenningsbrief phishing waaraan de mail te herkennen was. Het doel is samen leren, niet met de vinger wijzen.
Waar staan de gegevens van de test?
In Europa, op onze eigen servers in Duitsland, in datacenters met een ISO 27001-certificaat. BSM is een vergund onderzoeksbureau (POB 1104); iedereen bij BSM is gescreend en heeft een wettelijke geheimhoudingsplicht.
Hoe vaak testen wij met volledig maatwerk?
Dat bepaalt u: meestal één tot vier keer per jaar, maar elke maand kan ook. Elke keer kiezen wij een ander scenario. Laat u de test zo herhalen, dan doen wij steeds het werk: dat heet bij ons phishing as a service, zonder verplicht jaarabonnement.
Uw volledig maatwerk phishingtest begint met een gratis intake
In de intake bespreken wij wat u van eerdere tests vond, uw idee voor een scenario en welke groepen meedoen. Daarna ontvangt u een offerte. Bellen kan ook: +31 (0)20 820 36 93.