Un phishing ètic és una campanya d’atacs simulats amb tècniques reals, on es fan enviaments de correus presumptament maliciosos als membres d’una organització.
Per què es fa?
L’objectiu principal es conèixer el grau de maduresa de l’organització respecte als ciberatacs i més en concret als atacs de correus de tipus phishing que són la principal font d’entrada de malware.
Com funciona?
Amb el propòsit d’aconseguir la informació més fidedigna i prendre les mesures més eficients, les organitzacions planifiquen campanyes de phishing ètic amb l’elaboració d’un o més missatges que, de manera massiva i en curt període de temps, s’envien al seu personal.
El text del missatge s’adapta als requeriments de l’organització (per temàtica, idioma, logos…) emprant també les tècniques habituals d’aquest tipus de missatge: urgència, exigència o ambigüitat perquè l’usuari cliqui l’enllaç.
L’enllaç no apunta al servei o pàgina legítima sinó a una de falsa que, en cas d’un phising ètic, no és en sí maliciosa.
En temps real, es recullen estadístiques de les interaccions dels usuaris per conèixer qui ha obert l’enllaç, qui ha facilitat credencials…
Què es fa amb la informació recollida?
Amb la informació obtinguda sobre el nostre comportament respecte al correu rebut, es planifica una campanya de comunicació, conscienciació i formació en temes de ciberseguretat.
Per què s’ha fet una campanya a la UB?
Així com es fan de manera periòdica simulacres amb alarmes d’emergència que ens ajuden a millorar els protocols de seguretat i prevenció de riscos en el nostre lloc de treball, les campanyes de phishing ètic són una de les mesures recomanades per prevenir i minimitzar els ciberatacs.
Com qualsevol organització, la nostra no és aliena als diferents ciberatacs que s’han incrementat i sofisticat de manera alarmant en els últims temps.
Des de l’Àrea TIC i sota l’encàrrec del Vicerectorat de Transformació Digital, s’ha considerat necessari fer una campanya d’aquest tipus.
Des de dimecres dia 20 al migdia fins dissabte 23, s’han enviat de manera massiva al PAS i PDI correus amb diferents assumptes: “S’ha actualitzat correctament el Ticket”, “Urgent” , “Signatura urgent a la nòmina”.
Som conscients que els correus enviats han estat “molt reals”; que de manera deliberada, hem estat lents en publicar avís en la nostra web i que, per raons òbvies a la mateixa campanya, no hem bloquejat les adreces de correu emissores i hem deixat que lliuréssim tots els missatges. Així mateix s’han desactivat, per aquestes adreces, i seguint les instruccions de l’empresa que ens ha fet el phising ètic, les defenses a nivell de servidor de correu per permetre la recepció massiva d’aquests missatges.
El servei del PAU ha rebut una allau de consultes, moltes d’elles per informar-nos de la recepció d’aquest correu que heu detectat com a fraudulent, la qual cosa ens indica que molt de vosaltres ja esteu al cas del risc dels correus phishing, altres usuaris que heu clicat en algun dels enllaços, també se us ha indicat que féssiu un canvi de contrasenya, en aquest cas no hagués calgut, però l’objectiu de la campanya és formar i el canvi de contrasenya sempre és un pas obligat en cas de caure en un phishing.
Des de l’Àrea TIC volem manifestar que en cap cas s’han recollit credencials i disposem d’un contracte de confidencialitat i de destrucció de les adreces facilitades.
Amb aquesta campanya, des de l’ATIC aprofitarem també per millorar els nostres procediments interns i ser més efectius en cas d’un àtac real.
Amb l’anàlisi de les estadístiques prendrem diferents mesures per conscienciar i prevenir aquest tipus d’atac i, en definitiva, com organització, aconseguirem estar més preparats davant d’un ciberatac.
