Na čtyři z pěti firem už útočníci zkoušeli podvodné e-maily a téměř polovina z nich se s pokusy o útok setkává každý týden. Většina firem přesto své zaměstnance na phishing nepřipravuje. Co ještě ukázal náš průzkum mezi českými firmami?

Průzkum, který jsme připravili s Asociací malých a středních podniků a živnostníků ČR, potvrdil, co mnozí znají z vlastní zkušenosti: podvodné e-maily nám chodí do schránek skoro každý den. S pokusy o vylákání hesel nebo jiných citlivých údajů se setkalo už 80 % firem, takže phishing mezi kybernetickými útoky s velkým náskokem vede. Druhé místo patří podvodným fakturám a falešným žádostem o změnu čísla účtu (37 % firem), třetí ransomwaru a dalšímu škodlivému softwaru (29 %).

Nejde o ojedinělé incidenty. Celých 46 % firem zaznamenává pokusy o útok téměř denně, nebo alespoň jednou týdně.

Poslední slovo má člověk

Ochranné technologie se stále zlepšují, mimo jiné díky umělé inteligenci, ale i útočníci vymýšlejí nové triky. Spamové filtry sice zastaví velkou část phishingu, ale zdaleka ne všechen. Když propracovaná podvodná zpráva projde až do schránky, záleží už jen na tom, jak zareaguje příjemce.

A právě tady firmy zaostávají. Jen ve 43 % firem zaměstnanci přeposílají podezřelé e-maily k prověření IT oddělení nebo externímu správci. Ve třetině firem (34 %) takovou zprávu prostě smažou. Pětina firem žádný postup nemá a všechno stojí na intuici jednotlivce.

Smazání podezřelé zprávy přitom jen vypadá jako správná reakce. IT se o pokusu o útok vůbec nedozví, a nemůže proto varovat ostatní kolegy (třeba ty méně obezřetné) ani zablokovat odesílatele.

Útoky každý týden, školení jednou za rok

Útoky přicházejí velmi často, příprava zaměstnanců přitom probíhá v lepším případě jednou ročně. Pravidelně, tedy alespoň jednou za rok, školí zaměstnance v kyberbezpečnosti jen 29 % firem. Dalších 14 % je proškolí jednorázově, obvykle při nástupu. Taktiky útočníků se ale neustále vyvíjejí a jednorázový kurz s nimi krok držet nemůže.

Největší skupina firem (31 %) školení teprve plánuje a čtvrtina (26 %) s ním vůbec nepočítá. Celkem tedy 57 % firem své zaměstnance v kyberbezpečnosti neškolí, přestože právě na ně podvodné e-maily cílí.

Čtyři kroky, jak z lidí udělat první linii obrany

Technická opatření odvedou velký kus práce, ale riziko nikdy úplně neodstraní. Proto se vyplatí soustavně budovat bezpečnostní kulturu:

• Školte často a prakticky – kratší, ale častější lekce s ukázkami skutečných podvodných e-mailů fungují lépe než jedna přednáška.
• Nastavte jasný postup hlášení – každý musí vědět, komu podezřelou zprávu přeposlat. A nikdo by se neměl bát přiznat, že už na odkaz klikl: čím dřív se to IT dozví, tím menší škody mohou vzniknout.
• Prověřujte ostražitost – simulované phishingové kampaně ukážou, jak na tom vaši lidé skutečně jsou.
• Platby ověřujte jinou cestou – žádost o mimořádnou platbu nebo o změnu čísla účtu si vždy ověřte telefonicky na známém čísle, nikdy ne přes kontakt uvedený v e-mailu.

Druhou linii obrany tvoří technologie. Antiphishingový filtr zachytí řadu podvodných zpráv dřív, než se dostanou do schránek zaměstnanců. A když útočník heslo přece jen získá, vícefaktorové ověřování (MFA) zajistí, že mu k přístupu samo nestačí.

Bezpečnost jako součást cloudu

Vícefaktorové ověřování mají v AppOn.cloud automaticky všechny uživatelské účty. Služba navíc nabízí další prvky kybernetické ochrany na podnikové úrovni včetně nepřetržitého bezpečnostního monitoringu. Zajímá vás, kde má vaše firma slabá místa? Domluvte si nezávaznou konzultaci.