מחקר: ישראל מובילה בגידול במתקפות פישינג

70% מהארגונים בעולם דיווחו על גידול בהתקפות פישינג עליהם מאז תחילת המגיפה. בישראל עמד שיעור המדווחים על הגידול במתקפות על 90% מהמשיבים. הגידול חוצה את כל המגזרים; כך עולה ממחקר חדש של סופוס.

המחקר, "Phishing Insights 2021", נערך בקרב 5,400 מקבלי החלטות IT בארגונים מ-30 מדינות. הגידול בהתקפות פישינג על ארגונים חוצה את כל המגזרים: גופי ממשל חוו את הגידול הגבוה ביותר (77%), ומיד אחריו נמצאים שירותים מקצועיים ועסקיים (76%) ושירותי בריאות (73%).

הגידול הרוחבי בהתקפות מראה, כי עבריינים הזדרזו לנצל את הגידול המהיר בעבודה מהבית שהתרחש במהלך המגיפה, שלווה בקושי ארגוני לאבטח סביבת עבודה שאינה עסקית והפך מיליוני עובדים מהבית למטרה מרכזית של פושעי רשת. במקביל חלה גם צמיחה עצומה בהיקף המשלוחים, ומתקפות פישינג המתחזות להודעות מחברות משלוחים הפכו למחזה נפוץ בחודשים הראשונים של המגיפה. גם החרדה מהמגיפה נוצלה על ידי התוקפים – שענו על הצורך של אנשים לקבל מידע עדכני על הקורונה ובתוך כך נטו להקליק באופן אימפולסיבי יותר על תוכני COVID-19.

המחקר העלה הבדלים משמעותיים בדרך שבה אנשים תופסים פישינג. לדוגמה, 68% מצוותי ה-IT בישראל מקשרים פישינג עם הודעות דואר אלקטרוני המתחזות כמגיעות מארגון לגיטימי, ובדרך כלל משולבות עם איום או בקשת מידע. 46% תופסים פישינג כ-BEC (ר"ת Business Email Compromise) כלומר, שליחת הודעה לגורם בארגון עם בקשה לשליחת כסף או נתונים אחרים, בעוד ש-43% סבורים כי פישינג הוא בכלל threadjacking, כאשר תוקפים מכניסים את עצמם לשרשור דוא"ל ארגוני רגיל.

"אחת הסיבות להצלחת הפישינג היא יכולתו להתפתח ללא הרף, להתאים התקפות לנושאים או לגלי חרדות אקטואליים, כמו המגיפה, ולשחק על רגשות ואמון אנושיים", אמר צ'סטר ויסנייבסקי, מדען מחקר ראשי בסופוס, "זה יכול להיות מפתה עבור ארגונים לראות בהתקפות פישינג איום ברמה נמוכה יחסית, אבל אין לזלזל בכוחם של הפושעים העוסקים בתחום זה. פישינג הוא לרוב הצעד הראשון בהתקפה מורכבת ורבת שלבים. תוקפים משתמשים לעתים קרובות בדוא"ל פישינג כדי להערים על משתמשים להתקין תוכנות זדוניות או לשתף אישורים המספקים גישה לרשת הארגונית."

ישראלים הכי חשדניים להודעות SMS

מקום בולט בסקר ניתן להודעות SMS זדוניות, המוכרות גם כהודעות סמישינג (smishing) – הודעות המגיעות ממותגים מוכרים, המנסות להוציא מהמשתמש את פרטיו האישיים.

מהסקר עולה, כי 60% מן הישראלים שנשאלו חושדים בהודעות SMS  אלו ומתייחסים אליהן כאל הודעות המנסות להוציא מהם מידע. זהו אחוז המשיבים הגבוה ביותר המתייחס כך אל הודעות smishing.

לשם השוואה, מדובר בנתון הגבוה פי שלושה כמעט ממקסיקו (23%) שמופיעה בתחתית הרשימה, וגבוה משמעותית גם מבריטניה (40%), והוא מדגים מודעות אבטחה גבוהה של המשתמש הישראלי.

החדשות הטובות הן, כי 90% מהארגונים ברחבי העולם כבר הטמיעו תוכניות להגברת מודעות כדי להילחם בפישינג. בישראל, רוב הארגונים (79%) יישמו תוכניות מודעות למאבק בפישינג. הנשאלים אמרו שהם משתמשים בתוכניות אימון מבוססות מחשב (52%), תוכניות אימון בהנחיית אדם (41%) והדמיות פישינג (31%).

"האידיאל יהיה למנוע הודעות דוא"ל מפישינג להגיע לנמען", מסכם ויסנייבסקי. "פתרונות אבטחת דוא"ל אפקטיביים יכולים לעשות את החלק העיקרי, אבל כדי להגיע לאבטחה מלאה יש להתמקד בגורם האנושי ולוודא כי עובדים דרוכים תמיד ומסוגלים לזהות הודעות חשודות ולדווח עליהן".