Hoe uw bedrijf beschermen tegen phishingaanvallen via e-mail

Cybercriminaliteit is nu een van de vele zorgen waarmee bedrijven dagelijks worden geconfronteerd. Technologie is de hoeksteen van de ontwikkeling voor veel bedrijven; echter, naarmate het digitale aspect essentiëler wordt voor de bedrijfsvoering en dagelijkse activiteiten, groeit ook het aantal aanvallen in deze omgeving.

Een van de meest voorkomende manieren voor hackers om toegang te krijgen tot de privé-informatie van individuen en bedrijven is via e-mail. E-mail is een van de meest gebruikte kanalen door bedrijven en individuen om dagelijks informatie te delen. Het is ongelooflijk hoeveel informatie er elke dag via e-mail wordt verzonden en hoeveel van die gegevens privé of gevoelige informatie bevatten. Stel dat u wilt voorkomen dat uw bedrijf het slachtoffer wordt van een phishing-aanval vanwege een fout in het juiste gebruik van e-mail. In dat geval zal dit artikel u waardevolle informatie bieden om te voorkomen en meer veiligheid aan uw bedrijf te bieden. 

Ten eerste, wat is phishing?

Phishing is een type social engineering waarbij de hacker een gebruiker misleidt om “het verkeerde te doen”, wat meestal inhoudt dat informatie wordt vrijgegeven of op een schadelijke link wordt geklikt. Phishing kan worden uitgevoerd via sociale media, sms-berichten of zelfs telefonisch. Tegenwoordig zijn e-mails echter het meest voorkomende kanaal voor het voortzetten van dit type aanval. E-mail is een ideale leveringsmethode voor phishing-aanvallen omdat de meeste mensen hun e-mails gehaast controleren. Bovendien zijn deze schadelijke e-mails heel gemakkelijk te camoufleren tussen legitieme e-mails.

Hoe beïnvloedt phishing bedrijven?

Een organisatie van elk type en omvang kan worden getroffen door een phishing-e-mail. Naast de diefstal van informatie kunnen phishing-e-mails malware installeren, waaronder ransomware, uw systemen saboteren of geld stelen via fraude. Bovendien kan een cyberaanval uw reputatie en het vertrouwen van uw klanten vernietigen. U kunt verstrikt raken in een massale campagne; dit is wanneer de aanvaller wachtwoorden steelt of wat gemakkelijk geld verdient, wat meestal de eerste stap is om een grotere aanval op uw bedrijf te plegen, zoals de diefstal van gevoelige gegevens. In een gerichte campagne kunnen de aanvallen privé-informatie over uw werknemers gebruiken om realistischere en overtuigendere berichten te maken, wat bekend staat als spear phishing.

Waarom zijn phishing-aanvallen succesvol?

Hackers hebben het online gedrag van mensen heel goed bestudeerd, ze weten hoe de sociale instincten van mensen werken, zoals behulpzaam en efficiënt zijn. Phishing-aanvallen kunnen bijzonder krachtig zijn omdat deze sociale instincten ons ook goed maken in ons werk.

De meest effectieve manier om te beschermen tegen phishing-aanvallen is het gebruik van een combinatie van technologie, proces en op mensen gebaseerde benaderingen. Als u bijvoorbeeld wilt dat mensen verdachte e-mails melden, moet u het hen gemakkelijk maken om dit te doen. Dit betekent dat u technische middelen moet bieden om de e-mail te melden en een proces moet hebben dat tijdige feedback geeft over het rapport.

Hoe beschermt u uw bedrijf tegen phishing-aanvallen?

Hier zijn enkele door experts verstrekte stappen om uw bedrijf te beschermen tegen e-mailphishing-aanvallen:

Uw verdediging verbreden:

Typische verdedigingen tegen phishing vertrouwen op het vermogen van gebruikers om phishing-e-mails te detecteren. Door uw verdediging te verbreden, kunt u uw veerkracht tegen phishing verbeteren zonder de productiviteit van uw werknemers te verstoren. U heeft ook meerdere kansen om een phishing-aanval te detecteren en actie te ondernemen voordat deze grote schade aan uw bedrijf kan veroorzaken. Het is ook essentieel om te accepteren dat sommige aanvallen zullen doorkomen, wat u als voordeel kunt gebruiken om vooruit te plannen en de veroorzaakte schade te minimaliseren.

Bij het ontwikkelen van uw beveiligingsplan kunt u uw verdediging in vier lagen beschouwen:

• Laat uw e-mailadressen geen hulpmiddel zijn voor hackers.
• Help gebruikers om mogelijk schadelijke of frauduleuze e-mails te identificeren en te melden.
• Houd uw organisatie veilig tegen phishing-e-mails die onopgemerkt blijven.
• Het is belangrijk om snel te reageren op incidenten om ze zo snel mogelijk op te lossen.

Hieronder leggen we elk van deze lagen uit en hoe u ze op uw bedrijf kunt toepassen. 

Laag 1: Maak het moeilijk voor hackers om uw gebruikers te bereiken

De eerste laag beschrijft de verdedigingen die het moeilijk kunnen maken voor hackers om zelfs uw eindgebruikers te bereiken.

Laat hackers uw e-mailadressen niet gebruiken als hulpmiddel

Aanvallers kunnen mensen misleiden door e-mails te sturen die doen alsof ze iemand anders zijn, bijvoorbeeld een van uw werknemers of zelfs uzelf. Deze vervalste e-mails kunnen uw klanten of mensen binnen uw organisatie bereiken.

Hoe kunt u dit voorkomen?

Om uw e-mailadressen te beschermen en te voorkomen dat hackers toegang krijgen, kunt u anti-spoofing controles gebruiken: DMARC, SPF en DKIM. Bovendien is het aanmoedigen van uw contacten om hetzelfde te doen zeer nuttig.

Verminder de online beschikbare informatie

De online openbare informatie van uw bedrijf staat bekend als een “digitale voetafdruk” en omvat alle openbare informatie die u op sociale media en uw website plaatst. Inclusief degene die uw werknemer heeft geplaatst.

Wat kunt u hieraan doen?

Geef geen onnodige details; wees voorzichtig met de informatie die uw partners, aannemers en leveranciers over u geven in de online communicatie van hun organisatie en werk samen met uw werknemers om beveiligingsrisico's te minimaliseren. Onderwijs uw personeel over hoe het delen van hun persoonlijke informatie hen en de organisatie kan beïnvloeden en ontwikkel een schoon digitaal voetafdrukbeleid voor alle gebruikers.

Filter of blokkeer binnenkomende phishing-e-mails

Het filteren of blokkeren van elke poging tot phishing-aanval voordat deze uw gebruikers bereikt, vermindert de kans op schade. Bovendien vermindert het ook de hoeveelheid tijd die gebruikers nodig hebben om verdachte e-mails te controleren en te melden.

Hoe kunt u dit doen?

Schaf een cloudgebaseerde filter-/blokkeer-service aan om alle binnenkomende e-mails met phishing en malware te blokkeren voordat ze uw gebruiker bereiken. Zorg ervoor dat de service die u krijgt al uw gebruikers dekt. Voor inkomende e-mails moeten de anti-spoofing-beleid van de afzender worden gerespecteerd. Als de afzender een DMARC-beleid heeft met een afwijzingsbeleid, moet u doen wat gevraagd wordt. Bovendien kunnen e-mails op verschillende manieren worden gefilterd of geblokkeerd, zoals het gebruik van IP-adressen, domeinnamen, e-mailadres witte/zwarte lijsten, openbare spam en open relay zwarte lijsten, bijlagentypen en malware-detectie.

Laag 2: Help de gebruiker verdachte phishing-e-mails te identificeren en te melden

Deze laag legt de beste manieren uit om uw personeel te helpen phishing-e-mails te herkennen en hoe u uw meldcultuur kunt verbeteren.

Een goed uitgevoerd phishing-trainingsprogramma kan een verschil maken

Een van de meest benadrukte methoden met betrekking tot phishing-verdediging is uw gebruikers trainen, zij kunnen een waardevolle bijdrage leveren aan de veiligheid van uw organisatie. Mensen kunnen echter fouten maken, daarom is het cruciaal om een holistische benadering te bieden met passende technische mitigaties en veranderingen in de bredere beveiligingscultuur van de organisatie. 

Hoe kunt u dit doen?

Uw personeel moet weten dat phishing-berichten moeilijk te herkennen kunnen zijn, en u verwacht niet dat mensen ze altijd herkennen. In plaats daarvan bevorder een mentaliteit waarin het oké is om om begeleiding of ondersteuning te vragen wanneer iets niet klopt.

Straf nooit gebruikers die moeite hebben met het herkennen van phishing-e-mails. Vergeet niet dat hackers professionals zijn en weten hoe ze mensen kunnen misleiden. Training moet gericht zijn op het verbeteren van het vertrouwen van uw werknemers en hun bereidheid om toekomstige incidenten te melden.

Zorg ervoor dat uw gebruikers de gevolgen van phishing begrijpen en bied praktijkvoorbeelden en een tastbare casestudy zonder mensen te overweldigen.

Werk samen met het personeel dat kwetsbaarder is voor het ontvangen van phishing-e-mails. Bijvoorbeeld, afdelingen die met klanten te maken hebben, de financiële afdeling of het IT-personeel zijn van groter belang voor hackers. Zorg ervoor dat het personeel zich bewust is van de risico's en bied hen extra ondersteuning.

Maak het gemakkelijker voor uw gebruikers om frauduleuze verzoeken te herkennen

Aanvallers misleiden gebruikers om toegang te krijgen tot wachtwoorden of ongeautoriseerde betalingen te doen. Houd rekening met welke processen waarschijnlijker worden nagebootst door aanvallers, het is noodzakelijk om ze te verbeteren en te herzien zodat het gemakkelijker wordt om deze phishing-aanvallen te herkennen.

Hoe kunt u dit doen?

Zorg ervoor dat iedereen die betrokken is bekend is met de processen en voorbereid is om ongebruikelijke activiteiten te herkennen.

Implementeer tweefactorauthenticatie, wat betekent dat alle belangrijke e-mailverzoeken worden geverifieerd via een tweede type communicatie, zoals sms-berichten, oproepen of persoonlijk. Een andere manier om bestanden te delen is via een toegangsgestuurde cloudaccount; op deze manier vermijdt u bijlagen in uw e-mails.

Overweeg om uw leveranciers of klanten te vertellen waar ze op moeten letten, zoals “we zullen u nooit om uw wachtwoord of bankgegevens vragen”.

Moedig gebruikers aan om hulp te vragen wanneer ze die nodig hebben

Het opbouwen van een goede meldcultuur stelt uw gebruikers in staat om om hulp te vragen en biedt u belangrijke informatie over welke soorten phishing-aanvallen op uw organisatie zijn gericht. U kunt ook leren welke soorten e-mails worden verward met phishing en welke verbeteringen u kunt aanbrengen.

Hoe kunt u dit doen?

Creëer een effectief proces voor gebruikers om te melden wanneer ze denken dat phishing-pogingen de technische verdedigingen van uw organisatie hebben gepasseerd. Zorg ervoor dat het proces duidelijk, eenvoudig en handig is.

Geef snelle en specifieke feedback over welke actie is ondernomen en maak duidelijk dat hun bijdragen een verschil maken en nuttig zijn.

Denk na over hoe u informele communicatiekanalen kunt gebruiken om een omgeving te creëren waarin het gemakkelijk is voor het personeel om over het onderwerp te praten en om ondersteuning en begeleiding te vragen.

Vermijd het creëren van een straf- of schuldgerichte cultuur rond phishing.

Laag 3: Bescherm uw organisatie tegen de effecten van onopgemerkte phishing-e-mails

Deze laag legt uit hoe u de impact van onopgemerkte phishing-e-mails kunt minimaliseren.

Bescherm uw apparaten tegen malware

Malware is verborgen in e-mails of nepwebsites, maar u kunt uw apparaten configureren om te voorkomen dat malware wordt geïnstalleerd, zelfs als de e-mail wordt aangeklikt.

Hoe kunt u malware vermijden?

Een manier om te voorkomen dat aanvallers uw kwetsbaarheden verkennen, is door ondersteunde software en apparaten te gebruiken en deze up-to-date te houden met de nieuwste versies van softwareontwikkelaars, hardwareleveranciers en verkopers.

Beperk het gebruik van beheerdersaccounts tot alleen het personeel dat ze nodig heeft. Mensen met beheerdersaccounts mogen echter nooit deze gebruiken om e-mails te controleren of op het web te surfen.

Overweeg andere beveiligingsverdedigingen voor malware, zoals het uitschakelen van macro's, anti-malware software, antivirus, enz. U moet echter zeker weten welk type malwareverdediging geschikt is voor de verschillende apparaten.

Bescherm uw gebruikers tegen schadelijke sites

Links naar schadelijke websites zijn altijd het belangrijkste onderdeel van phishing-e-mails. Als de link echter niet in staat is om de website te openen, zal de aanval niet worden voltooid.

Hoe kunt u dit doen?

De meest moderne en bijgewerkte software zal websites blokkeren die malware bevatten. Deze optie is echter niet altijd beschikbaar op mobiele apparaten.

Organisaties moeten een proxyservice uitvoeren, hetzij intern of in de cloud, om elke poging te blokkeren om websites te bereiken die zijn geïdentificeerd als hosting van malware of phishing-campagnes.

Bescherm uw accounts met een sterkere authenticatie

Hackers zijn altijd op zoek naar wachtwoorden, vooral wanneer ze voor accounts zijn met privileges om toegang te krijgen tot gevoelige informatie, financiële activa of IT-systemen. Zorg ervoor dat u uw inlogproces meer bestand maakt tegen phishing en beperk het aantal accounts met bevoorrechte toegang tot gevoelige informatie.

Hoe kunt u dit doen?

Schakel tweefactorauthenticatie (2FA) of tweestapsverificatie in. Het hebben van een tweede factor betekent dat de aanvaller geen toegang kan krijgen tot een account met een gestolen wachtwoord.

Gebruik een wachtwoordbeheerder. Sommige hiervan herkennen echte websites en zullen niet automatisch invullen op nepwebsites; op deze manier vermijdt u het geven van uw inloggegevens aan een nepwebsite. Bovendien kunt u een single sign-on methode gebruiken, waarbij het apparaat de echte website automatisch herkent en inlogt. Deze twee technieken vermijden het handmatig invoeren van wachtwoorden, wat betekent dat het ongebruikelijk zou zijn wanneer een site de gebruiker vraagt om het wachtwoord in te voeren.

Overweeg het gebruik van alternatieve inlogmechanismen die moeilijker te stelen zijn, zoals biometrie of smartcards.

Verwijder of schort accounts op die niet langer worden gebruikt.

Laag 4: Reageer snel op incidenten

Alle organisaties zullen op een gegeven moment een cyberaanval ervaren; zich hiervan bewust zijn en een plan hebben om onmiddellijk te reageren is van primordiaal belang om de ernstigste gevolgen te vermijden.

Detecteer incidenten snel

Weten over een incident eerder dan later stelt u in staat om de schade die het kan veroorzaken te beperken.

Hoe kunt u dit doen?

Het hebben van een beveiligingsmonitoringcapaciteit kan incidenten oppikken waarvan uw gebruikers zich niet bewust zijn. Dit is echter niet mogelijk voor alle organisaties, dus u kunt beginnen met het verzamelen van logboeken, zoals de geschiedenis van ontvangen e-mails, bezochte webadressen en verbindingen met externe IP-adressen. Om deze informatie te verzamelen, kunt u monitoringtools gebruiken die zijn ingebouwd in kant-en-klare diensten, zoals cloudbeveiligingspanelen, een intern team opbouwen of uitbesteden aan een beheerde beveiligingsmonitoringservice. De hoeveelheid die u verzamelt en opslaat, hangt af van uw budget. Zodra u dit heeft gedaan, zorg ervoor dat u het up-to-date houdt, zodat het effectief blijft.

Heb een incidentresponsplan

Zodra u of een van uw werknemers een phishing-aanval heeft ontdekt, moet u weten wat u moet doen om zo snel mogelijk schade te voorkomen.

Hoe kunt u dit doen?

Zorg ervoor dat iedereen in de organisatie weet wat te doen in geval van verschillende soorten incidenten, hun verantwoordelijkheden en hoe ze het zullen doen. Zorg ervoor dat uw plan voldoet aan de wettelijke en regelgevende verplichtingen van uw organisatie. Incidentresponsplannen moeten van tevoren worden geoefend om ervoor te zorgen dat iedereen bekend is met de procedure en hun rollen.

Laatste gedachten

Tot slot, phishing-aanvallen kunnen ernstige gevolgen hebben voor individuen en organisaties. Het is belangrijk om te onthouden dat het geen probleem is dat met één oplossing kan worden opgelost, maar eerder door het implementeren van verschillende lagen van verdediging. Dit kan technische maatregelen omvatten, zoals het gebruik van beveiligde e-mailgateways en proxyservices, evenals het hebben van sterke authenticatie en regelmatige gebruikersopleiding om werknemers te onderwijzen in het herkennen van phishing-pogingen. Ten slotte is het cruciaal om voorbereid te zijn met een responsplan in geval van een aanval om de schade te minimaliseren en snel te herstellen.