Definition von “seltsam” und andere Möglichkeiten, Phishing-Angriffe zu erkennen

Ich bin mir sicher, dass wir alle in unseren Nutzungsrichtlinien oder Onboarding-Informationen Sätze wie “Melden Sie bitte alles Ungewöhnliche” finden, die sich auf das beziehen, was Sie bei Ihrer Online-Arbeit beobachten.  

Die Sache ist die: Was für Sie ungewöhnlich ist, kann für mich ganz normal sein. Und wir Sicherheitsleute sind noch voreingenommener, da wir instinktiv Risiken in unser Denken einbeziehen. 

Letzte Woche habe ich in mein Blog darum, dass Nachrichten personalisiert und kontextbezogen sind. Hier bieten sich uns mehrere Möglichkeiten: 

• Spezifisch für Ihre Organisation und Ihre Tools 
• Spezifisch für die Rolle einer Person 
• Spezifisch für das Privatleben (auch wenn dies verständlicherweise etwas allgemeiner gehalten sein wird) 

Was ist also “seltsam” im Arbeitsumfeld? Während wir als Sicherheitsexperten eine ganze Reihe von Dingen unter dem Begriff “Phishing” zusammenfassen, würden unsere Mitarbeiter wahrscheinlich mehr Beispiele und Genauigkeit schätzen – insbesondere, wenn Sie Ihre Unternehmensregeln oder Arbeitsweisen hinzufügen können.  

Hier sind nur einige Überlegungen: 

• Wurden Sie gerade aufgefordert, eine neue Software zu installieren? Normalerweise werden Sie nie aufgefordert, Software selbst zu installieren. In den seltenen Fällen, in denen dies erforderlich ist, erhalten Sie eine Mitteilung von der IT-Abteilung über den Support-Kanal in Microsoft Teams. Keine Mitteilung, keine Installation! 

• Aufforderungen zur Multi-Faktor-Authentifizierung (MFA) sollten nur erscheinen, wenn Sie etwas getan haben. Sie melden sich eines Tages zum ersten Mal seit langer Zeit oder von einem neuen Gerät aus bei einer Anwendung an. Sie können sich daran nicht erinnern? Klicken Sie nicht auf „Zulassen“. Angreifer könnten versuchen, Sie dazu zu verleiten, die Kontrolle zu umgehen. Klicken Sie auf „Ablehnen“, damit das Sicherheitsteam den Vorfall erkennen kann – denn möglicherweise sind auch andere davon betroffen. 

• Wurden Sie eingeladen, ein neues Online-Tool für die Zusammenarbeit zu nutzen? Nur die IT-Abteilung verwaltet neue Tool-Veröffentlichungen. Auch wenn es so aussieht, als käme die Nachricht von jemandem aus dem Unternehmen, klicken Sie nicht auf Links und geben Sie keine Anmeldedaten ein, wenn Sie keine Mitteilung von der IT-Abteilung erhalten haben. 

• ‘Hey, hast du diese Website schon gesehen? Du kannst dort Daten hochladen und sie analysieren lassen.’ Es gibt viele potenzielle Tools – beispielsweise KI-Tools, die wohlmeinende Mitarbeiter nutzen, um ihre Arbeit zu vereinfachen oder mehr zu leisten. — Aber wissen Sie, ob sie ein sicherer Ort für unsere Daten sind? Wenn Sie einen Bedarf haben, schauen Sie im Servicekatalog nach. Wenn er dort nicht aufgeführt ist, wenden Sie sich bitte an die IT-Abteilung oder Ihren Vorgesetzten, damit wir den Nutzen des Tools beurteilen können. Bitte probieren Sie die Dienste NICHT selbst mit unseren Daten aus. 

Für bestimmte Funktionen, beispielsweise Ihr Rechtsteam: 

• Denken Sie daran, dass wir Dokumente nur mit DocuSign* unterzeichnen. Verwenden Sie nichts anderes und melden Sie es der Sicherheitsabteilung, wenn Sie andere Anfragen sehen! 

Für etwas für zu Hause – und etwas, das ich mit vielen Menschen aus der Generation meiner Eltern verwende: 

• Sie können nichts falsch machen, wenn Sie jede E-Mail, SMS oder jeden Anruf wie ein Klopfen an Ihrer Haustür behandeln. Kenne ich sie? Können sie beweisen, wer sie sind? Habe ich den Besuch erwartet? Höflich ablehnen ist der richtige Weg. 

Wenn Sie positives Verhalten fördern möchten, denken Sie daran, wie wir Menschen lernen: Direkte Erfahrungen – oder die Fähigkeit, eine Situation zu assoziieren – sind dabei sehr wichtig. 

Möchten Sie mehr erfahren? Lesen Sie meinen vorherigen Beitrag zum Thema Cybersicherheit., Das Bewusstsein für Cybersicherheit muss sich von bloßer Anwesenheit hin zu echtem Verständnis entwickeln..   

*Nur als Beispiel; es sind auch andere Produkte zum Unterzeichnen von Dokumenten verfügbar.