Jeden přesvědčivý e-mail, telefonát nebo SMS může obejít technické zabezpečení i zavedené procesy. Připravíme realistický útok podle vašeho provozu a bezpečně ověříme, kde by mohl uspět.
Peníze, citlivá data nebo provoz. Tři různé organizace ukazují, kam může vést správná legenda ve správný okamžik.
46 mil. Kč
Útočníci vydávající se za policisty a pracovníky banky přesvědčili zaměstnankyni k opakovaným převodům přibližně 46 milionů korun.
Únik dat
Útok zasáhl nebankovní část skupiny. Ve veřejném vyjádření zaznělo selhání lidského faktoru i nedůsledné uplatnění pravidel. Bankovní systémy zasažené nebyly.
Týdny omezení
Ransomwarový útok ochromil informační systémy nemocnice a výrazně omezil její provoz. Případ byl spojován s rozsáhlou phishingovou kampaní.
Uvedené případy vycházejí z veřejně dostupných zdrojů. BOIT nebyl dodavatelem ani vyšetřovatelem těchto incidentů.
Jiní lidé, jiné procesy, jiné návyky, a proto i jiné cesty, kterými se útočník pokusí dovnitř. Nejdřív zjistíme, co potřebujete ověřit. Teprve potom vybíráme vhodný scénář.
Nastražené flash disky, QR kódy nebo dokumenty se zdánlivě citlivým obsahem. Ověříme, zda je lidé připojí, otevřou, nahlásí nebo správně odevzdají.
Falešná pozvánka, požadavek kolegy, telefonát technické podpory nebo cílená komunikace pracující s autoritou, důvěrou a časovým tlakem.
Falešné faktury, změny bankovního spojení, přihlášení do služby, urgentní požadavky vedení nebo podvodné SMS cílené na konkrétní proces.
Nejde o pevné balíčky. Jednotlivé metody kombinujeme podle rizik vaší organizace.
Veřejně se mluví až o odcizených penězích, uniklých datech nebo zastaveném provozu. Na začátku ale často stojí jediná zdánlivě běžná situace.
Zpráva nebo volající zapadne do běžného pracovního dne.
Autorita, naléhavost, zvědavost nebo obava z následků.
Kliknutí, přihlášení, otevření souboru nebo předání informace.
Kontrola neproběhne, varování nedorazí nebo je pravidlo ignorováno.
Peníze, data, přístup do systému nebo omezený provoz.
Hodnota testu není jen v kampani. Je v tom, co z výsledků dokážete změnit.
Cíle, cílové skupiny, scénáře, kanály, pravidla bezpečné realizace a harmonogram.
Technická příprava a provedení phishingu, smishingu, vishingu nebo fyzických testů.
Relevantní reakce: proklik, odevzdání údajů, provedení akce, nahlášení i správná reakce.
Výsledky v kontextu, zjištěná slabá místa a konkrétní další kroky pro management i IT.
Ve zprávě oddělíme jednotlivé scénáře, vysvětlíme výsledky a ukážeme, kde selhal člověk, proces nebo technické opatření. Součástí jsou konkrétní doporučení pro další postup.
Rozsah, sběr dat i způsob vyhodnocení nastavíme předem. Cílem je odhalit slabé místo a zlepšit chování, ne vytvořit veřejný žebříček viníků.
Ujasníme cíle, prostředí, rizikové skupiny a technická omezení.
Vybereme vhodné kanály a připravíme legendu útoku na míru.
Nastavíme rozsah, kontaktní osoby, pravidla eskalace a potřebné výjimky.
Provedeme test a zaznamenáme předem dohodnuté reakce.
Předáme report, vysvětlíme zjištění a doporučíme další kroky.
Jednorázová simulace pro vybranou skupinu, provoz, riziko nebo ověření po školení. Vhodná jako výchozí měření nebo test konkrétního procesu.
Kombinace různých scénářů v průběhu roku, porovnávání výsledků a postupné zvyšování obtížnosti podle toho, jak se organizace učí.
Podle cíle, pracovních rolí, prostředí a reálných rizik. Ve výrobě může mít větší hodnotu USB baiting, u managementu cílený vishing a u účetních phishing nebo smishing navázaný na finanční procesy.
Ano. Jeden scénář může začít e-mailem, pokračovat telefonátem a skončit na podvodné stránce. Kombinaci vždy nastavíme podle dohodnutého rozsahu.
Jen data potřebná pro dohodnuté vyhodnocení. Rozsah měření, přístup k výsledkům i způsob jejich uchování nastavíme před spuštěním testu.
Záleží na cíli testu a interních pravidlech organizace. Společně zvolíme postup, který přinese relevantní výsledek a současně respektuje vaše právní a personální podmínky.
Výsledky s vámi projdeme a doporučíme konkrétní změny: školení vybraných skupin, úpravu procesů, technické opatření nebo kontrolní test s jiným scénářem.
Simulovaný phishing je předem dohodnutý test, při kterém organizace bezpečně ověřuje reakce zaměstnanců na podvodné e-maily. BOIT připravuje také telefonické simulace (vishing), SMS scénáře (smishing) a fyzické nástrahy. Výstupem jsou dohodnuté metriky, report a doporučení pro další zlepšení.