Når travelhet gjør oss mer sårbare
Smishing er phishing via SMS. Målet er gjerne å få mottakeren til å klikke på en lenke, oppgi sensitiv informasjon eller utføre en handling som kan gi svindleren tilgang til kontoer og opplysninger.
Det er ikke nødvendigvis manglende kunnskap som gjør at ansatte blir lurt. En melding kan dukke opp midt i en travel arbeidsdag, og da er det lett å handle raskt uten å undersøke om den er ekte.
Erfaringer fra simulerte svindeltester viser at noen klikker på lenken, andre ignorerer meldingen, mens enkelte varsler om at noe virker mistenkelig. En utfordring er at ansatte som mistenker svindel, ikke alltid sier fra. Da mister resten av virksomheten muligheten til å reagere.
Øv på svindel i trygge omgivelser
Hvordan kan bedrifter finne ut hvor godt de ansatte kjenner igjen slike forsøk? Reed peker på simulert phishing og smishing som et nyttig verktøy.
I en simulering sendes falske, ufarlige svindelmeldinger til ansatte via e-post eller SMS. Meldingene ligner på reelle svindelforsøk, men lenkene leder til en trygg testside. Dersom noen klikker, får de umiddelbart en kort forklaring på hva som burde vekket mistanke.
Testene kan gjennomføres automatisk og jevnlig. Bedriften får oversikt over hvor mange som klikker, hvor mange som forsøker å fylle inn informasjon, og hvor flinke de ansatte er til å varsle om mistenkelige meldinger. Resultatene brukes til å forbedre opplæringen, ikke til å henge ut enkeltpersoner.
- Det er litt som brannøvelser. Å vite hva man skal gjøre, er én ting. Men når meldingen kommer midt i en hektisk dag, er det lett å glemme. Når man har blitt lurt i trygge omgivelser og får forklaringen med en gang, husker man det mye bedre, sier Reed.
(1).png)
Sikkerhet bygges over tid
En opplæringsøkt i året er sjelden nok. Svindlerne endrer metodene sine, og nye ansatte kommer til. Regelmessige simuleringer gjør det mulig å trene på ulike typer meldinger og gradvis øke vanskelighetsgraden.
Mobit Sarpsborg anbefaler at bedrifter deler læringen åpent, gjør det enkelt å rapportere mistenkelige meldinger og gir ansatte korte, konkrete råd basert på det de faktisk møter. Tekniske sikkerhetstiltak, som tofaktorautentisering, er også viktige for å begrense konsekvensene dersom noen skulle klikke på en lenke.
Det viktigste er å skape en kultur der ansatte tør å si fra - også hvis de har klikket på noe de ikke burde.
- Se på testen som opplæring, ikke som en felle. Når de ansatte føler seg trygge på å si fra om at de har klikket, eller at de har sett noe mistenkelig, blir bedriften tryggere. Gjør testene jevnlig, og fei ingenting under teppet, er rådet fra Reed.