Hybride werken en de phishing-epidemie: ‘zero-trust’ als middel tegen ‘big phish’

Phishing-aanvallen worden een steeds groter probleem. De toename in thuiswerken, hybride werken en het gebruik van mobiele apparaten maken dat criminelen steeds meer toegangsmogelijkheden hebben. Een ‘zero-trust’-strategie is de beste manier om daar weerstand aan te bieden.

Phishing is gevaarlijker dan ooit. Volgens een recent onderzoek van Ivanti, meldde bijna driekwart (74 procent) van de IT-professionals dat hun organisaties vorig jaar het slachtoffer zijn geworden van een phishing-aanval. En 40 procent daarvan gebeurde alleen al in maand voorafgaand aan het onderzoek. Daarbij is mobiele phishing steeds vaker de boosdoener.

Bijna de helft van deze professionals noemde het gebrek aan het nodige IT-talent als een van de belangrijkste redenen voor het verhoogde risico op phishing-aanvallen. Dus hoe kunnen organisaties de plotselinge toename van beveiligingsrisico’s het hoofd bieden met minder middelen dan ooit tevoren? Het lijkt er steeds meer op dat zero-trust de ideale aanpak is om meer te doen met minder, want uiteindelijk zijn het de gebruikers en hun cyber-hygiëne die de eerste verdedigingslinie vormen tegen phishing. Wat zijn de nieuwste trends op het gebied van phishing?

Phishing ligt overal op de loer

Nu organisaties in alle sectoren zijn overgestapt op hybride werkomgevingen (thuis en op kantoor), is het niet langer de taak van beveiligingsteams om de toegang tot gegevens en systemen vanaf een specifieke locatie te beheren. In plaats daarvan gebruiken werknemers werkgerelateerde informatie op hun persoonlijke apparaten vanaf locaties over de hele wereld, waardoor het voor IT-personeel een grotere uitdaging wordt om elk aangesloten apparaat te traceren en te controleren.

Vanwege deze verschuiving hebben cybercriminelen hun phishing-aanvallen aangepast en richten ze hun pijlen nu op de persoonlijke mobiele apparaten van werknemers: en zoals uit onze enquêteresultaten blijkt is deze aanpak helaas zeer succesvol. Hackers maken ook gebruik van botnetbesmettingen om legitieme e-mails te verzamelen en zo meer overtuigende en zeer effectieve phishing-aanvallen te creëren. Dit is zorgwekkend, aangezien phishing-aanvallen zich vaak doorontwikkelen tot ransomware-aanvallen.

Het jaarlijkse risico van een datalek als gevolg van phishing-aanvallen heeft een mediane waarde van ongeveer $1,7 miljoen, en  op de lange termijn is de schade ongeveer $90 miljoen. Dit hoge risico voor een organisatie betekent ook een hoge beloning voor hackers. Recent onderzoek uitgevoerd door Aberdeen onderstreept dit risico: aanvallers hebben een hoger succespercentage op mobiele eindpunten dan op servers.

Aangezien iedereen, hoe technisch onderlegd ook, het risico loopt slachtoffer te worden van phishing-aanvallen, is het van vitaal belang dat organisaties hun beveiligingsaanpak in zijn geheel heroverwegen om deze bedreigingen te bestrijden.

Checklist voor een zero-trust-aanpak

De veiligheid van een bedrijf ligt in de eerste plaats bij de cyberhygiëne van de werknemers, en daarom moet de gebruikerservaring een centraal aandachtspunt zijn binnen elke beveiligingsstrategie. Nu werken op afstand het nieuwe normaal wordt, is het van groot belang dat best practices zo snel en eenvoudig mogelijk zijn te implementeren. Dit kan de beveiliging maken of breken. Een zero-trust-aanpak biedt een combinatie van beide strategieën.

Zero-trust-beveiliging vereist dat organisaties continu alle apparaten verifiëren die zijn aangesloten op het netwerk, elke keer opnieuw, zonder uitzonderingen. Als onderdeel van een zero-trust-strategie moeten organisaties de volgende strategieën volgen:

• Maak gebruik van machine learning om doorlopend de status van apparaten te beoordelen, toegangscontrole op basis van rolverdeling toe te passen en bewustzijn van de locatie uit te voeren voordat toegang tot gegevens wordt verleend.
• Automatiseer routinematige beveiligingsupdates, waardoor het risico wordt geëlimineerd dat medewerkers noodzakelijke beveiligings-patches en andere updates uitstellen.
• Investeer in software voor het opsporen van mobiele bedreigingen, waarmee problemen in realtime kunnen worden opgespoord en verholpen.
• Elimineer wachtwoorden volledig uit het bedrijfslandschap en vervang deze beveiligingsprocessen door multifactorauthenticatie (MFA) die gebruikmaakt van biometrische of andere informatie om gebruikers te verifiëren en de algehele phishability (kwetsbaarheid voor phishing) van routinematige aanmeldingsprocessen te elimineren.

Met deze tactieken kunnen organisaties belangrijke beveiligingsprocessen stroomlijnen en alle endpoints doorlopend beveiligen om het risico op bedreigingen te beperken.

Genoeg ‘phish’ in de zee

Het moderne bedreigingslandschap is echt volledig veranderd. Naarmate er nieuwe wegen en mogelijkheden voor phishing ontstaan, zullen cybercriminelen nieuwe aanvalstactieken blijven uitvinden in de hoop de medewerkers van een organisatie te slim af te zijn.

Als gevolg hiervan kunnen organisaties niet langer vertrouwen op traditionele beveiligingsprotocollen om zichzelf te beschermen in de nieuwe ‘werk overal’-omgeving, vooral omdat gebruikers de zwakke schakel blijven vormen. Uit het eerdergenoemde onderzoek bleek namelijk ook dat een derde (34 procent) van de ondervraagden de toename van phishing-aanvallen wijt aan gebrekkige kennis bij medewerkers, en slechts een kleine minderheid (30 procent) aangaf dat een afdoende percentage van de medewerkers de door het eigen bedrijf aangeboden beveiligingstrainingen had gevolgd.

Gelukkig zullen organisaties door een zero-trust-beveiligingsstrategie te implementeren – waaronder het implementeren van multifactorauthenticatie, het automatiseren van beveiligingsupdates, etc. – beter in staat zijn om deze bedreigingen te beperken en hun systemen en informatie te beschermen. Noch de werknemers, noch de cybercriminelen zijn van plan terug te keren naar de manier waarop ze vroeger werkten. Het wordt tijd dat bedrijven hun beveiligingsstrategie aanpassen aan het moderne zakelijke landschap.

Over de auteur: Glenn Portier is Area Director Sales Benelux & Nordics bij Ivanti.

Op de hoogte blijven van het laatste nieuws binnen je vakgebied? Volg Emerce dan ook op social: LinkedIn, Twitter en Facebook.