Aumente sua resistência a ataques de phishing

Ryan Wright e Matthew Jensen já aplicaram phishing em milhares de pessoas na última década e não pretendem parar tão cedo. Os dois não são hackers em busca de dados ou fundos valiosos; são pesquisadores que trabalham com empresas, governos e universidades em todo o mundo para entender por que caímos com tanta frequência em ataques de phishing e o que as organizações podem fazer para mitigar a ameaça. Os departamentos de segurança corporativa se esforçam para educar as pessoas sobre phishing, que é responsável por 90% de todas as violações de dados, mas estima-se que 30% dos e-mails fraudulentos são abertos mesmo assim. Com o custo de um ataque bem-sucedido em média de US$ 3,8 milhões, essa é uma parcela desconfortavelmente alta. E pode aumentar à medida que os criminosos cibernéticos exploram a disrupção causada pela pandemia e o aumento acentuado de funcionários que trabalham em casa, onde o aumento das distrações pode fazer com que eles baixem a guarda. Com base em suas pesquisas, Wright (Professor de Comércio C. Coleman McGehee da Universidade da Virgínia) e Jensen (Professor Associado Presidencial de Sistemas de Informações Gerenciais da Universidade de Oklahoma) identificaram várias maneiras de aumentar a eficácia do treinamento de segurança. Adicionar um componente de atenção plena. Muitas organizações exigem que os funcionários concluam módulos de treinamento prontos para uso regularmente - geralmente anualmente ou semestralmente. Isso é útil, dizem os pesquisadores, para alertar as pessoas sobre ameaças comuns e fornecer-lhes diretrizes básicas para avaliar as mensagens recebidas. Mas a repetição pura e simples do treinamento baseado em regras não aumenta necessariamente a resistência a ataques, advertem eles. Na verdade, depois de certo ponto, ele pode ser contraproducente, dessensibilizando as pessoas para o treinamento e dando a elas uma falsa sensação de domínio sobre as lições - que elas então ignoram. Parte do problema é que o treinamento baseado em regras promove o que o psicólogo ganhador do prêmio Nobel Daniel Kahneman chama de pensamento do Sistema 1. Esse tipo de processamento rápido e automático é eficiente, mas pode resultar em uma tomada de decisão descuidada e deixa os funcionários vulneráveis a ataques que fogem às regras. "Em vez de pedir às pessoas que memorizem uma lista de dicas que mudam constantemente", diz Wright, "as organizações podem adotar uma abordagem mais holística": adicionar instruções de atenção plena. O objetivo é incentivar o pensamento do Sistema 2 - uma abordagem mais reflexiva e analítica. Em um estudo de campo que envolveu 355 estudantes universitários, professores e funcionários, os pesquisadores e colegas compararam três grupos de participantes, todos com treinamento básico de segurança. O primeiro grupo recebeu instruções adicionais baseadas em regras. O segundo grupo foi ensinado a usar técnicas simples de atenção plena: Fazer uma pausa se um e-mail solicitar uma ação; considerar a natureza, o momento, a finalidade e a adequação da solicitação; e consultar um terceiro sobre qualquer suspeita. O terceiro grupo não recebeu nenhum treinamento adicional. Dez dias depois, os pesquisadores lançaram um ataque de phishing simulado. Eles descobriram que 13% das pessoas que receberam treinamento adicional baseado em regras morderam a isca, assim como 23% das pessoas que não receberam treinamento adicional, mas apenas 7% das pessoas instruídas em técnicas de atenção plena foram vítimas. Um trabalho posterior realizado pelo colega dos pesquisadores, Christopher Nguyen, obteve resultados semelhantes e mostrou que o aumento da resistência durou vários meses. Adote uma abordagem que envolva toda a equipe. As medidas de segurança geralmente são frustradas pelo problema do "elo mais fraco": se apenas uma pessoa responder a um ataque, ele poderá ser bem-sucedido. Para entender se a dinâmica de grupo pode diminuir essa vulnerabilidade, Wright e seus colegas realizaram um experimento de campo de dois anos na unidade financeira de 180 pessoas de uma grande universidade. Mapeando as posições dos funcionários em seus grupos de trabalho e redes sociais e enviando-lhes phishing várias vezes, eles descobriram que quanto mais centrais ou conectadas as pessoas eram em qualquer tipo de grupo, menor era a probabilidade de sucumbirem a um ataque. Por exemplo, os funcionários no quartil superior de centralidade em seus grupos de trabalho clicaram nos links das mensagens de phishing em apenas 14% das vezes, enquanto os funcionários no quartil inferior o fizeram em 35% das vezes. Os pesquisadores também descobriram que quanto maior a eficácia geral do computador de uma equipe, mais resistente cada membro era aos ataques de phishing. Essas descobertas indicam que os funcionários podem aprender valiosas lições de segurança com os colegas de equipe, formal ou informalmente, uma dinâmica que os gerentes poderiam aproveitar. "Em vez de dizer: 'É aquela época do ano: Conclua seu treinamento de TI quando puder' e depois nunca mais fale sobre isso", diz Wright, "os gerentes poderiam realizar treinamentos em equipe e responsabilizar cada equipe pelos resultados." As organizações também poderiam usar a análise de rede para identificar funcionários especialmente suscetíveis e poderiam oferecer treinamento adicional às pessoas que são periféricas ou novas em suas equipes. "Tornar as lições pessoais significa que é mais provável que elas permaneçam" Jared Soares Como Diretor de Segurança da Informação da Fannie Mae, Christopher Porter supervisiona o treinamento de segurança de quase 7.500 funcionários, além de vários milhares de prestadores de serviços e consultores independentes. Recentemente, ele conversou com a HBR sobre como a organização trabalha para se defender contra ataques de phishing. A seguir, trechos editados. Em que tipos de educação sobre phishing o senhor se envolve? Há o amplo treinamento habitual que é obrigatório em toda a organização. Direcionamos outros esforços para unidades específicas. Os grupos de contas a pagar e finanças, por exemplo, enfrentam ataques específicos e precisam desenvolver imunidades especiais. Além disso, todos os meses realizamos um exercício de phishing simulado sobre um tema específico. Se as pessoas clicarem em um dos e-mails de teste, elas recebem feedback imediato - um vídeo curto mostra exatamente o que fez com que a mensagem fosse um phishing. Se falharem em dois ou mais testes em um período de 12 meses, elas participam de um treinamento em grupo adicional para se atualizarem. Por fim, montamos uma campanha semanal de conscientização sobre segurança: Todas as sextas-feiras publicamos um blog abordando algum aspecto da detecção de phishing e o que fazer ao encontrar um - é fundamental fazer com que as pessoas denunciem os ataques. Reforçamos continuamente as medidas que os funcionários precisam tomar. Em que o senhor se concentra nos exercícios mensais? Há três temas principais. O primeiro é a perda: Um atacante ameaça tirar algo das pessoas se elas não responderem. O segundo são as promessas: As pessoas são informadas de que receberão algo se clicarem em um link. A terceira tem a ver com emoções - tentativas de explorar coisas como a curiosidade. É importante saber a quais dessas abordagens nossos usuários são mais suscetíveis para que possamos direcionar nosso treinamento de acordo. Também analisamos os tipos de ataques que estão em andamento em um determinado momento. Atualmente, a Covid-19 está sendo uma grande isca. Pesquisas descobriram que exercícios simples de atenção plena podem aumentar a resistência das pessoas. O senhor já utilizou essa abordagem? Tentamos fazer com que as pessoas usem o processo "parar, pensar, agir". Por exemplo, nós as incentivamos a parar quando veem um banner identificando uma mensagem como externa à organização e, antes de continuar a lê-la ou realizar qualquer ação, perguntar a si mesmas se estavam esperando o e-mail, se conhecem o remetente, se algo parece estranho. Isso melhorou nossa resistência ao longo do tempo. Como o senhor evita que as pessoas cliquem no treinamento sem realmente absorvê-lo? Primeiro, tentamos torná-lo divertido. Incorporamos vídeos de desenhos animados criados profissionalmente que enfocam lições específicas de segurança, às vezes com narração de estrelas - o comediante Jon Lovett fez um deles. Em segundo lugar, nos baseamos em pesquisas que mostram que, se o senhor ensinar os funcionários a proteger suas informações em casa, eles levarão essas lições para o escritório e as aplicarão às informações da empresa. Para isso, mostramos às pessoas como configurar a autenticação multifator para manter suas informações financeiras pessoais seguras. Durante a temporada de impostos, nós os lembramos de que eles podem receber mensagens fraudulentas supostamente do IRS. E fazemos muito para ajudar as pessoas a proteger suas famílias. Por exemplo, uma senhora veio aqui e falou sobre sua experiência como criança sequestrada por um predador on-line e como os pais podem proteger seus filhos on-line. A pesquisa mostra - e nós descobrimos - que tornar as lições pessoais significa que elas têm maior probabilidade de serem mantidas. Uma descoberta do estudo pegou os pesquisadores de surpresa: Quanto mais os funcionários interagiam com o help desk de TI, ou mesmo apenas confiavam nele, maior era a probabilidade de caírem em phishing. Essas pessoas podem ter se sentido "indenizadas" contra ameaças, afirmam os pesquisadores. "Se um cartão de crédito é roubado, a empresa de cartão de crédito cobre as perdas, fazendo com que as pessoas não se preocupem tanto em proteger seus cartões; imaginamos que algo semelhante esteja acontecendo aqui", explica Wright. "Se as pessoas pensam: 'O help desk me manterá seguro se eu clicar em algo errado', elas não estão se apropriando da proteção de seus dados ou aprendendo com suas interações." Os gerentes poderiam incentivar os funcionários fazendo com que a conformidade com a segurança faça parte de suas avaliações anuais, diz ele - e os help desks poderiam garantir que os usuários entendam os sinais de alerta que deixaram passar, em vez de simplesmente consertar o problema, como geralmente ocorre. Use treinamento gamificado. Outra maneira de aproveitar a dinâmica de grupo é adicionar um elemento competitivo aos exercícios de segurança cibernética. Os pesquisadores e seus colegas realizaram três experimentos envolvendo 568 participantes que desempenharam o papel de um estagiário ensinado a identificar e relatar mensagens suspeitas e, em seguida, receberam uma variedade de tarefas, entre elas, gerenciar a caixa de entrada do chefe. Durante o trabalho, os participantes se depararam com cinco e-mails de phishing. Nos dois primeiros experimentos, seus relatórios foram publicados em placares de líderes de diferentes designs. No terceiro experimento, as tabelas de classificação foram comparadas com várias outras medidas antiphishing, isoladamente e em combinação: um vídeo de treinamento, rótulos que marcavam os e-mails como "externos" se viessem de fora da organização e rótulos que avisavam que e-mails particularmente suspeitos poderiam ser phishing. A tabela de classificação foi altamente eficaz para incentivar as denúncias e, ao mesmo tempo, manter os falsos positivos sob controle; somente os rótulos que avisam explicitamente que os e-mails podem ser phishing obtiveram melhores resultados. A TI foi especialmente eficaz quando associada ao treinamento. Mas alguns designs se mostraram melhores do que outros. A configuração ideal tornava as identidades dos denunciantes visíveis para todos e concedia pontos para denúncias corretas e os deduzia para alarmes falsos. "A motivação externa acabou sendo de longe mais eficaz do que os incentivos intrínsecos", diz Jensen. Ninguém vai gastar tempo caçando phishes por diversão. Mas as organizações podem adotar essas medidas para enfatizar a importância da detecção e da denúncia e para tornar essas atividades mais eficazes e gratificantes. Quando se trata de os funcionários caírem em mensagens fraudulentas, "é muito difícil chegar a zero", diz Jensen. "O senhor precisa adotar uma abordagem em camadas." Sobre a pesquisa: "Beyond Individuals: A Group Perspective of TI Security Compliance", de Ryan T. Wright, Steven L. Johnson e Brent Kitchen (documento de trabalho); "Building the Human Firewall: Combating Phishing Through Collective Action of Individuals Using Leaderboards", de Matthew L. Jensen et al. (working paper); "Training to Mitigate Phishing Attacks Using Mindfulness Techniques", de Matthew L. Jensen et al. ( Journal of Management Information Systems, 2017)

Aumente sua resistência a ataques de phishing

Partner Center