La ciberdelincuencia es un problema creciente y todas las organizaciones han sido objeto de phishing por correo electrónico o WhatsApp de vez en cuando. Los piratas informáticos siempre encuentran nuevas formas de robar datos, por lo que es importante mantener a sus empleados alerta y garantizar que los datos de la empresa permanezcan seguros. Así que uno de nuestros socios decidió organizar un experimento para comprobar el grado de atención de los empleados. Dado que varios socios estaban interesados en el proceso, a continuación se detallan los pasos seguidos en la prueba:
Paso 1: Un entorno Outlook igual al real
La prueba comenzó configurando un entorno falso de Outlook que tenía exactamente el mismo aspecto que la página real de Microsoft Outlook. Sin embargo, los que intentaban conectarse a este entorno falso no estaban realmente conectados. En su lugar, los datos de acceso se transmitían al departamento informático.
Paso 2: Correo electrónico falso nº 1
A continuación, enviaron un correo electrónico del director general solicitando el cambio de contraseña a través de un enlace al entorno falso de Outlook. Lamentablemente, este correo electrónico fue descubierto rápidamente y compartido en el chat del grupo, por lo que aún no han tenido éxito.
Paso 3: Un segundo intento…
Una semana después, volvieron a intentarlo con un mensaje sobre «recientes ataques de phishing» e indicaron que se estaba trabajando en la seguridad mediante la verificación en dos pasos. Se lo pusieron aún más fácil a los colegas enviándoles un enlace (al entorno falso).
Resultado del experimento
Al final, sólo uno de los 76 empleados se animó a hacer clic en el enlace e iniciar sesión. Gracias a la rápida comunicación a través del chat de grupo, todo el mundo se puso al día rápidamente y el equipo aprobó (casi) con nota.
Conclusión final
Este experimento demuestra que los correos electrónicos de phishing pueden parecer reales, incluso sin información interna. Es importante vigilar siempre las direcciones de correo electrónico desviadas y compartir rápidamente la información dentro del grupo. Los empleados de este socio en particular recordarán este experimento durante mucho tiempo y seguirán siendo conscientes de los peligros de la ciberdelincuencia.
¿Realizar una prueba también?
Si su organización utiliza Microsoft Office 365, podría utilizar Attack Simulation Training.
