Atenție! Cele mai “Slick” atacuri de phishing vin chiar de la… HR sau IT!
Salutare, comunitate tech și toți cei preocupați de siguranța online!
Cu toții credem că suntem experți în detectarea emailurilor suspecte, nu-i așa? Ne mândrim că am învățat să identificăm greșelile gramaticale, logo-urile pixelate sau cererile ciudate din acele mesaje de phishing clasice. Ei bine, am vești… provocatoare. Potrivit unui studiu recent realizat de KnowBe4, realitatea este că mulți dintre noi suntem mult mai vulnerabili decât credem, mai ales când atacurile vin de la surse “de încredere” din cadrul organizației noastre!
Capcana în care cădem cel mai des: HR și IT
Raportul “What Makes People Click?” de la KnowBe4 (care analizează cele mai reușite teste de phishing din primele luni ale lui 2025) arată clar: cele mai eficiente campanii de phishing sunt cele care se dau drept comunicări de la Resurse Umane (HR) sau Departamentul de Tehnologia Informației (IT). De ce? E simplu: avem încredere în aceste departamente. Când primim un email de la HR despre o nouă politică internă sau de la IT despre o actualizare de sistem, suntem mult mai predispuși să dăm clic, să deschidem atașamente sau chiar să introducem date.
Ce anume funcționează?
Statisticile ne arată câteva tipare alarmante:
- Subiecte interne: Emailurile legate de subiecte “interne” echipei, cum ar fi politici noi, beneficii, evaluări de performanță sau notificări de la IT (parole expirate, probleme de rețea), au o rată de succes enormă. Curiozitatea sau nevoia de a fi “în regulă” ne determină să acționăm pripit.
- Atașamente familiare, dar periculoase: Oamenii continuă să deschidă fișiere PDF, HTML și documente Word (.doc) malițioase, crezând că sunt legitimate.
- Branduri impersonate: Firme precum Microsoft, LinkedIn, Google, Okta și, desigur, compania pentru care lucrezi, sunt printre cele mai impersonate branduri în atacurile de phishing de succes. Păcăleala este cu atât mai credibilă când pare să vină de la un serviciu pe care îl folosești zilnic.
Pericolul ascuns în Codurile QR
Și dacă credeai că phishing-ul prin email este singura amenințare, mai gândește-te! Articolul subliniază și pericolul codurilor QR. Da, acele pătrățele pe care le scanăm pentru meniuri, informații sau plăți pot fi o poartă de intrare pentru atacatori. KnowBe4 a descoperit că cele mai reușite înșelătorii cu coduri QR au fost legate de:
- Politici interne (ex: o nouă politică privind drogurile și alcoolul).
- Documente pentru semnare prin DocuSign.
- Mesaje false de “La mulți ani” de la Workday.
Ce putem face? Gândește de două ori, dă clic o singură dată (sau deloc!)
Aceste statistici ar trebui să ne facă să fim extrem de precauți. Chiar dacă un mesaj pare să vină de la HR sau IT, chiar dacă subiectul este urgent sau curios, adoptă o atitudine sceptică:
- Verifică sursa: Uită-te atent la adresa de email a expeditorului. Este exactă sau are mici diferențe?
- Suspiciunea e cheia: Ești neașteptat de o notificare de la HR sau IT? Dacă sună prea bine sau prea rău ca să fie adevărat, probabil că așa este.
- Nu da clic: Nu da clic pe linkuri și nu deschide atașamente înainte de a verifica autenticitatea mesajului. Cel mai sigur este să contactezi departamentul respectiv printr-un canal separat (telefon, aplicație internă) pentru a confirma.
- Fii atent la codurile QR: Verifică întotdeauna sursa codului QR înainte de a-l scana.
În cele din urmă, educația și conștientizarea sunt cele mai bune arme împotriva phishing-ului. Nu te lăsa păcălit de simplitatea sau familiaritatea mesajului. Gândește de două ori înainte de a da clic pe acel mesaj de “La mulți ani” de la Workday sau pe acea “politică nouă” de la HR!
Tu ai fost vreodată la un pas să cazi într-o astfel de capcană? Împărtășește-ne experiența ta în comentarii!