Çalışanlara Yönelik Oltalama Simülasyonlarının Etkisi Sınırlı Kalıyor
Son yıllarda şirketler çalışanlarını oltalama (Phishing) saldırılarına karşı hazırlıklı hale getirmek için çeşitli eğitimler uyguluyor. Ancak yapılan kapsamlı bir araştırma, bu eğitimlerin beklenen etkiyi yaratmadığını ortaya koydu. Güvenli e-posta geçitleri de aynı şekilde saldırıları tam olarak engelleyemiyor.
Phishing Eğitimleri Beklenen Sonucu Vermiyor
Chicago Üniversitesi ile Kaliforniya Üniversitesi San Diego’dan araştırmacıların yaptığı bir saha çalışmasında 19 binin üzerinde çalışan farklı oltalama senaryolarına maruz bırakıldı. Sonuçlar oldukça dikkat çekiciydi. Eğitimlerin genel faydası yalnızca yüzde 1.7 seviyesinde kaldı.
Etkileşimli eğitimler daha iyi sonuç verirken statik oturumların etkisiz hatta ters etki yarattığı görüldü. Statik eğitim alan çalışanlarda zararlı içeriklere tıklama oranı yüzde 18.5 oranında arttı. Yıllık tekrar edilen eğitimlerde de kalıcı bir kazanım sağlanmadı. En deneyimli çalışanlar dahi ikna edici e-postaların yüzde 15’inden fazlasına tıkladı.
Uzmanlar güvenli e-posta geçitlerinin tek başına etkili olmadığını vurguluyor. Saldırganlar bu sistemleri atlatmak için farklı yöntemler geliştiriyor. Gecikmeli zararlı içerikler, güvenilir platformların kullanımı ya da sadece metin tabanlı saldırılar bu yöntemler arasında öne çıkıyor. Özellikle Microsoft SharePoint, OneDrive veya Google Docs gibi güvenilir görünen servisler üzerinden gönderilen bağlantılar geçitlerin filtrelerini aşabiliyor.
İş e-postası dolandırıcılığı da ayrı bir risk oluşturuyor. Çalışanlara yönetici ya da iş ortağı kılığına giren saldırganlar hiçbir dosya veya bağlantı kullanmadan gizli bilgilerin paylaşılmasını ya da para transferlerinin yapılmasını sağlayabiliyor.
KnowBe4’den Dr. Martin Krämer’e göre saldırganların sürekli yeni yöntemler geliştirdiği günümüzde sadece gelen kutusu filtrelemesi yapmak yeterli değil. Bulut tabanlı, yapay zekâ destekli güvenlik çözümleri daha etkili görülüyor. Bu sistemler içerikleri ve iletişim davranışlarını analiz ederek olağan dışı hareketleri anlık olarak tespit edebiliyor.
Teknolojik önlemler kadar çalışan farkındalığı da önemini koruyor. Krämer, personelin düzenli ve hedefe yönelik eğitimlerle sahte gönderenleri, manipüle edilmiş içerikleri ve olağan dışı yazışmaları tanıma becerisi kazanması gerektiğini ifade ediyor.
Ortaya çıkan tablo, ne yalnızca teknik çözümlerin ne de yalnızca eğitimlerin tek başına yeterli olduğunu gösteriyor. Şirketlerin daha güçlü bir savunma hattı oluşturabilmesi için iki yöntemi birlikte kullanması gerekiyor. Hem dinamik güvenlik çözümleri hem de çalışan farkındalığına dayalı bir kültür, oltalama saldırılarına karşı en etkili yaklaşım olarak değerlendiriliyor.
