La maggior parte delle intrusioni inizia ancora da una persona: un’email convincente, una telefonata di qualcuno che dice di essere del supporto IT, un messaggio di un dirigente che sarebbe in riunione. I controlli tecnici ne filtrano una parte. Il resto dipende dal fatto che le persone riconoscano il tentativo e che il processo dia loro un modo per segnalarlo.
Conduciamo campagne costruite come le costruiscono gli attaccanti reali, con ogni scenario approvato da te in anticipo, e misuriamo ciò che conta: non solo chi ha cliccato, ma chi ha segnalato, quanto rapidamente la segnalazione è arrivata al team di sicurezza e che cosa ne ha fatto il team.
01Perimetro
Che cosa testiamo
Phishing via email: raccolta di credenziali, allegati, link
Campagne mirate contro ruoli con accessi elevati
Telefonate all’help desk e ai dipendenti
App di messaggistica e piattaforme di collaborazione
Autenticazione a più fattori: phishing in tempo reale e push fatigue, se concordati
Procedure dell’help desk: verifica dell’identità prima del reset di una password o dell’MFA
Canale di segnalazione: se una segnalazione arriva al team di sicurezza, e con quale rapidità
02Approccio
Come si svolge il lavoro
01
Progettazione degli scenari
Gli scenari vengono scritti e approvati uno per uno. Nessuno scenario fa leva su minacce, difficoltà personali o salute, e nessuno prende di mira account o dispositivi privati.
02
Preparazione
Domini e infrastruttura vengono preparati per la campagna. Decidi tu se il test misura solo le persone o le persone insieme ai filtri della posta.
03
Campagna
Messaggi e telefonate partono a ondate. Il gruppo di controllo nella tua organizzazione viene informato di ogni ondata.
04
Analisi
I risultati vengono aggregati per gruppo e per scenario. Il report non contiene nomi né dati che identificano una persona.
Pianificazione, regole di ingaggio e conduzione dei test tecnici.
NIST
06Domande
Domande su questo servizio
I dipendenti saranno nominati nel report?
No. I risultati sono riportati per gruppo e per scenario. Lo scopo è migliorare il processo, non trovare un colpevole. Fare i nomi delle persone distrugge la loro disponibilità a segnalare, e la segnalazione è il controllo più prezioso che esista.
È lecito inviare email di phishing ai nostri dipendenti?
Con l’autorizzazione del datore di lavoro e nel rispetto del diritto del lavoro e della normativa sulla protezione dei dati della tua giurisdizione. In alcuni paesi i rappresentanti dei lavoratori devono essere consultati. Sollevamo la questione durante la definizione del perimetro; la valutazione legale spetta ai tuoi legali.
Raccogliete password reali?
No. Le credenziali inserite non vengono conservate né usate; la campagna registra solo che c’è stato un invio. Se l’aggiramento dell’MFA rientra nel perimetro, viene dimostrato su account di test creati appositamente.
Una simulazione, guidata da un obiettivo, di un avversario reale contro persone, processi e tecnologie, per testare se un attacco verrebbe rilevato e fermato.
Un’esercitazione congiunta: i nostri operatori eseguono le tecniche di attacco una per una mentre i tuoi difensori mettono a punto rilevamento e risposta.
Simulazione di attacco
08Richiesta
Dicci che cosa va testato
Verifica del sito gratuita
Risposta entro 1 giorno lavorativo
NDA prima di qualsiasi dettaglio tecnico
Prezzo fisso per gli incarichi a pagamento
Senza impegno
Richiesta ricevuta
Codice di riferimento
Conserva il codice: lo indichiamo in tutte le comunicazioni successive con te.
Che cosa succede ora
Un responsabile esamina la richiesta e risponde entro 1 giorno lavorativo.
Concordiamo il perimetro, le regole di ingaggio e un canale sicuro per il materiale sensibile.
Ricevi una proposta con metodo, calendario e prezzo fisso. Per la verifica gratuita del sito ricevi l’autorizzazione da firmare.
Nella prima risposta non chiediamo mai pagamenti, password o accesso remoto.