Контролируемые фишинговые рассылки, звонки и кампании в мессенджерах, которые измеряют, как реагируют люди и процессы; результаты — по группам и никогда по именам.
Большинство вторжений по-прежнему начинается с человека: убедительное письмо, звонок от «технической поддержки», сообщение от руководителя, который якобы на совещании. Часть этого отсекают технические средства. Остальное зависит от того, распознают ли люди попытку и даёт ли им процесс способ о ней сообщить.
Мы проводим кампании, построенные так, как их строят реальные злоумышленники, заранее согласуя с вами каждый сценарий, и измеряем главное: не только кто перешёл по ссылке, но и кто сообщил, как быстро сообщение дошло до службы безопасности и что она с ним сделала.
01Объём
Что мы проверяем
Фишинг по электронной почте: перехват учётных данных, вложения, ссылки
Целевые кампании против ролей с повышенным доступом
Телефонные звонки в службу поддержки и сотрудникам
Мессенджеры и платформы совместной работы
Многофакторная аутентификация: фишинг в реальном времени и push-усталость — по согласованию
Процедуры службы поддержки: проверка личности перед сбросом пароля или MFA
Канал сообщений: доходит ли сообщение до службы безопасности и как быстро
02Подход
Как выполняется работа
01
Разработка сценариев
Сценарии пишутся и согласуются по одному. Ни один сценарий не использует угрозы, личные трудности или здоровье и не затрагивает личные учётные записи и устройства.
02
Подготовка
Под кампанию готовятся домены и инфраструктура. Вы решаете, что измеряет тест: только людей или людей вместе с почтовыми фильтрами.
03
Кампания
Письма и звонки идут волнами. Контрольная группа в вашей организации получает информацию о каждой волне.
04
Анализ
Результаты сводятся по группам и сценариям. В отчёте нет имён и данных, позволяющих установить конкретного человека.
Планирование, правила проведения и выполнение технических проверок.
NIST
06Вопросы
Вопросы об этой услуге
Сотрудники будут названы в отчёте?
Нет. Результаты приводятся по группам и сценариям. Цель — улучшить процесс, а не найти виноватого. Если называть людей, они перестанут сообщать о подозрительном, а сообщения — самая ценная из существующих мер.
Законно ли отправлять фишинговые письма собственным сотрудникам?
С разрешения работодателя и в рамках трудового законодательства и законодательства о защите данных вашей юрисдикции. В некоторых странах требуется консультация с представителями работников. Мы поднимаем этот вопрос при согласовании объёма; правовую оценку дают ваши юристы.
Вы собираете настоящие пароли?
Нет. Введённые учётные данные не сохраняются и не используются; кампания фиксирует только сам факт ввода. Если в объём входит обход MFA, он демонстрируется на специально созданных тестовых учётных записях.