E-mail jest powszechny; przynęty phishingowe pojawiają się też w wiadomościach tekstowych, mediach społecznościowych, reklamach wyszukiwarek, kodach QR i platformach współpracy, a phishing głosowy jest powszechnie nazywany vishingiem.
Niektóre kampanie imitują znaną organizację na skalę; spear phishing jest dostosowany do konkretnej osoby lub grupy. Nowoczesne ataki mogą kraść poświadczenia przez przekonującą stronę logowania, uzyskiwać zatwierdzenie MFA, dostarczać złośliwe oprogramowanie, przekierowywać płatność lub przekonywać personel wsparcia do zresetowania konta.
Najważniejsze punkty
Typowe sygnałyNieoczekiwana pilność, nietypowe żądania, zmienione dane płatności, mylące adresy, podejrzane miejsca docelowe lub presja ominięcia procedury.
Kontrole techniczneFiltrowanie, izolacja załączników, uwierzytelnianie domeny, bezpieczne przeglądanie, MFA odporne na phishing, dostęp warunkowy i monitorowanie punktów końcowych.
Kontrole procesoweNiezależna weryfikacja, zatwierdzanie płatności, bezpieczne odzyskiwanie, łatwe zgłaszanie i szybkie badanie zgłoszonych wiadomości.
Istotne ograniczenieSzkolenie uświadamiające pomaga, ale nie może sprawić, że każdy rozpozna każde oszustwo; systemy i przepływy pracy muszą tolerować błąd ludzki.