Vanhan totuuden mukaan ihminen on tietoruvan heikoin lenkki. F-Securen laaja tutkimus todistaa väitteen kiistatta todeksi. 22 prosenttia työntekijöistä joutui HR-aiheisten sähköpostien uhriksi tietojenkalastelututkimuksessa, johon osallistui yli 80 000 henkilöä.
To Click or Not to Click: What we Learned from Phishing 80 000 People -tutkimuksessa testattiin, kuinka neljän eri organisaation työntekijät vastasivat sähköposteihin, jotka simuloivat yhtä yleisesti käytettyä tietojenkalastelutaktiikkaa. Tutkimukseen osallistui 82 402 henkilöä.
Vastaanottajista 22 prosenttia klikkasi sähköpostin linkkiä, joka simuloi loma-aikaa koskevaa henkilöstöilmoitusta. HR:n lähettämiä sähköpostiviestejä jäljittelevät sähköpostit olivat tutkimuksen yleisin klikkauslähde.
Sähköposti, jossa vastaanottajaa pyydettiin auttamaan laskun kanssa (raportissa tähän viitataan nimellä CEO Fraud), oli toiseksi yleisin harhautustapa joka sai klikkauksia 16 prosentilta vastaanottajista. Document Share (ilmoitukset asiakirjan jakopalvelusta) ja Service Issue Notification (viestit verkkopalvelusta) sähköpostit saivat klikkauksia 7 ja 6 prosentilta vastaanottajista, joten ne olivat tutkimuksen mukaan vähiten klikattuja sähköposteja.
F-Securen palvelupäällikön ja raportin kirjoittajan Matthew Connorin mukaan tutkimuksen merkittävin havainto oli kuitenkin, että "teknisissä" rooleissa työskentelevät ihmiset näyttivät olevan yhtä alttiita tai jopa alttiimpia tietojenkalasteluyrityksille kuin muut ihmiset.
- Teknisen henkilöstön etuoikeutettu pääsy organisaation infrastruktuuriin voi johtaa siihen, että he joutuvat aktiivisen khalastelun kohteeksi, joten tutkimuksen osoittama alttius tietojenkalastelulle on huolenaihe. Tutkimuksen jälkeiset selvitykset osoittivat, että tekninen henkilöstö oli muita työtekijöitä tietoisempia aikaisemmista tietojenkalasteluyrityksistä. Se, että he klikkasivat yhtä usein tai useammin kuin muut, paljastaa merkittävän haastetta tietojenkalastelun torjunnassa, Connor kertoo.
Kahdessa organisaatiossa tutkittiin erityisesti IT- tai DevOps-työntekijöitä. Molemmat näistä ryhmistä klikkasivat testisähköposteja prosenttiosuudella, joka oli joko yhtä suuri tai suurempi kuin muiden organisaatioiden osastoilla. Lisäksi tutkimuksessa havaittiin, että nämä osastot eivät olleet muita parempia tietojenkalasteluyritysten raportoinnissa. Yhdessä organisaatiossa IT ja DevOps sijoittuivat raportoinnissa kolmanneksi ja kuudenneksi yhdeksästä osastosta. Toisessa organisaatiossa DevOps oli kahdestoista paras raportoinnissa seitsemännestä osastosta, kun taas IT oli viidestoista.
