1️⃣ Che cosa misura la difficoltà
Ogni modello di simulazione porta una valutazione: Facile, Medio o Difficile. Indica quanto sia arduo, per un dipendente comune, accorgersi che si tratta di un phishing.
La valutazione viene calcolata automaticamente a partire dal contenuto del modello: oggetto, corpo del messaggio, nome e dominio del mittente, link e allegati. Si basa sulla Phish Scale del NIST, il quadro di riferimento pubblicato dall'istituto statunitense di normazione per valutare il realismo di un phishing. Riot ne applica un sottoinsieme di 7 indizi, calibrato sul proprio catalogo e sul proprio storico di attacchi.
Tutti i modelli hanno una difficoltà: non esiste uno stato « non valutato ».
2️⃣ I 7 indizi analizzati
Alcuni indizi facilitano il riconoscimento e portano la valutazione verso Facile, altri lo rendono più difficile e portano verso Difficile. Non pesano tutti allo stesso modo.
Il dominio del mittente - un errore grossolano nel dominio si nota a colpo d'occhio; una lettera sostituita in modo sottile passa inosservata.
L'ortografia e la grammatica - un testo pieno di errori è un segnale classico; un testo professionale elimina questo indizio.
La pertinenza del pretesto - un argomento che riguarda soltanto una manciata di ruoli viene scartato senza pensarci; un pretesto che imita un'attività quotidiana (firmare un documento, password scaduta) provoca una reazione rapida.
L'urgenza o l'autorità invocata - una scadenza esplicita, una minaccia di sospensione o una presunta richiesta della direzione spingono a cliccare prima di verificare.
La personalizzazione - un « Gentile cliente » si ignora facilmente; citare per nome un collega genera una fiducia sociale raramente messa in discussione.
Il marchio imitato - un marchio sconosciuto desta immediatamente sospetto; uno strumento di lavoro utilizzato ogni giorno non può essere ignorato senza conseguenze.
Il link o l'allegato - un file eseguibile o un URL che non corrisponde al marchio sono segnali noti; un documento innocuo o un link dietro un pulsante non presentano nulla di visibilmente rischioso.
👍 Buono a sapersi: potete consultare il dettaglio degli indizi nella scheda di un modello. È la risposta alla domanda « perché questo modello è valutato Difficile? »: la scheda elenca gli indizi che un dipendente potrebbe — o non potrebbe — notare.
3️⃣ Uno stesso modello può avere due difficoltà
La difficoltà viene calcolata per ogni combinazione modello + servizio, e non per il modello da solo.
Lo stesso messaggio inviato a nome di due servizi diversi non ottiene quindi necessariamente la stessa valutazione: cambia il dominio del mittente, e cambia anche la notorietà del marchio. La valutazione riflette l'attacco così come verrà realmente inviato, contenuto e mittente compresi.
Se due modelli vi sembrano identici ma mostrano valutazioni diverse, guardate il servizio e il dominio del mittente: è quasi sempre da lì che deriva la differenza.
4️⃣ Dove compare la valutazione
Nel catalogo dei modelli, al momento di comporre una campagna: un filtro laterale vi permette di mostrare soltanto i modelli Facili, Medi o Difficili, con il numero disponibile per ciascuno.
Nella scheda di ogni modello.
Nel report di campagna, dove il tasso di vulnerabilità è suddiviso per livello di difficoltà.
5️⃣ La valutazione non è modificabile
La difficoltà viene calcolata automaticamente e non può essere forzata. È una scelta voluta: una valutazione sulla quale due amministratori potrebbero non essere d'accordo non sarebbe una valutazione. È questo vincolo a rendere possibili i confronti da una campagna all'altra, e tra il catalogo Riot e i vostri modelli personalizzati.
Anche i vostri modelli personalizzati vengono valutati, automaticamente, a ogni salvataggio. Modificare il contenuto, le Smart Variables o il dominio del mittente di un modello può quindi farne evolvere la valutazione.
6️⃣ Ciò che la difficoltà non dice
La valutazione riguarda il contenuto di un modello. È un indicatore solido, ma non è una previsione di risultato: un modello Difficile può benissimo essere riconosciuto da tutti, e un modello Medio ingannare su larga scala.
Le principali differenze derivano da:
La maturità dei vostri team. Una popolazione formata da due anni ha interiorizzato gli indizi evidenti: il suo tasso di errore sui modelli Facili tende a zero.
Il contesto del destinatario. Un reparto contabilità riceve fatture ogni giorno: una fattura falsa è per loro più facile da riconoscere che per un team tecnico.
Gli strumenti realmente utilizzati. Un modello Difficile che imita uno strumento non utilizzato dalla vostra azienda non ingannerà nessuno.
L'esposizione ripetuta. Dopo diverse campagne, i vostri dipendenti riconoscono gli schemi. La valutazione, invece, resta statica.
La lingua. Il quadro del NIST è stato elaborato principalmente su contenuti in inglese; alcuni indizi propri di altre lingue o culture sono presi in considerazione in modo meno accurato.
Il momento dell'invio. La difficoltà giudica soltanto il contenuto. Un modello Facile inviato al momento giusto può fare più danni di un modello Difficile mal collocato.
⚠️ Importante: leggete sempre la valutazione di difficoltà insieme al tasso di vulnerabilità per difficoltà del vostro report di campagna. La valutazione serve a scegliere i modelli; il report dice come i vostri team hanno realmente reagito. Vedete Analizzare gli indicatori della mia campagna.
Da ricordare
Tre livelli - Facile, Medio, Difficile - calcolati automaticamente su 7 indizi tratti dalla Phish Scale del NIST.
La valutazione riguarda la combinazione modello + servizio, non il modello da solo.
Non è modificabile, e i vostri modelli personalizzati vengono valutati allo stesso modo.
Qualifica il contenuto, non i vostri team: da incrociare sistematicamente con il tasso di vulnerabilità per difficoltà.