500 сотрудников GoDaddy провалили фишинговый тест — они получили письмо с обещанием финансовой помощи в $650 Статьи редакции
Пользователи интернета сочли тест жестоким, компании пришлось извиниться перед сотрудниками.
Компания GoDaddy, регистрирующая доменные имена, 14 декабря разослала своим сотрудникам по электронной почте письма с предложением финансовой помощи: праздничного бонуса в $650, пишет Copper Courier. Письмо оказалось тестом на фишинг.
Письмо для сотрудников гласило, что благодаря им 2020 год стал рекордным для GoDaddy. Так как в этом году нет возможности провести новогоднюю вечеринку, компания решила поощрить работников с помощью единоразовой выплаты.
Чтобы получить деньги, сотрудники должны были указать свое местоположение и заполнить данные до 18 декабря. Через несколько дней компания разослала еще одно письмо от службы безопасности.
«Если вы получили это письмо, вы не прошли наш недавний тест на фишинг», — гласило оно. По данным главы службы безопасности GoDaddy Деметриуса Камса, около 500 сотрудников открыли письмо и внесли данные, тем самым провалив тест. Все они должны пересдать курс по повышению осведомленности о безопасности.
Новость о тесте вызвала возмущение в Twitter, причем некоторые пользователи пригрозили сменить хостинг-провайдеров, пишет издание.
Компании рассылают фишинговые тесты для проверки сотрудников на восприимчивость к фишинговым атакам. Но пользователи сочли жестоким обещать дополнительную выплату в разгар пандемии.
GoDaddy заявил, что компания извинилась перед сотрудниками, пишет Engadget. «GoDaddy очень серьезно относится к безопасности нашей платформы. Мы понимаем, что некоторые сотрудники были расстроены попыткой фишинга и сочли ее жестокой», — сообщила компания.
Тесты на фишинг это хорошо, но работодатель по дефолту имеет некоторый кредит доверия у сотрудников, отсюда и меньше внимательность. Разослали бы это письмо с левого адреса - и восприимчивость была бы в сотню раз меньше. А так кидалово какое-то.
100% с левого адреса и присылали, ибо если это корпоративный адрес (с подписью, DKIM) - то это не тестовый фишинг, а реальная уже наёбка просто)
Злоумышленник может получить доступ к реальной корпоративной почте - обычно именно так и происходит, если обратиться к статистике Ponemon. Поэтому этот аргумент ничего не меняет с точки зрения ИБ, он не менее вероятен.