Sommige medewerkers ABN AMRO niet blij met phising email.

[ShellGhost]

Denk dat de meeste het ondertussen wel weten, maar voor diegene die er niks van weten, hierbij een beknopte versie:
De security mensen binnen ABN AMRO hebben een phising campagne gehouden met als lokkertje dat er een kerstcadeau zou worden uitgedeeld. Netjes ondertekend door het management.
Je moest op een link klikken om jezelf in te schrijven: https://verrassing.abnarmo.ml/i/1204cf00/
Link is ondertussen niet meer online.
Nu zijn er dus een x aantal mensen boos geworden en hebben geklaagd bij de vakbond de Unie.
Onduidelijk is wie dit naar buiten gebracht heeft.

Maar nu het volgende: diegene die het naar buiten gebracht heeft, heeft hij/zij/het hiermee niet een groot onnodig security risico genomen? Heel (crimineel) Nederland weet nu hoe slecht men binnen de bank om gaat met phising emails en dat er dus mensen zijn die blind klikken.
Dit lijkt mij informatie die je als bedrijf binnen de muren wilt houden. Ben wel benieuwd hoe men dit gaat oppakken binnen de bank.

[rmathijssen]

Het lijkt mij een interne aangelegenheid, desondanks is het volgens mij algemeen bekend dat er best een redelijke click-ratio zal zijn bij elke grote organisatie, dus ook bij banken. Dat dit naar buiten is gebracht heeft naar mijn inziens niet directe gevolgen voor zo'n bank, het geeft mij als klant juist aan dat de ABN AMRO bezig is met het onderzoeken van zwakke plekken in de beveiliging.

Ik ben overigens van mening dat dit een hele mooie actie is van de security afdeling. Het is een schande dat er klagers zijn welke gelijk naar een vakbond stappen, men zou juist in moeten zien dat er blijkbaar nog steeds een groot risico is binnen zo'n organisatie, en blij moeten zijn dat zo'n security afdeling de zwakke punten weten te traceren.

[ShellGhost]

Ik word er ook blij van als klant zijnde dat er communicaties naar buiten komen dat er een interne actie is geweest die er op gericht is om de veiligheid te vergroten. Alleen zou ik niet naar buiten brengen wat er gebruikt is als tekst in de campagne. Hiermee zorg je er denk ik alleen maar voor dat criminelen juist op dat onderwerp gaan zitten. En ik zou daar als bank zijnde niet heel blij van worden.

Dat er mensen meteen op hun teentjes getrapt zijn zegt meer over diegene dan over de rest die er blijkbaar geen probleem mee had.
Doet me denken aan een zeer interessante column die ik gister las op rtlz.

[DJMaze]

ShellGhost schreef op vrijdag 24 november 2017 @ 13:14:
Hiermee zorg je er denk ik alleen maar voor dat criminelen juist op dat onderwerp gaan zitten.

Het maakt geen zak uit.

Laatst is er nog een onderzoek gestart vanwege pincode phishing en of je je pinpas wil opsturen naar een groene brievenbus van een te koop staand huis.
Hoelang kennen we die verhalen al? En waarom trappen mensen er dan nog steeds in?

Het is goed dat het naar buiten komt, er bestaat iets als "kracht van de herhaling"

[Foxl]

Las in een ander nieuwsbericht;

De mailactie schoot sommige werknemers en de vakbond De Unie echter in het verkeerde keelgat omdat de ABN-Amro al twee jaar lang te gierig is om medewerkers van een kerstpakket te voorzien.

Dat maakt de phising-actie op z'n zachtst gezegd vrij sneu.

[Verwijderd]

Foxl schreef op vrijdag 24 november 2017 @ 14:38:
Las in een ander nieuwsbericht;

[...]

Dat maakt de phising-actie op z'n zachtst gezegd vrij sneu.

Precies, snap de reactie dan wel.

[SinergyX]

Vanuit bedrijfsveiligheid zou ik zeggen, bazenactie, zouden ze hier ook eens moeten doen. Beetje awareness kweken onder je personeel die maar blind alles aanklikt en invult.

Andere kant, dat mensen gaan zeuren nu bij De Unie omdat bedrijf jaren lang al gierig is met kerstpakketten.. beetje zielig. Als je blijkbaar je enige 'voldoening' kan halen bij een bedrijf met het krijgen van een kerstpakket, misschien eens een andere baan zoeken waar ze wel kerstpakketten uitdelen?

[eric.1]

Foxl schreef op vrijdag 24 november 2017 @ 14:38:
Las in een ander nieuwsbericht;

[...]

Dat maakt de phising-actie op z'n zachtst gezegd vrij sneu.

Wie weet was de onthouding van een kerstpakket (al 2 jaar) de voorbereiding van het moment supreme (deze test)

[DJMaze]

SinergyX schreef op vrijdag 24 november 2017 @ 14:43:
Als je blijkbaar je enige 'voldoening' kan halen bij een bedrijf met het krijgen van een kerstpakket, misschien eens een andere baan zoeken waar ze wel kerstpakketten uitdelen?

Sinds 1 januari 2015 moet je rekening houden met de werkkostenregeling en de omzetbelasting.
Een bedrijf dat sinds 2015 nog steeds kerstpakketten uitdeelt:

• betaalt zijn personeel te weinig
• of heeft geld over
• of heeft de "vrije ruimte" (maximaal 1,2 procent van je totale fiscale loon) goed in het oog gehouden

[ Voor 4% gewijzigd door DJMaze op 24-11-2017 15:07 ]

[Foxl]

SinergyX schreef op vrijdag 24 november 2017 @ 14:43:
Andere kant, dat mensen gaan zeuren nu bij De Unie omdat bedrijf jaren lang al gierig is met kerstpakketten.. beetje zielig. Als je blijkbaar je enige 'voldoening' kan halen bij een bedrijf met het krijgen van een kerstpakket, misschien eens een andere baan zoeken waar ze wel kerstpakketten uitdelen?

Ik denk niet dat het de klagers te doen is om de intense voldoening van een kerstpakket of andere blijk van waardering, zo'n "oh nee, toch niet"-wortel is gewoon lomp. Een effectieve phising methode is het dan weer wel idd.

Als ik dat personeel was zou ik maar uitkijken, volgend jaar ensceneren ze waarschijnlijk een bankoverval om te controleren of medewerkers wel volgens het protocol handelen.

[johnkeates]

Heel (crimineel) Nederland weet nu hoe slecht men binnen de bank om gaat met phising emails en dat er dus mensen zijn die blind klikken.

Ik denk dat je het te rooskleurig inziet. De meeste redteamers, crackers en APTs weten echt al wel jaren hoe makkelijk het is, heeft niks met ABN of interne gelegenheden te maken.

Dat de link uberhaupt werkte kan je trouwens wel verwijten aan blueteam/defence, je zou op z'n minst intern op je DNS server en traffic scanners bij moeten houden of mensen op 'abnamro-achtige-domeinen' wil komen, dan weet je haast vantevoren al wel dat dat niet moet.

[DJMaze]

johnkeates schreef op vrijdag 24 november 2017 @ 15:10:
DNS server en traffic scanners bij moeten houden of mensen op 'abnamro-achtige-domeinen' wil komen, dan weet je haast vantevoren al wel dat dat niet moet.

Dat kan met de Levenshteinafstand, maar ik ken geen één software die dat standaard ondersteund.
Voor SpamAssassin zijn er wel Levenshtein en Fuzzy matching plugins.

[servies]

DJMaze schreef op vrijdag 24 november 2017 @ 15:06:
[...]

Sinds 1 januari 2015 moet je rekening houden met de werkkostenregeling en de omzetbelasting.
Een bedrijf dat sinds 2015 nog steeds kerstpakketten uitdeelt:

• betaalt zijn personeel te weinig
• of heeft geld over
• of heeft de "vrije ruimte" (maximaal 1,2 procent van je totale fiscale loon) goed in het oog gehouden

Optie 4:

• Of houdt een traditie in ere.

[SinergyX]

DJMaze schreef op vrijdag 24 november 2017 @ 15:06:
[...]

Sinds 1 januari 2015 moet je rekening houden met de werkkostenregeling en de omzetbelasting.
Een bedrijf dat sinds 2015 nog steeds kerstpakketten uitdeelt:

• betaalt zijn personeel te weinig
• of heeft geld over
• of heeft de "vrije ruimte" (maximaal 1,2 procent van je totale fiscale loon) goed in het oog gehouden

Geld over hoeft nog niet eens, het is marginaal voordeliger om gewoon die 80% boven de vrije ruimte te pakken dan een vergoeding te bruteren (=loon), zeker voor de hoogste schaal scheelt dit bijna 20% (Voor een 100 euro zou je 180 betalen, maar bruteren kost 208 - even simpel berekend).

Ergens kan ik die boze werknemers dan mogelijk begrijpen, als die werkkostenregeling zeer 'selectief' wordt gebruikt om bepaalde mensen of afdelingen wat extra's te geven en dat in principe te korten op andere mensen, zou ik het deels ook best scheef vinden. Goed, zo is het bedrijfsleven, maar zou wel hun punt enigszins snappen.