Gezocht: betrouwbare partner voor phishing simulaties

[Afuni]

Beste tweakers,

Ik ben voor onze organisatie op zoek naar een betrouwbare partner voor phishing simulaties. Een goede prijs/kwaliteit verhouding is belangrijk (ik werk voor onderwijsinstellingen en die hebben niet zo'n groot budget).

Iemand aanraders?

We deden zelf via onze microsoft A5 licentie al simulaties en die doen ook wel goed hun werk maar die nemen spijtig genoeg geen gast-accounts mee op. Op alle aparte schooldomeinen simulaties opzetten is onbegonnen werk, we hebben er ook de licenties niet voor.

Alvast bedankt voor de feedback.

[Kurkentrekker]

Als leestip in het overwegen van hoe je je personeel meer phishing-aware maakt raad ik je deze blog aan:

https://security.googlebl...d-phishing-tests.html?m=1

Samengevat: geen echt-lijkende phishing tests versturen.

[BytePhantomX]

Je kan ook deze video bekijken: YouTube: S3E8 What are you still phishing for?

Of deze wetenschappelijke paper lezen: https://www.sciencedirect...6740482400511X?via%3Dihub

Lost daarvan, kun je ook open source gaan: https://getgophish.com/

En als je geld wil uitgeven aan een goede tool, dan is knowb4 een hele bekende partij.

[Wild Chocolate]

BytePhantomX schreef op dinsdag 28 januari 2025 @ 12:51:
Je kan ook deze video bekijken: YouTube: S3E8 What are you still phishing for?

Of deze wetenschappelijke paper lezen: https://www.sciencedirect...6740482400511X?via%3Dihub

Lost daarvan, kun je ook open source gaan: https://getgophish.com/

En als je geld wil uitgeven aan een goede tool, dan is knowb4 een hele bekende partij.

Het is knowbe4 (met een e ertussen), zelf ook goede ervaringen mee, en het valt me op zich mee wat het mag kosten. Ze hebben ook een paar gratis tools zag ik op hun site.

[Afuni]

Bedankt voor alle reacties, zowel de tips over werkwijze als over mogelijke partner!

Hier kan ik mee verder.

[sOid]

Denk goed na wat je wil bereiken. In mijn ervaring als CISO doen dit soort dingen niet zo heel veel. Het zorgt even voor een schokeffect, mensen zijn daarna even wat meer bewust van de gevaren, maar dat zakt al snel weer weg. Zeker als je het maar 1x per jaar doet oid.

Daarnaast kan het ook negatieve consequenties hebben: mensen hebben het gevoel 'erin te zijn geluisd' wat niet bevorderlijk is voor de draagkracht en het aanzien van een security team.

Mijns inziens kun je het geld beter besteden aan het hardenen van je Exchange/Defender/mailfilters et cetera.

[Appesteijn]

Ik heb erg goede ervaringen met Hoxhunt, is een commerciele partij, maar hiermee kan je erg makkelijk phishing mails (laten) sturen en gebruikers mini trainingen geven.

[Sethro]

Appesteijn schreef op dinsdag 28 januari 2025 @ 21:34:
Ik heb erg goede ervaringen met Hoxhunt, is een commerciele partij, maar hiermee kan je erg makkelijk phishing mails (laten) sturen en gebruikers mini trainingen geven.

+1 voor deze

[Jazzy]

Afuni schreef op dinsdag 28 januari 2025 @ 21:13:
Hier kan ik mee verder.

Dat is mooi om te horen. Wil je er bij een eventuele volgende hulpvraag even aan denken dat we hier graag eigen inzet zien? Bijvoorbeeld door eerst zelf onderzoek te doen en in je startpost aan te geven wat je al gevonden had en wat je nog mist.

[Frogmen]

Kurkentrekker schreef op dinsdag 28 januari 2025 @ 09:04:
Als leestip in het overwegen van hoe je je personeel meer phishing-aware maakt raad ik je deze blog aan:

https://security.googlebl...d-phishing-tests.html?m=1

Samengevat: geen echt-lijkende phishing tests versturen.

Je samenvatting is wel erg kort door de bocht, oefenen heeft wel degelijk nut alleen met puur een phisingmail als test sturen heb je niets. Je moet kijken naar de reactie en hoe het gemeld wordt.
Bij mijn vorige werkgever (de bezorger van snailmail) kregen we deze ook en hadden we een knop in Outlook om phising te melden. Als je dan een test melde kreeg je meteen een reactie te zien. Werkte goed.
Oefening helpt en houd mensen alert. Net als ontruimingsoefeningen helpen om een juiste reactie te krijgen van mensen.