در یک آزمایش امنیتی غیرمنتظره، شهرداری مالمو اقدام به ارسال ایمیل‌های جعلی به هزاران کارمند خود کرد تا میزان آمادگی آن‌ها در برابر حملات سایبری را بسنجد. اما نتیجه این آزمایش فراتر از انتظار بود: بیش از یک سوم کارکنان فریب خوردند و روی لینک مشکوک کلیک کردند، که نشان‌دهنده سطح پایین آگاهی سایبری در میان کارکنان نهادهای عمومی است.
آزمایش فیشینگ با نتایج افتضاح و پایان زودهنگام
در تاریخ ۲۲ نوامبر سال گذشته، شهرداری مالمو با همکاری یک شرکت حسابرسی، ایمیلی ساختگی به ظاهر رسمی را برای ۳۵۰۰ نفر از کارکنان ارسال کرد. این ایمیل با هدف شبیه‌سازی یک حمله «فیشینگ» طراحی شده بود؛ حملاتی که مهاجمان در آن تلاش می‌کنند با فریب کاربران به اطلاعات حساب کاربری و رمز ورود آن‌ها دست یابند.
این آزمایش قرار بود تا ۷۲ ساعت ادامه یابد تا رفتار کاربران در بازه زمانی مشخصی مورد ارزیابی قرار گیرد. اما تنها پس از گذشت ۲۷ ساعت، آزمون متوقف شد. دلیل آن نیز روشن بود: ۳۲ درصد از گیرندگان ایمیل – معادل با ۱۱۲۱ نفر – روی لینک فیشینگ کلیک کرده بودند. این میزان به طور قابل توجهی بالاتر از حد انتظار بود.
یکی از نکات جالب این ماجرا این بود که تیم پشتیبانی فناوری اطلاعات شهرداری که از ماهیت آزمایشی این ایمیل‌ها بی‌اطلاع بود، در همان ساعات اولیه هشدارهایی در شبکه داخلی (اینترانت) منتشر کرد. با این حال، این هشدارها تأثیر چندانی نداشتند و همچنان بخش زیادی از کارکنان قربانی حمله ساختگی شدند.
این مسئله سؤالات زیادی را درباره هماهنگی داخلی میان واحدهای مختلف شهرداری، و همچنین اثربخشی آموزش‌های امنیت سایبری، مطرح کرده است.
بر اساس اطلاعات ارائه‌شده توسط روزنامه Sydsvenskan، در آزمایش‌های مشابه هدف آن است که کمتر از پنج درصد کارکنان قربانی حمله شوند. به‌طور میانگین در سطح ملی، میزان کلیک روی لینک‌های جعلی در چنین آزمون‌هایی حدود ۱۵ درصد است. اما آمار ۳۲ درصدی مالمو نه‌تنها از میانگین کشوری فراتر است، بلکه سه برابر حد مجاز در آزمایش‌های امنیتی محسوب می‌شود.
واکنش پلیس: “باید کمتر از سه درصد باشد”
یان اولسون، کمیسر جنایی مرکز ملی جرایم سایبری پلیس سوئد، در گفت‌وگو با Sydsvenskan این اتفاق را «قابل توجه و نگران‌کننده» خواند و گفت:
«حتی اگر ۱۰ درصد از کارکنان فریب بخورند، این یک هشدار جدی است. تمام سازمان‌ها و شرکت‌ها باید تلاش کنند این میزان را به کمتر از سه درصد برسانند.»
او تأکید کرد که سطح آگاهی سایبری باید به بخش اساسی آموزش‌های سازمانی تبدیل شود، چرا که مهاجمان سایبری به‌صورت روزافزون از روش‌های پیچیده‌تری استفاده می‌کنند.
شهرداری مالمو هنوز به‌صورت رسمی توضیحی درباره اقدامات بعدی خود نداده است، اما انتظار می‌رود که آموزش‌های امنیتی بیشتری برای کارکنان برگزار شود و سیاست‌های مقابله با فیشینگ بازنگری شود.
علاوه بر این، کارشناسان امنیتی معتقدند که این نوع تست‌های شبیه‌سازی‌شده – با وجود نتایج ناامیدکننده – ابزارهای ارزشمندی برای شناسایی نقاط ضعف در ساختار امنیتی سازمان‌ها هستند. با این حال، موفقیت چنین آزمایش‌هایی به اطلاع‌رسانی صحیح درون‌سازمانی و هماهنگی بین واحدها نیز وابسته است.
