KnowBe4-onderzoek: securitybeslissers overschatten weerbaarheid medewerkers tegen digitale scams

Het onderzoek, getiteld From Agentic Risk to Human Wins, is uitgevoerd door Vanson Bourne in opdracht van KnowBe4. Het bureau ondervroeg wereldwijd 4.000 respondenten, onder wie 50 cybersecuritybeslissers en 200 medewerkers uit Nederland.

Verschil in zelfvertrouwen per aanvalsvorm

Medewerkers kregen vragen over hoeveel vertrouwen ze hebben in hun eigen weerbaarheid tegen verschillende soorten social engineering-aanvallen. Cybersecuritybeslissers beoordeelden hoeveel vertrouwen ze hebben in de weerbaarheid van hun medewerkers bij dezelfde aanvalsvormen. Bij phishingmails geeft 13 procent van de medewerkers aan er niet op te vertrouwen deze te kunnen herkennen. Van de beslissers denkt niemand (0 procent) dat medewerkers dat niet kunnen. Bij voice scams heeft 10 procent van de medewerkers onvoldoende vertrouwen in het eigen vermogen om deze te herkennen, tegenover opnieuw 0 procent van de beslissers.

Het verschil is groter bij impersonatieberichten. Dat zijn frauduleuze berichten waarbij een oplichter zich via interne tools voordoet als een vertrouwde persoon of organisatie. Van de medewerkers heeft 26 procent geen vertrouwen in het herkennen daarvan, terwijl 2 procent van de beslissers denkt dat medewerkers dergelijke berichten niet kan doorzien.

'Duidelijke kloof'

“De cijfers laten zien dat er een duidelijke kloof bestaat tussen het vertrouwen van cybersecuritybeslissers en dat van medewerkers zelf. Dit verschil baart zorgen, omdat beslissers verantwoordelijk zijn voor het inschatten en beperken van cyberrisico’s”, aldus Martin Kraemer, CISO Advisor bij KnowBe4. “Vooral het grote vertrouwen in het vermogen van medewerkers om deepfakes te herkennen is opvallend. Uit recent empirisch gedragsonderzoek en benchmarks op het gebied van cybersecurity binnen organisaties blijkt namelijk dat mensen deepfakevideo’s in slechts 50 tot 65 procent van de gevallen correct herkennen. Dit is nauwelijks beter dan wanneer ze zouden gokken. Tijdens live videogesprekken kan dit percentage zelfs dalen tot ongeveer 25 procent. Wanneer vrijwel alle beslissers ervan uitgaan dat medewerkers dergelijke dreigingen kunnen herkennen, bestaat het risico dat organisaties hun weerbaarheid enorm overschatten.”

De grootste onzekerheid bestaat rond deepfakes. Van de Nederlandse medewerkers heeft 43 procent geen vertrouwen in het herkennen van deepfake-video's of -audio. Van de cybersecuritybeslissers denkt 2 procent dat medewerkers deepfakes niet kunnen herkennen.

Rol van AI bij social engineering

Social engineering-aanvallen worden volgens KnowBe4 bovendien moeilijker te herkennen door het gebruik van AI. Het Phishing Threat Trends Report Volume Seven, gebaseerd op data van meer dan 3.000 dreigingsactoren, meldt dat 86 procent van de phishingaanvallen inmiddels door AI wordt aangestuurd. Phishing en impersonatie waren eerder vaak herkenbaar aan opvallend taalgebruik of afwijkende communicatie. Met generatieve AI kunnen aanvallers berichten, stemmen en beelden steeds beter op hun doelwit afstemmen.

“Om deze perceptiekloof te monitoren en te verkleinen, moeten organisaties regelmatig toetsen of het beeld van cybersecuritybeslissers overeenkomt met hoe medewerkers hun eigen weerbaarheid ervaren. Door die perceptiekloof zo klein mogelijk te houden, kunnen training, awareness, verificatieprocedures en andere beveiligingsmaatregelen beter aansluiten op de risico’s en onzekerheden die medewerkers in de praktijk ervaren”, zegt Kraemer.