Phishingtrainingen richten zich vaak op bekende technieken, terwijl AI-aanvallers steeds overtuigender en persoonlijker berichten maken.
In cybersecurity is het van belang om medewerkers te trainen op actuele phishingaanvallen in plaats van op technieken uit het verleden. Traditionele herkenningspunten zoals spelfouten en generieke aanhef worden minder betrouwbaar nu aanvallers generatieve AI inzetten om overtuigende, gepersonaliseerde berichten te maken. Dit vraagt om een herziening van phishingbewustzijn en -trainingen.
Uit onderzoek blijkt dat een groot deel van phishingkits op de dark web-markt AI-mogelijkheden en deepfake-functies bevat, wat de kwaliteit en effectiviteit van phishingcampagnes verhoogt. Dit betekent dat medewerkers vaker te maken krijgen met berichten die bekende namen en relevante zakelijke context gebruiken, waardoor herkenning lastiger wordt. Trainingen moeten daarom niet alleen focussen op herkenning, maar ook op verificatie via betrouwbare kanalen, vooral bij onverwachte verzoeken.
Daarnaast zijn klikpercentages bij phishing-simulaties niet het enige meetinstrument. Het is minstens zo belangrijk om te kijken naar het meldgedrag van medewerkers en de snelheid waarmee verdachte berichten worden gerapporteerd. Dit helpt beveiligingsteams om echte campagnes sneller te detecteren en te bestrijden. Resultaten van simulaties moeten zorgvuldig worden geïnterpreteerd, omdat een klik op een testlink niet automatisch betekent dat een medewerker in een echte situatie ook een beveiligingsincident veroorzaakt.
Het doel van phishingtrainingen is het identificeren van zwakke plekken en het verbeteren van de beveiliging, niet het rangschikken van medewerkers op basis van hun prestaties tijdens tests. Organisaties kunnen hierbij gebruikmaken van richtlijnen zoals die van het National Cyber Security Centre over phishing om medewerkers te ondersteunen bij het herkennen en melden van verdachte berichten.
