Le rapport 2022 Phishing by Industry Benchmarking révèle une fois de plus que la couche humaine reste le vecteur d’attaque le plus recherché par les cybercriminels. 2022 marque la 5e année où KnowBe4 a analysé des centaines de millions d’éléments de données afin de fournir le 2022 Phishing by Industry Benchmarking Report.
Le rapport analyse le Phish-prone™ Percentage (PPP) à travers des millions d’utilisateurs individuels tirés des données clients anonymisées de KnowBe4. Le rapport illustre à quel point il est crucial pour les organisations d’investir dans leurs employés pour augmenter leurs capacités de défense globales. En effet, si vous ne donnez pas à vos employés les bons outils pour mieux identifier les attaques, vous risquez de laisser votre organisation ouverte à des vulnérabilités susceptibles de provoquer des perturbations majeures sur le plan opérationnel, financier et de la marque.

Alors, si vous savez que les humains sont si importants… qu’attendez-vous ?

Si vous n’êtes pas familier avec notre rapport d’analyse comparative du phishing par secteur d’activité, laissez-moi vous mettre au courant. L’objectif de ce rapport est d’analyser et de comprendre l’impact d’une approche de sensibilisation à la sécurité de type nouvelle école sur la vulnérabilité d’une organisation aux attaques de phishing ou d’ingénierie sociale. Pour ce faire, nous analysons les données de trois phases :

Phase 1 : Si vous n’avez pas formé vos utilisateurs et que vous envoyez une attaque de phishing, quel est le PPP initial résultant ? Pour ce faire, nous avons contrôlé la sensibilité des employés à un test de sécurité initial de base simulant le hameçonnage. À partir de cet ensemble d’utilisateurs établi, nous examinons chaque fois qu’un utilisateur a échoué à un test de sécurité de phishing simulé avant d’avoir suivi une formation.
Phase deux : Quel est le PPP résultant après que les utilisateurs aient terminé la formation et subi des tests de sécurité par hameçonnage simulé dans les 90 jours suivant la formation ? Nous avons répondu à cette question en trouvant quand les utilisateurs ont terminé leur première formation et en recherchant tous les tests de sécurité par hameçonnage simulé jusqu’à 90 jours après la fin de cette formation.
Troisième phase : Quel est le PPP final résultant après que les utilisateurs aient suivi la formation continue et les tests mensuels de hameçonnage simulé ? Pour répondre à cette question, nous avons mesuré les compétences en matière de sensibilisation à la sécurité après 12 mois ou plus de formation continue et de tests de sécurité par hameçonnage simulé, nous avons recherché les utilisateurs qui ont terminé leur formation il y a au moins un an et nous avons pris les résultats de performance de leur tout dernier test de hameçonnage.
L’ensemble de données d’inclusion de cette année couvre 19 secteurs d’activité et comprend plus de 9,5 millions d’utilisateurs dans 30 173 organisations, avec plus de 23,4 millions de tests de sécurité par hameçonnage simulé. En plus de l’Amérique du Nord, nous avons étendu notre analyse des données mondiales afin de fournir des informations sur les régions suivantes : Afrique, Asie-Pacifique, Europe, Amérique du Sud et Royaume-Uni/Irlande.

Le rapport d’analyse comparative sur le hameçonnage par secteur d’activité est idéal pour vous aider à évaluer le pourcentage de votre organisation susceptible d’être victime d’hameçonnage (le “quoi ?”) et à trouver le contexte (le “et alors ?”). Il vous fournit ces données contextuelles supplémentaires dont vous avez besoin pour comprendre précisément comment votre organisation se situe par rapport aux autres. Ces données sont extrêmement précieuses, car elles vous aident à répondre à la dernière question “Et maintenant ?”… et c’est là que les choses deviennent vraiment intéressantes.

Voici ce que nous avons découvert :

Pour 2022, la moyenne générale de référence du PPP pour l’ensemble des secteurs d’activité et des organisations de toutes tailles était de 32,4 %, ce qui signifie qu’un peu moins d’un tiers des employés d’une entreprise moyenne risquent de cliquer sur un e-mail de phishing.