Volgens het laatste rapport van Barracuda Networks (Spear phishing Trends 2023) is meer dan twee derde (68%) van de onderzochte organisaties in de Benelux in 2022 het slachtoffer geworden van phishing-aanvallen met behulp van social engineering-technieken. 
Dit cijfer ligt ruim boven het wereldwijde gemiddelde van 50%. Benelux-bedrijven zijn ook veel trager met het detecteren van en reageren op spearphishing-aanvallen. 
Daarnaast blijkt uit gegevens van Barracuda systems dat bij een kwart (24%) van de aangesloten organisaties ten minste één e-mailaccount is gecompromitteerd door een account takeover.

Uit het onderzoek blijkt dat cybercriminelen organisaties blijven bestoken met gerichte e-mailaanvallen en dat veel bedrijven moeite hebben om deze tegen te houden. Hoewel spear phishing-aanvallen zeldzaam zijn, zijn ze wijdverbreid en zeer effectief in vergelijking met andere soorten e-mailaanvallen.

Organisaties ontvingen gemiddeld 8 sterk gepersonaliseerde spear phishing e-mails per dag.
Deze aanvallen zijn zeer succesvol: volgens gegevens van Barracuda systems vertegenwoordigen zij weliswaar slechts 0,1% van alle e-mailaanvallen wereldwijd, maar zijn zij verantwoordelijk voor 66% van alle inbreuken!

Niet minder dan 7 van de 10 (70%) respondenten in de Benelux die waren aangevallen, meldden dat hun systemen waren geïnfecteerd door malware of virussen; 53% meldde diefstal van gevoelige gegevens en 50% meldde diefstal van inloggegevens. 

Het opsporen en bestrijden van bedreigingen blijft een uitdaging: organisaties in de Benelux hebben gemiddeld 145 uur nodig om een e-mailbedreiging te identificeren, erop te reageren en deze op te lossen nadat deze in een inbox is terechtgekomen. 
Ze hebben 70 uur nodig om de aanval te detecteren en 75 uur om te reageren en te herstellen van de aanval zodra deze is gedetecteerd. Ook op dit gebied scoren Benelux-organisaties ver onder het wereldwijde gemiddelde van respectievelijk 43 en 56 uur.

Werken op afstand in het bijzonder 

Werken op afstand verhoogt het risiconiveau: gebruikers in bedrijven met meer dan 50% werknemers op afstand meldden meer verdachte e-mails, gemiddeld 12 per dag, tegenover 6 per dag in bedrijven met minder dan 50% werknemers op afstand.

Meer werknemers vertragen detectie en respons: bedrijven met meer dan 50% externe werknemers meldden ook dat zij meer tijd nodig hadden om e-mailbeveiligingsincidenten te detecteren en erop te reageren. Meer bepaald 80 uur voor detectie en 87 uur voor reactie en mitigatie, tegenover gemiddeld 64 uur en 69 uur voor organisaties met minder telewerkers. 

"Hoewel spear phishing slechts een klein deel van de aanvallen uitmaakt, is deze phishing-methode verantwoordelijk voor een onevenredig groot aantal succesvolle inbreuken dankzij de doelgerichte en social engineering-tactieken. Bovendien kan de impact van een enkele succesvolle aanval verwoestend zijn," vat Fleming Shi, CTO van Barracuda, samen. 

"Om deze zeer effectieve aanvallen een stap voor te blijven, moeten bedrijven investeren in oplossingen die AI inzetten om te beschermen tegen account takeover. Deze tools zullen veel effectiever zijn dan op regels gebaseerde detectiemechanismen. Een betere detectie-efficiëntie zal helpen een einde te maken aan spearphishing, waardoor het minder moeite kost om te reageren in het geval van een aanval", concludeert de expert. 

De analyses in de studie zijn gebaseerd op een dataset met 50 miljard e-mails uit in totaal 3,5 miljoen inboxen, waaronder bijna 30 miljoen spear phishing e-mails. 
Het rapport bevat ook de resultaten van een onderzoek onder 150 IT-professionals in de Benelux in 1.350 bedrijven met tussen de 100 en 2.500 werknemers.