New York Knicks führen umstrittenen Phishing-Test mit gefälschtem Angebot für Meisterschaftsringe durch

Image: Ars Technica · Source

Die New York Knicks testeten das Cybersecurity-Bewusstsein ihrer Mitarbeiter mit einer Phishing-E-Mail, die kostenlose NBA-Meisterschaftsringe versprach, was Berichten zufolge zu verpflichtenden Schulungen für diejenigen führte, die auf den Link klickten.

In einem bemerkenswerten Beispiel für unternehmensinterne Cybersecurity-Tests versandte die Organisation New York Knicks Ende September eine Phishing-E-Mail an Mitarbeiter, welche kostenlose NBA-Meisterschaftsringe versprach. Die E-Mail lud die Empfänger ein, zwischen zwei Ringdesigns über einen bereitgestellten Link zu wählen und behauptete, der Ring sei eine kostenlose Belohnung zur Erinnerung an den ersten NBA-Titel der Franchise seit über 50 Jahren.

Dieser Test zielte darauf ab, die Fähigkeit der Mitarbeiter zu messen, verdächtige E-Mails zu erkennen, die legitimen Unternehmenskommunikationen nachempfunden sind – eine gängige Praxis bei Organisationen, die das Bewusstsein für Cybersecurity verbessern wollen. Allerdings war die Wahl eines sentimentalen und potenziell wertvollen Anreizes—eines Meisterschaftsrings—bei dieser Phishing-Übung ungewöhnlich deutlich und laut internen Quellen besonders hart.

Mitarbeiter, die auf den Phishing-Link klickten, mussten anschließend an verpflichtenden Cybersecurity-Schulungen teilnehmen, die vom Madison Square Garden-Eigentümer James Dolan angeordnet wurden, was die wachsende Bedeutung der Cybersecurity innerhalb der Organisation widerspiegelt.

Typischerweise entwerfen Unternehmen Phishing-Tests mit offensichtlichen Hinweisen auf einen Betrug, wie falsch geschriebene Absenderdomainen, doch der Ansatz der Knicks war ausgefeilter. Die Glaubwürdigkeit der E-Mail wurde durch die Tatsache verstärkt, dass viele NBA-Teammitarbeiter Meisterschaftsringe erhalten, wenn auch meist weniger prunkvoll als die, die an Spieler vergeben werden.

Laut Joe Vardon, Senior-NBA-Autor bei The Athletic, zeigte die Test-E-Mail eine Grafik mit zwei verschiedenen Ringstilen—"Championship Gold" und "Garden Classic"—und versicherte den Mitarbeitern, dass die Ringe personalisiert und kostenfrei seien.

Diese Phishing-Simulation fiel in eine Zeit, in der tatsächliche Assistenztrainer der Knicks bei einer Zeremonie für das Meisterschaftsbanner auf das Spielfeld kamen, ohne Ringe zu erhalten, was für interne Enttäuschung sorgte, da Ringbestellungen und -anpassungen oft Zeit beanspruchen. Einige langjährige Mitarbeiter des Madison Square Garden erhalten überhaupt keine Ringe, was die sensible Stimmung um diese Geste unterstreicht.

Mehrere Quellen des Teams bestätigten, dass die E-Mail tatsächlich Teil eines Phishing-Tests war, doch Details wie die Anzahl der Mitarbeiter, die sich darauf eingelassen hatten, oder die Möglichkeit, letztlich Ringe zu erhalten, bleiben ungenannt. Versuche, offizielle Stellungnahmen von Madison Square Garden Sports einzuholen, blieben zum Zeitpunkt der Berichterstattung unbeantwortet.

Dieser Vorfall zeigt das empfindliche Gleichgewicht, das Unternehmen zwischen effektiver Cybersecurity-Schulung und Mitarbeiter-Moral wahren müssen, insbesondere wenn emotional aufgeladene Anreize als Köder in Phishing-Simulationen verwendet werden.