New York Knicks gjennomfører kontroversiell phishing-test med falskt tilbud om mesterskapsring

Bilde: Ars Technica · Kilde

New York Knicks testet ansattes cybersikkerhetsbevissthet med en phishing-epost som lovet gratis NBA-mesterskapsringer, noe som førte til obligatorisk cybersikkerhetstrening for de som klikket på lenken, ifølge rapporter.

I et bemerkelsesverdig eksempel på bedrifts cybersikkerhetstesting sendte New York Knicks en phishing-epost til ansatte sent i september som lovet gratis NBA-mesterskapsringer. E-posten inviterte mottakerne til å velge mellom to ringdesign gjennom en gitt lenke, og hevdet at ringen var en gratis belønning som markerte franchisens første NBA-tittel på over 50 år.

Dette testet hadde som mål å måle de ansattes evne til å oppdage mistenkelige e-poster som etterligner legitime selskapskommunikasjoner, en vanlig praksis blant organisasjoner som ønsker å forbedre cybersikkerhetsbevisstheten. Valget av en sentimental og potensielt verdifull premie – en mesterskapsring – gjorde imidlertid denne phishingøvelsen uvanlig rettet og, ifølge interne kilder, særlig hard.

Ansatte som klikket på phishing-lenken måtte deretter delta i obligatorisk cybersikkerhetstrening pålagt av Madison Square Garden-eieren James Dolan, noe som gjenspeiler den økende vektleggingen på cybersikkerhet innen organisasjonen.

Vanligvis utformer selskaper phishingtester med tydelige tegn på svindel, som feilstavede avsenderdomener, men Knicks sin tilnærming var mer sofistikert. E-postens troverdighet ble styrket av at mange NBA-ansatte faktisk mottar mesterskapsringer, selv om de vanligvis er mindre forseggjorte enn de som gis til spillerne.

Ifølge senior NBA-skribent Joe Vardon fra The Athletic inneholdt test-eposten en grafikk av to ulike ringstiler – «Championship Gold» og «Garden Classic» – og forsikret de ansatte om at ringene ville bli personlig tilpasset og kostnadsfrie.

Denne phishing-simuleringen skjedde samtidig som faktiske Knicks-assistenttrenere gikk ut på banen under en mesterskapsbanner-seremoni uten å motta ringer, noe som skapte intern skuffelse siden ringbestillinger og skreddersøm ofte tar tid. Noen langvarige Madison Square Garden-ansatte vil ikke få ringer i det hele tatt, noe som understreker den følsomme stemningen rundt denne gesten.

Flere kildeinterne bekreftet at e-posten faktisk var en del av en phishing-test, men detaljer som antall ansatte som responderte på testen eller muligheten for til slutt å motta ringer forblir ubekreftet. Forsøk på å innhente offisielle kommentarer fra Madison Square Garden Sports ble gjort, men det ble ikke besvart per rapporteringstidspunkt.

Denne hendelsen belyser den delikate balansen selskaper må opprettholde mellom effektiv cybersikkerhetstrening og ansattes moral, spesielt når følelsesmessig ladede insentiver brukes som lokkemiddel i phishing-simuleringer.