New York Knicks przeprowadzają kontrowersyjny test phishingowy z fałszywą ofertą pierścienia mistrzowskiego

Image: Ars Technica · Source

New York Knicks przetestowali świadomość pracowników w zakresie cyberbezpieczeństwa, wysyłając wiadomość phishingową z obietnicą darmowych mistrzowskich pierścieni NBA, co skutkowało obowiązkowym szkoleniem dla osób klikających w link, według doniesień.

W znanym przypadku testowania cyberbezpieczeństwa korporacyjnego organizacja New York Knicks wysłała pod koniec września wiadomość phishingową do pracowników, obiecując darmowe pierścienie mistrzowskie NBA. W mailu proszono odbiorców o wybranie jednego z dwóch wzorów pierścieni za pomocą podanego linku, twierdząc, że pierścień jest bezpłatną nagrodą upamiętniającą pierwszy tytuł NBA drużyny od ponad 50 lat.

Test ten miał na celu ocenę zdolności pracowników do rozpoznawania podejrzanych wiadomości, które naśladują oficjalne komunikaty firmy, co jest powszechną praktyką w organizacjach świadomych ważności cyberbezpieczeństwa. Jednak wybór sentymentalnej i potencjalnie cennej nagrody – pierścienia mistrzowskiego – uczynił to ćwiczenie phishingowe wyjątkowo dotkliwym i, według wewnętrznych źródeł, szczególnie surowym.

Pracownicy, którzy kliknęli w link phishingowy, zostali zobowiązani do udziału w obowiązkowym szkoleniu z cyberbezpieczeństwa narzuconym przez właściciela Madison Square Garden, Jamesa Dolana, co odzwierciedla rosnące znaczenie bezpieczeństwa cyfrowego w organizacji.

Zazwyczaj firmy projektują testy phishingowe z oczywistymi wskazówkami sugerującymi oszustwo, takimi jak błędy w domenie nadawcy, ale podejście Knicks było bardziej wyrafinowane. Wiarygodność e-maila wzmacniał fakt, że wielu pracowników drużyn NBA faktycznie otrzymuje pierścienie mistrzowskie, choć zwykle mniej zdobne niż te dla zawodników.

Według starszego pisarza NBA, Joe Vardona z The Athletic, testowy e-mail zawierał grafikę dwóch różnych stylów pierścieni – „Championship Gold” i „Garden Classic” – oraz zapewniał pracowników, że pierścienie będą spersonalizowane i bezpłatne.

Symulacja phishingowa zbiegła się z okresem, gdy rzeczywisty asystent trenerów Knicks wziął udział w ceremonii zawieszenia baneru mistrzowskiego bez otrzymania pierścienia, co wywołało rozczarowanie wewnątrz organizacji, ponieważ zamówienia i personalizacje pierścieni zwykle wymagają czasu. Część długoletnich pracowników Madison Square Garden w ogóle nie otrzyma pierścieni, co podkreśla delikatną atmosferę wokół tego gestu.

Kilka źródeł z drużyny potwierdziło, że e-mail faktycznie był częścią testu phishingowego, jednak szczegóły takie jak liczba pracowników, którzy zaangażowali się w test, lub możliwość otrzymania pierścieni w przyszłości pozostają nieujawnione. Próby uzyskania oficjalnych komentarzy od Madison Square Garden Sports były podejmowane, lecz na moment raportowania pozostawały bez odpowiedzi.

To zdarzenie podkreśla delikatną równowagę, jaką firmy muszą zachować między skutecznym szkoleniem z zakresu cyberbezpieczeństwa a morale pracowników, szczególnie gdy w symulacjach phishingowych używa się emocjonalnie nacechowanych zachęt jako przynęty.