New York Knicks genomför kontroversiellt phishingtest med falskt erbjudande om mästerskapsring

Bild: Ars Technica · Källa

New York Knicks testade anställdas cybersäkerhetsmedvetenhet med ett phishingmail som lovade gratis NBA-mästerskapsringar, vilket ledde till obligatorisk cybersäkerhetsträning för de som klickade på länken, enligt rapporter.

I ett anmärkningsvärt exempel på företags cybersäkerhetstest skickade New York Knicks en phishing-email till anställda i slutet av september där man lovade gratis NBA-mästerskapsringar. Mailet uppmanade mottagarna att välja mellan två ringdesigner via en länk och hävdade att ringen var en kostnadsfri belöning till minne av organisationens första NBA-titel på över 50 år.

Syftet med testet var att mäta de anställdas förmåga att upptäcka misstänkta email som imiterar legitima företagskommunikationer, en vanlig metod bland organisationer som vill öka cybersäkerhetsmedvetenheten. Valet av en sentimental och potentiellt värdefull belöning – en mästerskapsring – gjorde dock denna phishing-övning ovanligt riktad och, enligt interna källor, särskilt hård.

Anställda som klickade på phishinglänken blev därefter tvungna att delta i obligatorisk cybersäkerhetsträning, som krävdes av Madison Square Gardens ägare James Dolan, vilket speglar det ökade fokuset på cybersäkerhet inom organisationen.

Vanligtvis designar företag phishingtester med tydliga tecken på bedrägeri, såsom felstavade avsändardomäner, men Knicks ansats var mer sofistikerad. Mailets trovärdighet stärktes av att många NBA-lagsanställda faktiskt får mästerskapsringar, om än vanligtvis mindre utsmyckade än de spelarna får.

Enligt den seniora NBA-skribenten Joe Vardon från The Athletic innehöll test-mailet en grafik med två olika ringstilar – "Championship Gold" och "Garden Classic" – och försäkrade anställda att ringarna skulle personaliseras och vara kostnadsfria.

Denna phishing-simulering sammanföll med en period då faktiska Knicks-assistentränare gick upp på planen för en ceremoni med mästerskapsbanner utan att få några ringar, vilket väckte intern besvikelse eftersom ringbeställningar och anpassningar ofta tar tid. Några långvariga anställda på Madison Square Garden kommer inte att få ringar alls, vilket understryker den känsliga stämningen kring denna gest.

Flera interna källor bekräftade att mailet verkligen var en del av ett phishingtest, men detaljer såsom antalet anställda som engagerade sig i testet eller möjligheten att äntligen få ringar förblev oklara. Försök att få officiella kommentarer från Madison Square Garden Sports gjordes men besvarades inte vid rapporteringstillfället.

Denna incident lyfter fram den känsliga balans som företag måste upprätthålla mellan effektiv cybersäkerhetsträning och medarbetarnas trivsel, särskilt när känslomässigt laddade incitament används som lockbete i phishing-simuleringar.