CloudApps Phishing

Erfolgsrate von Phishing-Ködern verdreifacht sich

Trotz wiederholter Versuche von Unternehmen, das Sicherheitsbewusstsein ihrer Mitarbeiter zu schärfen, insbesondere um zu verhindern, dass sie Opfer von Phishing werden, klickten Geschäftsanwender im Jahr 2024 fast dreimal so häufig auf Phishing-Köder wie im Jahr 2023. Mehr als acht von 1.000 Anwendern klickten jeden Monat auf einen Phishing-Link. Das ist ein Anstieg um 190 Prozent gegenüber dem Vorjahr, als weniger als drei von tausend Geschäftsanwendern Opfer von Phishing-Versuchen wurden.

Zum Social Engineering gehört auch, wo Angreifer ihre schädlichen Inhalte hosten. Sie versuchen, schädliche Inhalte auf Plattformen zu hosten, denen die Opfer ein gewisses Vertrauen entgegenbringen. Dazu gehören beliebte Cloud-Anwendungen wie GitHub, Microsoft OneDrive und Google Drive. Im Jahr 2024 wurden in 88 % der Unternehmen mindestens einmal im Monat schädliche Inhalte von beliebten Cloud-Anwendungen heruntergeladen.

Das Top-Ziel für Phishing-Kampagnen, auf die Nutzer im Jahr 2024 klickten, waren Cloud-Anwendungen, die mit 27% mehr als ein Viertel aller Phishing-Klicks ausmachten. Unter den Cloud-Apps war Microsoft mit 42% die mit Abstand am häufigsten angegriffene Marke. Vor allem auf Microsoft Live- und Microsoft 365-Anmeldeinformationen hatten es die Angreifer abgesehen.

Persönliche Apps verwischen die Grenzen

Die Ubiquität persönlicher Cloud-Apps im Unternehmen hat eine Umgebung geschaffen, in der Mitarbeiter diese Apps wissentlich oder unwissentlich zur Verarbeitung oder Speicherung sensibler Daten nutzen. Dies führt zu einem Verlust der organisatorischen Kontrolle über die Daten und zu potenziellen Datenverletzungen. Zu den wichtigsten persönlichen Apps, an die Nutzer Daten senden, gehören Cloud-Speicher, Webmail, genAI, soziale Medien und persönliche Kalender-Apps.

Im Jahr 2024 nutzten 88% aller Angestellten jeden Monat persönliche Cloud-Apps, wobei mehr als einer von vier Nutzern (26%) Daten in persönliche Apps hochgeladen, gepostet oder anderweitig gesendet hat. Sensible Daten, die über persönliche Apps durchsickern, stehen bei den meisten Unternehmen ganz oben auf der Liste. Die häufigste Art von Verstößen gegen die Datenschutzrichtlinien betrifft regulierte Daten (60%), zu denen persönliche, finanzielle oder gesundheitliche Daten gehören, die auf persönliche Apps hochgeladen werden. Zu den anderen Datenarten, die von Richtlinienverstößen betroffen sind, gehören geistiges Eigentum (16%), Quellcode (13%), Passwörter und Schlüssel (11%) sowie verschlüsselte Daten (1%).

Wachstumstrends bei genAI halten an

Im Jahr 2023 erhielt genAI Einzug in die Arbeitswelt. Die wachsende Akzeptanz von genAI-Apps sowohl bei Unternehmen als auch bei Nutzern – sowie das Gesamtvolumen der genAI-Apps im Einsatz – setzte sich bis 2024 fort:

• Die organisatorische Nutzung stieg von 81% der Unternehmen, die genAI-Apps im Jahr 2023 verwenden, auf 94% im Jahr 2024. ChatGPT ist weiterhin die beliebteste genAI-App und wird in 84% der Unternehmen genutzt.
• Der Anteil der Mitarbeiter, die genAI-Apps nutzen, verdreifachte sich von 2,6% auf 7,8%. Einzelhandels- und Technologieunternehmen führen alle Branchen mit durchschnittlich mehr als 13 % aller Mitarbeiter an, die monatlich genAI-Apps nutzen.
• Unternehmen verwenden jetzt durchschnittlich 9,6 genAI-Apps, im Vergleich zu 7,6 vor einem Jahr. Die obersten 25% der Unternehmen nutzen jetzt mindestens 24 genAI-Apps, während die untersten 25% höchstens 4 genAI-Apps verwenden.

Management des genAI-Datenrisikos

Während sich genAI-Apps im Jahr 2024 immer mehr zu einer festen Größe im Unternehmen entwickelten (94% von ihnen nutzen sie bereits), wurde deutlich, dass sie noch in den Anfängen stecken, wenn es darum geht, Kontrollen für die sichere Aktivierung von genAI einzurichten und die von genAI-Apps ausgehenden Datenrisiken zu mindern:

• 45% der Unternehmen nutzen DLP, um den Datenfluss in genAI-Apps zu kontrollieren. Die Akzeptanz von DLP für genAI ist in der Branche sehr unterschiedlich, wobei die Telekommunikationsbranche mit 64% den höchsten Wert aufweist.
• 34% der Unternehmen setzen auf interaktives Benutzer-Coaching in Echtzeit, um Einzelpersonen zu befähigen, angemessene und fundierte Entscheidungen zu treffen.
• In 73% der Fälle, in denen Benutzer vor einem potenziellen Verstoß gegen das Unternehmensrecht gewarnt werden, entscheiden sie sich aufgrund der bereitgestellten Coaching-Informationen, nicht fortzufahren.
• 73% der Unternehmen sperren mindestens eine genAI-App, wobei die Zahl der blockierten genAI-Apps von Jahr zu Jahr konstant bei durchschnittlich 2,4 liegt.
• Die Anzahl der Apps, die von den obersten 25% aller Organisationen, die genAI-Apps sperren, blockiert werden, hat sich im letzten Jahr von 6,3 Apps auf 14,6 mehr als verdoppelt.

Die wichtigsten Erkenntnisse für Unternehmen

Netskope empfiehlt Unternehmen, die folgenden Schritte zum Schutz ihrer Umgebungen durchzuführen:

• Benutzer werden aus allen Richtungen mit Phishing-Links bombardiert: E-Mail, soziale Medien, Anzeigen in Suchmaschinenergebnissen und im gesamten Web. Außerdem macht es genAI den Angreifern leichter, überzeugende Phishing-Links zu erstellen. Dies verdeutlicht, dass es nicht ausreicht, sich allein auf Aufklärung zu verlassen, um einen Phishing-Versuch zu erkennen, sondern dass dies mit Investitionen in modernen Datenschutz einhergehen muss.
• Mitarbeiter werden weiterhin versehentlich (oder absichtlich) Dateien über ihre persönlichen Konten freigeben, geschützte Informationen in ihre persönlichen Backups aufnehmen und persönliche App-Instanzen verwenden, um Daten beim Verlassen des Unternehmens mitzunehmen. Unabhängig von der Absicht müssen Unternehmen den Zugang auf die Apps beschränken, die einem legitimen Geschäftszweck dienen, einen Überprüfungs- und Genehmigungsprozess für neue Apps einrichten und einen kontinuierlichen Überwachungsprozess implementieren, der Sicherheitsexperten alarmiert, wenn Apps missbraucht werden oder kompromittiert wurden.
• Die Tendenz, dass immer mehr Unternehmen und Mitarbeiter genAI nutzen, wird sich auch 2025 fortsetzen. Es etabliert sich immer mehr am Arbeitsplatz. Gleichzeitig wird die Zahl der genAI-Apps weiter steigen, sodass Kontrollen erforderlich sind, um sicherzustellen, dass nur zugelassene Apps für autorisierte Anwendungsfälle verwendet werden. Unternehmen sollten moderne Datensicherheit nutzen, um die Datenübertragung in zugelassene Apps zu kontrollieren, Benutzer-Coaching in Echtzeit nutzen, um Mitarbeiter in die Lage zu versetzen, fundierte Entscheidungen bei der Nutzung von genAI-Apps zu treffen, und Kontrollen implementieren, die nicht zugelassene Apps blockieren.

„Der gemeinsame Nenner für Organisationen, die daran arbeiten, die Nutzung von Apps im Unternehmen sicher zu gestalten und die Herausforderungen der Bedrohungslandschaft zu entschärfen, ist die Notwendigkeit einer modernen Datensicherheit“, sagt Ray Canzanese, Director of Netskope Threat Labs.

„Vorbei sind die Zeiten, in denen Datensicherheit ein nachgelagerter Gedanke war. Sie muss nahtlos in jeden Aspekt der Abläufe eines Unternehmens integriert werden. Von der Abwehr von Phishing über den Schutz persönlicher Apps bis hin zur Verwaltung von genAI – Datensicherheit ist nicht mehr nur ein Schutz am Rande. Sie ist ein dynamischer, proaktiver Rahmen mit Echtzeit-Benutzer-Coaching, DLP und app-spezifischen Kontrollen, um einer sich ständig verändernden Bedrohungslandschaft voraus zu sein.“

Success rate of phishing attacks triples

Despite repeated attempts by organizations to raise security awareness among employees, particularly to prevent them from falling victim to phishing, business users clicked on phishing lures nearly three times as often in 2024 compared to 2023. More than eight out of every 1,000 users will click on a phishing link each month. This is a 190 percent increase from last year, when fewer than three in a thousand business users fell victim to phishing attempts.

Social engineering also includes where attackers host their malicious content. They try to host malicious content on platforms that victims trust. This includes popular cloud applications such as GitHub, Microsoft OneDrive and Google Drive. By 2024, 88% of organizations will download malicious content from popular cloud applications at least once a month.

The top target for phishing campaigns that users clicked on in 2024 was cloud applications, accounting for more than a quarter of all phishing clicks at 27%. Among cloud applications, Microsoft was by far the most targeted brand at 42%. Attackers particularly targeted Microsoft Live and Microsoft 365 credentials.

Personal apps blur the lines

The ubiquity of personal cloud apps in the enterprise has created an environment where employees, knowingly or unknowingly, use these apps to process or store sensitive data. This leads to a loss of organizational control over data and potential data breaches. The top personal apps that users send data to include cloud storage, webmail, genAI, social media and personal calendar apps.

By 2024, 88% of all employees will use personal cloud apps every month, with more than one in four users (26%) uploading, posting or otherwise sending data to personal apps. Sensitive data leaked through personal apps is a top concern for most organizations. The most common type of data breach involves regulated data (60%), which includes personal, financial or health information uploaded to personal apps. Other types of data breaches include intellectual property (16%), source code (13%), passwords and keys (11%), and encrypted data (1%).

Growth trends for genAI continue

In 2023, genAI entered the workforce. The growing adoption of genAI applications by businesses and users – as well as the total number of genAI applications in use – continued through 2024:

Organizational usage increased from 81% of organizations using genAI apps in 2023 to 94% in 2024. ChatGPT will continue to be the most popular genAI app, used by 84% of organizations.

The percentage of employees using genAI apps will triple from 2.6% to 7.8%. Retail and technology companies lead all industries with an average of more than 13% of all employees using genAI apps each month.

Companies now use an average of 9.6 genAI apps, up from 7.6 a year ago. The top 25% of organizations now use at least 24 genAI apps, while the bottom 25% use 4 or fewer genAI apps.

Managing genAI data risk

While genAI apps are becoming more mainstream in 2024 (94% are already in use), it is clear that it is still early days when it comes to establishing controls to safely enable genAI and mitigate the data risks posed by genAI apps:

45% of organizations use DLP to control the flow of data in genAI applications. Adoption of DLP for genAI varies widely across industries, with the highest adoption in telecommunications at 64%.

34% of organizations rely on real-time, interactive user coaching to empower individuals to make appropriate and informed decisions.

In 73% of cases where users are alerted to a potential violation of company policy, they decide not to proceed based on the coaching information provided.

73% of organizations block at least one genAI application, with the number of genAI applications blocked remaining constant at an average of 2.4 per year.

The number of apps blocked by the top 25% of all organizations blocking genAI apps has more than doubled in the last year, from 6.3 apps to 14.6 apps.

Key takeaways for organizations

Netskope recommends that organizations take the following steps to protect their environments:

Users are bombarded with phishing links from all directions: Email, social media, ads in search engine results, and across the web. In addition, genAI makes it easier for attackers to create convincing phishing links. This illustrates that education alone is not enough to detect a phishing attempt, but must be accompanied by investment in modern data protection.

Employees will continue to inadvertently (or intentionally) share files through their personal accounts, include protected information in their personal backups, and use personal application instances to take data with them when they leave the organization.

Regardless of intent, organizations must limit access to only those apps that serve a legitimate business purpose, establish a review and approval process for new apps, and implement a continuous monitoring process that alerts security professionals when apps are misused or compromised.

The trend of more companies and employees using genAI will continue in 2025. It will become more prevalent in the workplace. At the same time, the number of genAI applications will continue to grow, requiring controls to ensure that only approved apps are used for authorized use cases.

Organizations should leverage modern data security to control data transfer to approved apps, use real-time user coaching to empower employees to make informed decisions when using genAI apps, and implement controls that block unapproved apps.

„The common denominator for organizations working to secure the use of apps in the enterprise and mitigate the challenges of the threat landscape is the need for modern data security,“ said Ray Canzanese, director of Netskope Threat Labs. „Gone are the days when data security was an afterthought. It must be seamlessly integrated into every aspect of an organization’s operations. From defending against phishing, to protecting personal apps, to managing genAI, data security is no longer just protection at the edge. It’s a dynamic, proactive framework with real-time user education, DLP, and app-specific controls to stay ahead of an ever-changing threat landscape.“