Symulacje phishingowe
Symulacje phishingowe, które kończą się szkoleniem, nie listą winnych
Kontrolowana kampania phishingowa na realistycznych scenariuszach. Mierzymy otwarcia, kliknięcia, podanie danych i zgłoszenia do SOC, a osoby, które dały się nabrać, dostają szkolenie natychmiast — nie za kwartał.
Jak przebiega kampania
Scenariusz
Dobieramy pretekst do realiów firmy: faktura, kurier, dział HR, komunikat od zarządu.
Wysyłka
Kampania z własnej infrastruktury, z uwierzytelnieniem SPF/DKIM/DMARC i kontrolą tempa wysyłki.
Pomiar
Kto otworzył, kto kliknął, kto podał dane, kto zgłosił incydent — w podziale na działy.
Remediacja
Osoba, która kliknęła, trafia na stronę edukacyjną i dostaje przypisany moduł szkoleniowy.
Co mierzymy i dlaczego to ma znaczenie
- Wskaźnik kliknięć — podstawowa miara podatności, porównywalna między kampaniami.
- Podanie danych — najgroźniejsze zachowanie; hasła nie są zapisywane w formie użytecznej dla kogokolwiek.
- Zgłoszenia do SOC — miara dojrzałości. Firma, w której ludzie zgłaszają, dowiaduje się o ataku w minuty; ta, w której nikt nie zgłasza — dopiero z raportu.
- Rozkład po działach — pokazuje, gdzie skierować szkolenie zamiast szkolić wszystkich tak samo.
Nie tylko poczta — symulacja USB Drop
Podrzucony nośnik to wciąż działający wektor, bo omija całą warstwę filtrów pocztowych. W kampanii USB Drop zostawiamy w uzgodnionych miejscach nośniki z plikiem, który wygląda jak zwykły dokument — arkusz, umowa, lista płac. Mierzymy, ile osób go podłączyło i otworzyło, w trybie anonimowym albo z identyfikacją, zależnie od tego, co ustalimy przed startem.
Plik nie robi nic poza zaraportowaniem otwarcia — żadnego kodu wykonywalnego, żadnego dostępu do stacji.
Granice, których nie przekraczamy
- Zero pułapek na godność — żadnych scenariuszy z premiami, zwolnieniami czy wynikami badań lekarskich.
- Wyniki zbiorcze — raport służy do planowania szkoleń, nie do wyciągania konsekwencji wobec osób.
- Uprzedzenie w polityce — pracownicy wiedzą, że firma prowadzi symulacje; nie wiedzą tylko kiedy.
- Krótka retencja — dane indywidualne kasujemy po zamknięciu cyklu remediacji.
Jak czytać wyniki, żeby miały sens
Sam procent kliknięć niewiele mówi. Dopiero zestawienie czterech wskaźników pokazuje, czy organizacja się broni, czy tylko wygląda na bezpieczną.
| Wskaźnik | Co realnie mierzy | Na co uważać |
|---|---|---|
| Otwarcia | Zasięg kampanii i to, czy wiadomość przeszła przez filtry | Zawyżany przez skanery bezpieczeństwa otwierające pocztę automatycznie |
| Kliknięcia | Podstawowa podatność — ilu pracowników dało się nabrać na pretekst | Porównywalny tylko między kampaniami o podobnej trudności scenariusza |
| Podanie danych | Najgroźniejsze zachowanie — realna kompromitacja poświadczeń | Zawsze co najwyżej tyle, co kliknięć — ale to on decyduje o skali incydentu |
| Zgłoszenia do SOC | Dojrzałość organizacji — czy ktoś w ogóle reaguje | Najważniejszy, a najczęściej pomijany wskaźnik |
Jak często prowadzić symulacje
Raz w roku
Nie buduje odruchu. Pracownik pamięta szkolenie przez kilka tygodni, potem wraca do starych nawyków — a rotacja sprawia, że część zespołu nigdy nie przeszła żadnego testu.
Co kwartał
Cykl kwartalny utrwala czujność i daje porównywalne dane w czasie. Wystarczająco rzadko, by nie męczyć zespołu, wystarczająco często, by wyłapać nowych pracowników.
Co miesiąc
Wywołuje znużenie i cynizm. Ludzie zaczynają zgłaszać wszystko jak leci albo ignorować temat, a program traci wiarygodność wewnątrz organizacji.
Czym różni się dobra symulacja od złej
- Realistyczny pretekst — oparty na tym, co faktycznie krąży w skrzynkach: faktura, kurier, prośba z HR. Nie „nigeryjski książę".
- Dopasowanie do firmy — inny scenariusz dla księgowości, inny dla działu handlowego. Jedna wiadomość dla wszystkich mierzy przypadek, nie podatność.
- Natychmiastowa nauka — kto kliknął, od razu widzi, po czym mógł rozpoznać atak. Moment kliknięcia to jedyna chwila, gdy uwaga jest pełna.
- Mierzalny cykl — wynik porównywalny z poprzednią kampanią, inaczej nie wiadomo, czy program cokolwiek zmienia.
Najczęstsze błędy pierwszej kampanii
- Kara zamiast nauki — publiczna lista tych, którzy kliknęli, zabija zgłaszalność na lata. Ludzie przestają przyznawać się do błędów.
- Zbyt trudny scenariusz na start — 60% kliknięć w pierwszej kampanii nie daje wiedzy, tylko panikę zarządu.
- Brak uprzedzenia w polityce — pracownicy dowiadują się, że firma ich testuje, dopiero po fakcie. To problem prawny i wizerunkowy.
- Kampania bez remediacji — sam pomiar niczego nie zmienia. Test bez szkolenia po nim to zmarnowany budżet.
Pytania, które dostajemy najczęściej
Czy symulacja phishingu jest legalna wobec pracowników?
Tak. Podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) — ochrona systemów i danych firmy. Wymaga uprzedzenia w polityce bezpieczeństwa, że symulacje są prowadzone, oraz analizowania wyników zbiorczo. Szczegóły opisaliśmy w osobnym artykule.
Czy pracownicy muszą wiedzieć, że będzie symulacja?
Muszą wiedzieć, że firma takie testy prowadzi — nie muszą wiedzieć kiedy ani w jakiej formie. Standardem jest zapis w polityce bezpieczeństwa lub regulaminie pracy plus informacja przy starcie programu.
Co się dzieje z hasłem, jeśli ktoś je wpisze?
Rejestrujemy wyłącznie fakt, że dane zostały podane — potrzebny do przypisania szkolenia. Nie budujemy zbioru haseł pracowników, bo do celu edukacyjnego jest on niepotrzebny, a stanowiłby poważne ryzyko sam w sobie.
Ile trwa przygotowanie i przeprowadzenie kampanii?
Kampania na gotowym scenariuszu rusza w kilkanaście minut z panelu platformy. Kampania przygotowana pod konkretną organizację — z własnym pretekstem i domeną — wymaga zwykle kilku dni na ustalenia i konfigurację wysyłki.
Czy da się to zrobić bez angażowania działu IT klienta?
W wersji podstawowej tak — wysyłka idzie z naszej infrastruktury. Przy większych organizacjach warto jednak dodać nasze adresy do listy dozwolonych, żeby test mierzył czujność ludzi, a nie skuteczność filtra antyspamowego.
Zobacz swój pierwszy raport
Symulacje są częścią platformy — możesz je odpalić w wersji próbnej.