Test phishingowy dla pracowników: jak go przeprowadzić i ocenić

Na pytanie „czy nasi ludzie rozpoznaliby e-mail phishingowy?” większość przełożonych odpowiada na wyczucie. Jedni ufają zespołowi, inni pamiętają kolegę, który kiedyś kliknął. Test phishingowy zastępuje przeczucie liczbą: wysyłasz bezpieczny, realistyczny e-mail i widzisz, jak pracownicy reagują w zwykły dzień pracy.

Dlaczego ankieta nie odpowiada na to pytanie

W quizie prawie każdy poprawnie odpowiada, że nie należy klikać podejrzanego linku. Ale prawdziwy e-mail phishingowy nie przychodzi w quizie. Przychodzi między dwudziestoma innymi e-mailami, tuż przed spotkaniem, od nadawcy, który wygląda znajomo. Ankieta mierzy, co człowiek wie. Test mierzy, co robi, gdy się spieszy. Dla firmy liczy się to drugie.

Quiz nadal przydaje się do nauki sygnałów. W darmowym teście phishingowym przechodzisz na przykład przez dziesięć e-maili w pięć minut i po każdym widzisz, na co zwracać uwagę. Ale nie pokaże on, jak ci sami ludzie zachowują się, gdy e-mail przychodzi niespodziewanie.

Jak działa test phishingowy

• Wybierasz scenariusz e-maila, który pracownicy mogliby naprawdę dostać: powiadomienie o paczce, ostrzeżenie o wygasającym haśle, udostępniony dokument.
• Wysyłasz go do całego zespołu lub wybranych działów.
• Link w e-mailu prowadzi do strony szkoleniowej. Jeśli strona ma formularz logowania, wpisane dane nie są zapisywane; rejestrowany jest tylko fakt ich wpisania.
• Pracownik, który kliknie, dowiaduje się, że to była symulacja szkoleniowa, i dostaje krótką lekcję o sygnałach, które przeoczył.
• Widzisz wyniki: kto kliknął, kto wpisał dane, kto ukończył lekcję.

Jak przygotować pierwszą symulację, opisuje szczegółowo artykuł Czym jest symulacja phishingu i jak przeprowadzić pierwszą.

Co mierzyć: cztery wskaźniki

Kliknięcie linku

Główny wskaźnik. Pokazuje, ile osób uznało e-mail za prawdziwy i zareagowało na niego.

Wpisanie danych

Najpoważniejszy wynik. W prawdziwym ataku oznaczałby skradzione hasło, więc śledź tę liczbę osobno.

Ukończenie lekcji

Pokazuje, czy błąd zamienił się w naukę. Jeśli pracownicy, którzy kliknęli, nie kończą lekcji, test pozostał tylko sprawdzianem.

Zgłoszenie do IT

Najlepszy znak: osoba nie dała się nabrać i ostrzegła innych. Jeśli w firmie jest jasny sposób zgłaszania podejrzanych e-maili, policz, ile osób z niego skorzystało.

Dlaczego liczba otwarć jest niemiarodajna

Otwarcie e-maila rejestruje się niewidocznym obrazkiem. Wiele aplikacji pocztowych domyślnie nie ładuje obrazów, a niektóre ładują je automatycznie, nawet jeśli nikt nie otworzy e-maila. Dlatego otwarć może być zarówno za mało, jak i za dużo. Wnioski wyciągaj z kliknięć i wpisanych danych.

Podobny problem mają kliknięcia: niektóre systemy bezpieczeństwa poczty same otwierają linki w e-mailu, aby je sprawdzić. Zapytaj dostawcę, czy platforma oddziela te automatyczne kliknięcia od działań ludzi. W przeciwnym razie w raporcie znajdą się kliknięcia, których nie wykonał żaden pracownik.

Jak przeprowadzić test, który da wiarygodny wynik

• Nie ogłaszaj daty. Poinformuj wcześniej, że firma prowadzi symulacje phishingu, ale nie mów kiedy ani jaki e-mail wyślesz.
• Wybierz realistyczny scenariusz w języku pracowników. E-mail pełen błędów tłumaczenia maszynowego rozpozna prawie każdy, więc taki test nic nie powie.
• Unikaj scenariuszy o wynagrodzeniach, premiach lub zdrowiu. Takie e-maile bardziej podważają zaufanie do kierownictwa, niż czegoś uczą.
• Porównuj testy o podobnej trudności. Jeśli drugi e-mail był dużo łatwiejszy do rozpoznania, lepszy wynik nie oznacza postępu.

Jak czytać wyniki

Pierwszy test to punkt odniesienia, a nie ocena: pokazuje, skąd startujesz. Wartościowe wnioski pojawiają się po kilku testach, gdy widać kierunek: czy kliknięć ubywa, czy mniej osób wpisuje dane, czy więcej kończy lekcje.

• Patrz na działy. Jeśli dział finansów klika częściej niż inne, zasługuje na więcej uwagi, bo fałszywe faktury trafiają najpierw właśnie tam.
• Szukaj powtórzeń. Pracownik, który klika kilka razy z rzędu, potrzebuje dodatkowego szkolenia, a nie upomnienia.
• Ostrożnie porównuj się z innymi firmami. Średnia rynkowa jest przydatna tylko wtedy, gdy znasz jej źródło, rok i wielkość firm.

Co zrobić po teście

Test bez dalszych działań tylko potwierdza problem. Aby wyniki się poprawiały, potrzebne są trzy rzeczy:

• Lekcje zaraz po kliknięciu. To moment, w którym człowiek najlepiej rozumie, co przeoczył.
• Bez kar. Jeśli kliknięcie jest karane, pracownicy przestają zgłaszać błędy, a w prawdziwym ataku to kosztuje najwięcej.
• Regularność. Test co miesiąc lub co kwartał, za każdym razem z innym scenariuszem, utrzymuje czujność.

Pokaż zarządowi nie wynik jednego testu, tylko krzywą z kilku: jaki odsetek pracowników za każdym razem kliknął, wpisał dane i ukończył lekcję.

Jak przeprowadzić test phishingowy z Opsinel

Opsinel wysyła realistyczne e-maile phishingowe po litewsku i angielsku, a szablony po polsku przygotowujemy na życzenie. Pracownik, który kliknie, od razu dowiaduje się, że to była symulacja, i dostaje lekcję trwającą około 15 minut o tym samym e-mailu. Widzisz wynik każdego pracownika, porównanie działów i to, jak wyniki zmieniają się z kampanii na kampanię. Wpisane hasła nigdy nie są przechowywane.

Darmowe konto pokazuje panel z danymi przykładowej firmy. Więcej o tym, jak działają symulacje phishingu, co pokazują raporty i ile to kosztuje.