Szkolenia i testy phishingowe

Co pokazuje pierwsza kampania

Pierwsza runda ma jedno zadanie: zmierzyć stan wyjściowy. Wysyłamy wiadomość nawiązującą do czegoś, co w firmie faktycznie występuje, na przykład do powiadomienia z systemu kadrowego albo do faktury od dostawcy, którego wszyscy znają. Nikt poza osobą zamawiającą program nie zna terminu.

Wynik prawie zawsze zaskakuje zarząd w dwie strony. Klika więcej osób, niż ktokolwiek się spodziewał, i klikają nie ci, których typowano. Dział, który najczęściej ma najlepszy wynik, to nie IT, tylko księgowość, bo księgowość codziennie ogląda faktury i najszybciej wyłapuje, że coś w tej jednej nie gra.

Jak przebiega jedna runda

Etap	Kiedy	Co się dzieje
Przygotowanie	tydzień przed	scenariusz, wybór grup, ustalenie wyjątków
Wysyłka	dzień zero	wiadomości idą partiami, żeby nie ostrzegły się nawzajem
Nauka po kliknięciu	natychmiast	krótka strona z wyjaśnieniem, co zdradzało fałszywkę
Zbieranie zgłoszeń	trzy dni	liczymy, ile osób użyło przycisku zgłoszenia
Raport	tydzień po	dwie liczby, wnioski i propozycja kolejnego scenariusza
Szkolenie	według potrzeby	godzina na żywo, gdy wynik tego wymaga

Najważniejszy jest wiersz trzeci. Wyjaśnienie pokazane w sekundzie po kliknięciu zostaje w głowie, bo osoba wciąż pamięta, co ją przekonało. To samo wyjaśnienie w prezentacji za trzy tygodnie jest już tylko teorią.

Dlaczego nie podajemy nazwisk

Bo program mierzy skuteczność procesu, a nie ludzi. W chwili, w której lista osób trafia do przełożonego, dzieje się jedna rzecz: pracownik, który za pół roku naprawdę kliknie w coś groźnego, nie zgłosi tego nikomu. Będzie liczył, że nic się nie stało. Właśnie ta cisza jest kosztem, którego program ma nie generować, bo w prawdziwym incydencie liczy się każda godzina.

Zarząd dostaje więc liczby zbiorcze i podział po działach, gdy działy są wystarczająco duże, żeby nikogo nie wskazywały. Osoby, które kliknęły, dostają naukę i zaproszenie na najbliższe szkolenie. Nic więcej.

Co się zmienia po roku programu

Wskaźnik	Stan typowy na starcie	Po roku kampanii
Klikalność	wysoka, kilkanaście do kilkudziesięciu procent	wyraźnie niższa, zwykle kilka procent
Zgłaszalność	pojedyncze osoby	wyraźna większość odbiorców
Czas do pierwszego zgłoszenia	godziny albo wcale	zwykle kilkanaście minut
Reakcja na telefon od rzekomego IT	podanie hasła	odłożenie słuchawki i telefon do nas

Ostatni wiersz jest najbardziej wartościowy, a najtrudniejszy do wypracowania. Wiadomość da się przeanalizować spokojnie, a rozmowa telefoniczna wywiera presję czasu, na której cała ta metoda się opiera.

Jak to wygląda w firmie, w której nie wszyscy siedzą przy komputerze

Program napisany dla biura nie działa w zakładzie produkcyjnym, w warsztacie ani w firmie transportowej. Połowa zespołu nie ma służbowej skrzynki, część nie ma nawet firmowego komputera, a kontakt z atakującym odbywa się przez telefon albo przez wiadomość na prywatny numer.

Dla takich zespołów robimy krótkie szkolenie na miejscu, w formie kilku prawdziwych przypadków z tej samej branży, prowadzone przy zmianie i trwające nie dłużej niż pół godziny. Zamiast kampanii mierzymy wtedy co innego: ile telefonów z pytaniem trafia do działu IT po podejrzanej rozmowie. Zero takich telefonów nie oznacza, że nikt nie dzwonił do firmy, tylko że nikt nie uznał tego za coś, o czym warto powiedzieć.

Osobną grupą jest zarząd i księgowość. To do nich adresowane są scenariusze z pilnym przelewem i zmianą numeru konta, więc dostają własną, krótszą serię przykładów oraz ustaloną procedurę potwierdzania zmian, która nie zależy od tego, jak wiarygodnie wygląda wiadomość.

Czego szkolenie nie naprawi

Nie naprawi braku drugiego składnika przy logowaniu ani braku procedury potwierdzania zmiany numeru konta. Zespół uważny przy dwudziestu wiadomościach w tygodniu popełni błąd przy pięciuset, i to jest normalne, ludzkie i możliwe do przewidzenia. Dlatego warstwa techniczna musi istnieć niezależnie, a program szkoleń jest ostatnią kontrolą, nie pierwszą.

Warstwę techniczną po stronie skrzynki opisuje ochrona poczty, a to, co chroni konto po wyciekniętym haśle, to logowanie wieloskładnikowe. Cykliczne szkolenia są też jednym z wymagań, które stawia NIS 2.

Treść sprawdzona i zaktualizowana: 30 lipca 2026