Szkolenia i testy phishingowe Barlinek

Kogo w barlineckiej firmie próbuje się oszukać najczęściej?

Nie wszystkich po równo. W firmie na kilkanaście czy trzydzieści osób role są wyraźnie rozdzielone i atakujący też to widzi, bo wystarczy mu strona internetowa z zakładką kontakt.

Kto	Co do niego przychodzi	Czym to się kończy przy braku odruchu
Właściciel	wiadomość niby od banku i od urzędu	podanie hasła do bankowości firmowej
Księgowa lub biuro rachunkowe	faktura ze zmienionym numerem konta	przelew na obce konto tego samego dnia
Osoba przy zamówieniach	potwierdzenie dostawy z załącznikiem	uruchomienie programu szyfrującego pliki
Magazynier i kierowca	wiadomość na prywatny numer o przesyłce	przejęcie prywatnego konta, potem służbowego
Recepcja pensjonatu	rezerwacja z linkiem do potwierdzenia	podanie danych karty gościa na obcej stronie
Pracownik hali	telefon od rzekomego informatyka	podanie hasła przez telefon w dobrej wierze

Ostatni wiersz jest tym, którego nie widać w żadnej statystyce, bo nikt go nigdzie nie zgłasza. Człowiek przy maszynie odbiera telefon, słyszy, że dzwoni informatyk, i podaje to, o co go poproszono, bo tak wypada. Nie ma w tym naiwności, jest zwykła uprzejmość.

Jak szkolić ludzi, którzy nie siedzą przy komputerze?

Program napisany dla biura nie działa w tartaku, w piekarni ani w firmie transportowej. Połowa zespołu nie ma służbowej skrzynki, część nie ma nawet firmowego komputera, a kontakt z atakującym odbywa się przez telefon albo przez komunikator na prywatnym numerze.

Dla takich zespołów robimy szkolenie na miejscu, przy zmianie, trwające pół godziny i zbudowane z kilku prawdziwych przypadków. Bez slajdów, bez logowania się gdziekolwiek i bez rejestracji obecności. Sedno mieści się w trzech zdaniach: nikt z firmy ani z banku nie poprosi Cię o hasło przez telefon, dziwną wiadomość zgłasza się jednym telefonem, a za zgłoszenie fałszywego alarmu nigdy nie ma żadnych konsekwencji.

Zamiast klikalności mierzymy wtedy co innego. Liczbę telefonów z pytaniem, które do nas trafiają po podejrzanej rozmowie. Zero takich telefonów nie znaczy, że nikt do firmy nie dzwonił. Znaczy, że nikt nie uznał tego za coś, o czym warto komukolwiek powiedzieć.

Co dostaje właściciel po każdej rundzie?

Krótkie podsumowanie na jedną stronę: ile osób otworzyło, ile kliknęło, ile zgłosiło i o ile te liczby zmieniły się od poprzedniego razu. Do tego jedno zdanie o tym, co proponujemy zrobić dalej.

Czego w tym podsumowaniu nie ma i nigdy nie będzie? Nazwisk. W firmie dwudziestoosobowej lista klikających byłaby listą znajomych ludzi z jednego miasta i skończyłaby się ukrywaniem incydentów, czyli dokładnie odwrotnie do celu. Właściciel, który koniecznie chce wiedzieć, kto kliknął, dostaje od nas odmowę i wyjaśnienie, dlaczego to jego własny interes.

Dlaczego telefon jest trudniejszy od wiadomości?

Bo wiadomość można przeczytać drugi raz, pokazać koledze i sprawdzić nadawcę. Rozmowa wywiera presję czasu i na tej presji cała metoda się opiera. Dzwoniący mówi, że coś się dzieje właśnie teraz, że trzeba działać natychmiast i że sprawa jest pilna. Człowiek chce pomóc i pomaga.

Dlatego w każdym szkoleniu połowę czasu poświęcamy na rozmowy telefoniczne, a nie na wiadomości. Ćwiczymy jedno zdanie do powiedzenia w takiej sytuacji: oddzwonię pod numer, który mam zapisany. To zdanie kończy rozmowę z atakującym i nie kończy żadnej prawdziwej.

Ile to zabiera czasu Waszym ludziom?

Mniej, niż wynika z rozmów o tym programie. Kampania nie zabiera nic, bo wiadomość wygląda jak każda inna w skrzynce. Kliknięcie kosztuje dwie minuty na przeczytanie wyjaśnienia. Szkolenie na żywo to pół godziny, raz albo dwa razy w roku, ustawione tak, żeby nie kolidowało z sezonem, wysyłką albo zamknięciem miesiąca.

Największy koszt jest zupełnie inny i ponosi go właściciel. To decyzja, żeby przyjąć do wiadomości wynik pierwszej rundy, który zwykle jest gorszy, niż ktokolwiek się spodziewał, i nie zrobić z niego awantury.

Czego szkolenie nie naprawi?

Nie naprawi braku drugiego składnika przy logowaniu ani braku zasady potwierdzania zmiany numeru konta. Zespół uważny przy dwudziestu wiadomościach w tygodniu pomyli się przy dwustu i jest to normalne, ludzkie i możliwe do przewidzenia. Warstwa techniczna musi więc istnieć niezależnie, a program szkoleń jest ostatnią kontrolą, nie pierwszą.

Techniczne sito po stronie skrzynki opisuje ochrona poczty, a to, co chroni konto po wyciekniętym haśle, to logowanie wieloskładnikowe. Cykliczne szkolenia są też jednym z wymagań, o które pytają ankiety wynikające z dyrektywy NIS 2. Wszystkie warstwy razem obejmuje bezpieczeństwo IT dla firm.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026