Szkolenia i testy phishingowe Białystok

Czego uczyć zespół, żeby to szkolenie cokolwiek zmieniło?

Nie tego, co w typowym szkoleniu. Rozpoznawanie literówek i dziwnych adresów przestało wystarczać, bo wiadomości pisane dziś nie mają błędów, a domena bywa łudząco podobna do prawdziwej. Zawodzi przy tym odruch, na którym wiele podlaskich firm polega najbardziej: pytanie kogoś obok, czy to on wysłał. Nikt nie robi tego przy każdej wiadomości, a napastnikowi wystarczy ta jedna, przy której nikt nie zapytał.

Uczymy więc czegoś prostszego i skuteczniejszego: zasady, że sprawdzenie idzie kanałem znanym wcześniej. Numer telefonu do wsparcia jest na kartce przy biurku, a nie w treści wiadomości. Przy prośbie o hasło, o kod albo o zmianę numeru rachunku dzwoni się pod ten numer, zawsze, bez oceniania, czy wiadomość wygląda wiarygodnie. Ocena wyglądu jest właśnie tym, na czym gra napastnik.

Druga zasada dotyczy nas i mówimy ją na każdym szkoleniu: nie prosimy mailem o hasło ani o kod, nigdy i pod żadnym pozorem. Jedno zdanie bez wyjątków działa lepiej niż lista znaków ostrzegawczych, bo nie wymaga od nikogo rozstrzygania w niepewnej sytuacji.

Skąd bierzemy scenariusze do kampanii?

Scenariusz kampanii	Do kogo trafia	Co sprawdza
Wiadomość od wsparcia o wygasającym haśle	wszyscy	odruch logowania na podanej stronie
Prośba o kod potwierdzający, telefonem po mailu	osoby z dostępem do systemów	czy ktoś poda kod przez telefon
Nowa instrukcja dostępu zdalnego z załącznikiem	biuro	uruchamianie plików z poczty
Faktura za licencje ze zmienionym rachunkiem	księgowość	zasadę potwierdzania zmiany rachunku
Powiadomienie o przesyłce z zapasowym sprzętem	osoba przyjmująca dostawy	klikanie w odnośniki do śledzenia
Prośba zarządu o pilny przelew w podróży	osoby z dostępem do płatności	odporność na presję czasu i hierarchię

Scenariusze budujemy na tym, co w firmie naprawdę się dzieje, więc przed pierwszą kampanią pytamy o używane systemy, o dostawców i o typową korespondencję. Test z nazwą banku, w którym nie macie konta, mierzy wyłącznie przypadek.

Świadomie nie używamy scenariuszy żerujących na sprawach osobistych, takich jak zwolnienia, premie czy wyniki badań. Podnoszą klikalność, ale kosztują zaufanie do całego programu, a bez zaufania nikt nie zgłasza podejrzanych wiadomości.

Jak wygląda rok pracy tego programu?

Zaczynamy od kampanii bez zapowiedzi, żeby zobaczyć stan wyjściowy. Zaraz po niej idzie krótki komunikat wyjaśniający, czym to było, i pierwsze szkolenie zdalne dla całego zespołu. To spotkanie jest najważniejsze w całym roku, bo ustala zasady i pokazuje ludziom, że nikt nie szuka winnych.

W kolejnych kwartałach kampanie zmieniają temat i trudność. Druga zwykle sprawdza pracę z załącznikiem, trzecia rozmowę telefoniczną w połączeniu z wiadomością, czwarta prośbę finansową. Między rundami działa przycisk zgłoszenia w skrzynce i to on daje najwięcej danych, bo pokazuje prawdziwe próby, nie tylko nasze testy.

Raz w roku prowadzimy szkolenie na miejscu, w Waszej firmie. Ma ono inną wartość niż zdalne: obejmuje ludzi bez firmowej skrzynki, pozwala pokazać rzeczy na sprzęcie i wywołuje pytania, których nikt nie zada na spotkaniu online przy wyłączonej kamerze.

Co dzieje się w minucie po kliknięciu?

Osoba trafia na stronę, która wprost mówi, że to był test przeprowadzony na zlecenie firmy, i pokazuje, po czym można było to poznać w tej konkretnej wiadomości. Bez ogólnych rad, wyłącznie na przykładzie, który ma przed oczami. Całość zajmuje dwie, trzy minuty i na tym kontakt się kończy.

Nikt nie dostaje telefonu z wymówką ani wiadomości do przełożonego. Wynik wchodzi do statystyki zbiorczej i nie da się z niej wyciągnąć nazwisk, także nam. To ograniczenie ustawiamy świadomie na starcie, bo pierwsze pytanie pracowników zawsze brzmi, kto to zobaczy.

Osobno wygląda sytuacja, gdy ktoś kliknie w prawdziwą wiadomość, a nie w test. Wtedy sprawa trafia natychmiast do obsługi technicznej: konto zostaje zabezpieczone, a komputer w razie potrzeby odcięty od sieci przez ochronę stacji i serwerów. Zgłoszenie od pracownika jest w tym momencie najszybszym sygnałem, jaki w ogóle istnieje.

Którą liczbę mierzymy i dlaczego akurat ją?

Klikalność jest liczbą oczywistą i pokazujemy ją, ale sama w sobie mówi mało. Można ją obniżyć doborem łatwiejszych scenariuszy, więc jako miara jakości programu jest myląca. Liczbą, na którą naprawdę patrzymy, jest zgłaszalność: odsetek osób, które podejrzaną wiadomość przesłały do oceny, i czas, jaki minął od jej dostarczenia do zgłoszenia.

Ten czas jest ważny, bo decyduje o wszystkim, co dzieje się potem. Zgłoszenie po kwadransie pozwala zablokować nadawcę i usunąć wiadomość z pozostałych skrzynek, zanim ktoś inny w nią wejdzie. Zgłoszenie po dwóch dniach jest już tylko informacją historyczną.

W raporcie pokazujemy obie liczby w czasie, razem z komentarzem, co zmieniamy w kolejnej rundzie. Warstwę techniczną, która zatrzymuje wiadomości przed dostarczeniem, opisuje ochrona poczty, a wymaganie dotyczące szkoleń pojawia się też w NIS 2.

Czego szkoleniem nie da się naprawić?

Nie da się nim naprawić braku drugiego składnika przy logowaniu. Człowiek zmęczony pod koniec dnia kliknie prędzej czy później i wtedy liczy się to, czy samo hasło wystarczy do wejścia. Tę warstwę buduje logowanie wieloskładnikowe.

Nie naprawi też procesu, w którym jedna osoba może samodzielnie zmienić numer rachunku kontrahenta i wykonać przelew. To jest kwestia organizacji pracy, a nie świadomości, i mówimy o tym wprost na każdym szkoleniu, choć nie zawsze jest to przyjmowane z entuzjazmem. Rytm kampanii i zakres dla Waszego zespołu ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026