Szkolenia i testy phishingowe Kraków

Dlaczego oszustwo wchodzi tu przez proces, a nie przez skrzynkę

Wiadomość mająca zaszkodzić działa wtedy, gdy wygląda jak coś, co i tak miało przyjść. W zespole obsługującym rozliczenia, obieg faktur albo dokumentację spraw ten warunek jest wyjątkowo łatwy do spełnienia, ponieważ cały dzień pracy składa się z próśb od osób, których nikt nigdy nie widział.

Dochodzi do tego rzecz, która odróżnia takie zespoły od zwykłego biura. Prośba nie musi dotyczyć pieniędzy Waszej spółki. Wystarczy, że dotyczy pieniędzy podmiotu, którego proces prowadzicie, a wtedy osoba podejmująca decyzję nie ma naturalnego odruchu ostrożności, jaki towarzyszy wydatkowi z własnego budżetu. Przelew idzie z cudzego rachunku, akceptacja dotyczy cudzej faktury, zmiana danych dotyczy cudzego dostawcy.

Program zbudowany na ogólnych przykładach nie dotyka tego wcale. Dlatego scenariusze bierzemy z opisu procesu, który realnie u Was działa, i zaczynamy od pytania, jak wygląda normalna prośba o zmianę danych dostawcy.

Jak wchodzi oszustwo w proces, który prowadzicie dla kogoś

Proces obsługiwany dla innych	Jak wchodzi w niego prośba	Czego uczymy w tym miejscu
Obieg faktur zakupowych	korekta z nowym numerem rachunku	potwierdzenie zmiany u właściciela procesu, nie u nadawcy
Akceptacja płatności	prośba o przyspieszenie przed końcem dnia	zasada, że pośpiech nie skraca ścieżki zatwierdzania
Zakładanie kont dostawców	komplet danych przysłany z zewnątrz	weryfikacja podmiotu w rejestrze, nie w załączniku
Obsługa kadrowa	zmiana rachunku do wynagrodzenia	potwierdzenie u pracownika kanałem innym niż poczta
Przekazywanie dokumentów sprawy	prośba o przesłanie akt na nowy adres	sprawdzenie adresu na liście stałych odbiorców
Korespondencja z drugą spółką grupy	polecenie od osoby, której nikt nie widział	telefon pod numer z książki firmowej, nie z podpisu
Wsparcie techniczne dla zespołu	telefon w imieniu działu informatyki	zakończenie rozmowy i oddzwonienie pod znany numer

Wiersz szósty jest w strukturach rozproszonych po kilku krajach najbardziej skuteczny. Osoba z drugiej spółki istnieje dla odbiorcy wyłącznie jako adres i podpis, często w obcym języku, więc ocena wiarygodności po stylu pisania nie jest w ogóle możliwa. Zostaje wyłącznie ścieżka techniczna oraz jedna zasada organizacyjna.

Co zmienia praca w dwóch językach naraz

Rada, żeby zwracać uwagę na nienaturalne sformułowania, działa w korespondencji prowadzonej we własnym języku, między osobami piszącymi do siebie od lat. W zespole, który połowę dnia pisze po angielsku do ludzi z kilku krajów, znika większość sygnałów, na których ta rada się opiera.

Nikt nie oceni, czy zdanie brzmi dziwnie, skoro poprzednie pięćdziesiąt też brzmiało nieco sztywno i nikomu to nie przeszkadzało. Nikt nie wychwyci zmiany stylu, ponieważ w drugim języku bywa on z zasady oszczędny. Uprzejmości wyglądają wszędzie tak samo, a stopka wiadomości to kilka linijek do skopiowania.

Prowadzimy więc kampanie w obu językach, w proporcji odpowiadającej temu, jak naprawdę wygląda Wasza korespondencja, a nauka po kliknięciu otwiera się w języku wiadomości. Uczymy przy tym rzeczy, których nie trzeba oceniać intuicyjnie: sprawdzenia pełnego adresu nadawcy, informacji, że jest on spoza organizacji, oraz zgodności domeny z listą podmiotów, z którymi faktycznie pracujecie.

Jak prowadzimy zajęcia dla zespołów pracujących na zmianę z domu

Spotkanie zwołane na jeden termin gromadzi w takich firmach mniej więcej połowę zaproszonych, bo część zespołu jest tego dnia poza biurem, a część kończy właśnie zamknięcie okresu. Powtarzanie tego dwa razy w roku daje wynik, który wszyscy znają.

Zamiast tego prowadzimy krótkie bloki, kilkanaście minut po każdej rundzie kampanii, w dwóch terminach i z nagraniem dla osób, które nie zdążyły. Materiał opiera się na wynikach właśnie zakończonej rundy, więc przykłady są świeże i dotyczą procesu, w którym uczestnicy pracują. Formę na miejscu zostawiamy raz w roku, przy okazji spotkania całego zespołu.

Osobno traktujemy nowe osoby. Rotacja w tych zespołach bywa szybsza niż kalendarz kampanii, więc krótką naukę wpinamy w pierwszy tydzień pracy, razem z wydaniem konta i omówieniem procesu. Nowa osoba nie musi rozpoznawać każdej sztuczki, musi wiedzieć, gdzie zapytać i że nikt jej za to pytanie nie oceni.

Które liczby pokazujemy klientowi, a które sobie

Kierownictwo dostaje trzy wartości w ujęciu zbiorczym. Odsetek osób, które kliknęły, odsetek osób, które zgłosiły wiadomość, oraz czas od dostarczenia do pierwszego zgłoszenia. Trzecia jest najważniejsza, bo decyduje o tym, jak długo napastnik pracuje bez świadków, i skraca się nie przez wiedzę, tylko przez udrożnienie drogi zgłoszenia.

Do formularza oceny dostawcy idzie natomiast coś innego. Klient rzadko pyta o odsetek kliknięć, a prawie zawsze o to, czy program istnieje, kogo obejmuje i jak często się powtarza. Odpowiadają na to lista udziału z datami oraz zakres zajęć, prowadzone od pierwszej rundy właśnie z tego powodu.

Nazwisk nie przekazujemy nikomu i mówimy o tym zespołowi przed pierwszą wysyłką. Zasada ma podstawę praktyczną. Osoba, która wie, że kliknięcie trafi do przełożonego, przy prawdziwym zdarzeniu za pół roku nie powie o nim nikomu, a w procesie prowadzonym dla klienta cisza kosztuje więcej niż samo kliknięcie.

Gdzie kończy się rola tego programu

Nie zastąpi filtra poczty, drugiego składnika przy logowaniu ani kopii zapasowych. Zespół pełni tu funkcję ostatniej kontroli, a nie pierwszej, i przerzucanie na niego wszystkiego, czego nie zatrzymała technika, jest ustawianiem ludzi w roli, której nikt nie udźwignie.

Nie obiecujemy również, że liczba kliknięć spadnie do zera. Przy odpowiednio dobranej wiadomości nabiera się każdy, łącznie z osobami prowadzącymi takie kampanie, i dlatego mierzymy przede wszystkim czas reakcji.

Ruch przychodzący i wychodzący porządkuje ochrona poczty i filtrowanie treści, wgląd zawęża logowanie wieloskładnikowe, a komplet warstw pod jedną umową prowadzi bezpieczeństwo IT dla firm. Powtarzalna nauka dla zespołu figuruje w katalogu środków opisanym przy NIS 2. Pierwszą rundę umówimy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026