Szkolenia i testy phishingowe Olsztyn

Dlaczego zasada o nieklikaniu w załączniki tu nie działa?

Bo zderza się z opisem stanowiska. Recepcjonistka ma odpowiadać na wiadomości od ludzi, których nie zna, otwierać przesłane przez nich dokumenty i klikać w linki od portali rezerwacyjnych. Robi to kilkadziesiąt razy dziennie i traktuje jako pracę, a nie jako ryzyko. Szkolenie, które każe jej być podejrzliwą wobec obcych, jest szkoleniem sprzecznym z tym, za co dostaje wynagrodzenie.

Dlatego uczymy czegoś węższego i wykonalnego. Zamiast ogólnej ostrożności dajemy trzy sytuacje, w których zawsze się dzwoni, i wszystko poza nimi zostaje obsługiwane normalnie. Zmiana numeru rachunku. Nagła pilność płatności. Prośba o zalogowanie się z linku w wiadomości. Trzy rzeczy da się zapamiętać w pierwszym dniu pracy, dwudziestu zasad nie da się.

Efekt jest mierzalny. Osoba, która nie musi oceniać każdej wiadomości, zaczyna zauważać te trzy, bo ma na nie miejsce w głowie. Program uczący wszystkiego naraz kończy się tym, że nie zauważa żadnej.

Jak wpiąć naukę w pierwszy dzień pracy w maju?

Tak samo jak pokazanie systemu rezerwacyjnego i obsługi terminala, czyli jako element wdrożenia, a nie osobne wydarzenie. Dwadzieścia minut, cztery przykłady i jedna kartka, która zostaje przy stanowisku. Osoba przyjęta na czerwiec kończy pracę we wrześniu, więc szkolenie zaplanowane na listopad nie dotyczy jej w ogóle.

W obiekcie sezonowym oznacza to inny rytm niż w firmie z równą obsadą. Wiosną przechodzimy przez wdrożenia, bo wtedy przychodzi najwięcej nowych osób. Latem nie robimy nic poza jedną krótką kampanią, bo uwagi zespołu jest tyle, ile jest. Jesienią i zimą pracujemy z trzonem załogi, czyli z ludźmi, którzy zostają na lata i mają największy dostęp.

Materiały różnicujemy według stanowiska, bo próby też są różne. Recepcja dostaje przykłady rezerwacyjne, księgowość płatnicze, kierownictwo takie, w których ktoś podszywa się pod nich samych. Wspólne szkolenie dla wszystkich kończy się tym, że każdy słucha o czyimś problemie.

Jakie próby przychodzą dziś do obiektu nad jeziorem?

Rola	Typowa próba	Czego oczekujemy	Czas nauki
Recepcja	rezerwacja grupowa z listą uczestników w załączniku	otwarcie w trybie chronionym i zgłoszenie przy prośbie o dane	20 minut przy przyjęciu
Recepcja	wiadomość o problemie z płatnością rzekomo z portalu	logowanie wyłącznie z zakładki, nigdy z linku	ten sam instruktaż
Księgowość	prośba dostawcy o zmianę numeru rachunku	telefon pod numer znany wcześniej, zawsze	40 minut raz w roku
Kierownictwo	podszycie się pod właściciela z pilnym przelewem	potwierdzenie inną drogą niż wiadomość	40 minut raz w roku
Gastronomia i zaplecze	fałszywa faktura za dostawę	przekazanie do księgowości bez otwierania	krótki instruktaż
Obsługa techniczna	wiadomość rzekomo od serwisu z linkiem do panelu	zgłoszenie do nas przed jakimkolwiek kliknięciem	krótki instruktaż

Wiersz trzeci i czwarty odpowiadają za największe pojedyncze straty, choć prób jest tam najmniej. Wiersze pierwszy i drugi generują najwięcej zdarzeń, bo skrzynka rezerwacji przyjmuje wszystko. Dlatego intensywność nauki układamy odwrotnie do intuicji: częściej tam, gdzie jest ruch, dokładniej tam, gdzie jest pieniądz.

Co pokazuje pierwsza kampania, a czego z niej nie wyciągamy?

Pokazuje stan wyjścia i zwykle jest to wynik gorszy od oczekiwań kierownictwa. W obiekcie, w którym nikt wcześniej takiego programu nie prowadził, w wiadomość udającą portal rezerwacyjny klika zwykle znaczna część recepcji, i nie jest to powód do zdziwienia. Ta wiadomość wygląda dokładnie jak dziesiątki prawdziwych, które przychodzą każdego dnia.

Czego z pierwszej kampanii nie wyciągamy, to wniosków o konkretnych ludziach. Wynik zależy od stanowiska, od pory dnia i od tego, ile osób akurat stało przy ladzie. Raport pokazuje więc odsetki i podział na role, bez nazwisk, i tak samo rozmawiamy o nim z kierownictwem.

Druga liczba jest ważniejsza od pierwszej. Interesuje nas, ile osób zgłosiło próbę, bo brak kliknięcia jest bierny, a zgłoszenie daje czas na reakcję. Skrzynka zgłoszeniowa i prosty sposób przekazania wiadomości są więc częścią programu od pierwszego dnia, a nie dodatkiem po trzech kampaniach.

Co mierzymy między jednym sezonem a drugim?

Trzy rzeczy przez cały rok. Odsetek kliknięć w kampanii, odsetek osób, które zgłosiły próbę, oraz czas od wysłania do pierwszego zgłoszenia. Ostatnia liczba mówi najwięcej o realnej odporności, bo w prawdziwym zdarzeniu decyduje o tym, czy zdążymy zablokować nadawcę, zanim ta sama wiadomość dotrze do księgowości.

Wyniki zestawiamy z rytmem obiektu, a nie z kalendarzem. Kampania z lipca zawsze wypada gorzej od tej z lutego i nie jest to powód do niepokoju, tylko argument za tym, żeby przed sezonem powtórzyć instruktaż. Porównywanie miesięcy bez tej poprawki prowadzi do złych wniosków.

Raz w roku zestawiamy też te liczby z tym, co faktycznie przyszło pocztą. Jeśli filtr zatrzymał kilkadziesiąt prób podszycia się pod portal, a w kampanii scenariusz portalowy wypadł najgorzej, wiadomo, gdzie skierować następne szkolenie. Techniczną stronę tej samej sprawy prowadzi ochrona poczty i filtrowanie treści.

Czego szkoleniem nie da się załatwić?

Nie da się nim zastąpić zabezpieczeń technicznych i nikt nie powinien tego obiecywać. Wystarczająco dobrze przygotowana próba oszuka każdego, łącznie z osobą, która prowadzi ten program. Dlatego drugi składnik logowania, opisany w logowaniu wieloskładnikowym, jest warstwą działającą wtedy, gdy szkolenie zawiedzie.

Nie zmienia też procesów, w których ryzyko jest wbudowane. Jeśli zmiana numeru rachunku dostawcy odbywa się wyłącznie na podstawie wiadomości, żadne szkolenie tego nie naprawi, bo naprawić trzeba procedurę. Wskazujemy takie miejsca w raporcie i proponujemy zmianę, która zwykle sprowadza się do jednego telefonu więcej.

Nie odzyska wreszcie danych ani nie zatrzyma szyfrowania, które już się zaczęło. Od tego są kopie i przećwiczony powrót, opisane w ochronie przed ransomware. Termin pierwszej kampanii ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026