Szkolenia i testy phishingowe Poznań

Kogo trzeba nauczyć w firmie, przez którą przechodzi sto osób rocznie

Handel i logistyka kontraktowa mają tę cechę, że lista pracowników z marca i lista z listopada pokrywają się w połowie. Do magazynu wchodzą osoby z agencji, do obsługi zamówień dochodzą ludzie na sezon, część zostaje na stałe, część odchodzi po ośmiu tygodniach.

Program szkoleń zbudowany wokół jednego wydarzenia w roku mija się z połową zespołu. Osoba przyjęta w październiku usłyszy o phishingu po raz pierwszy w kwietniu, o ile do kwietnia zostanie. W tym samym październiku dostanie za to dwieście wiadomości z zamówieniami, fakturami i awizacjami od przewoźników.

Dlatego naukę wiążemy nie z kalendarzem, tylko z momentem zatrudnienia, i traktujemy ją jak każdy inny element wdrożenia nowej osoby.

Czego uczyć w pierwszym tygodniu, a czego w trzecim miesiącu

Moment	Czego uczymy	Jak sprawdzamy, że zadziałało
Pierwszy tydzień	jak zgłosić podejrzaną wiadomość i komu	użycie przycisku zgłoszenia w pierwszym miesiącu
Pierwszy tydzień	że dział IT nigdy nie prosi o hasło	reakcja na scenariusz telefoniczny
Pierwszy miesiąc	jak wygląda fałszywe zamówienie i faktura	wynik pierwszej kampanii po zatrudnieniu
Trzeci miesiąc	podszywanie się pod przełożonego	scenariusz z pilną prośbą o działanie
Po pół roku	domeny różniące się jedną literą	rozpoznanie w kampanii z podobnym adresem
Osoby przy płatnościach	zasada potwierdzania zmiany rachunku	test z podmienionym numerem konta
Kierownicy zmian	jak zareagować, gdy zgłasza pracownik	czas od zgłoszenia do przekazania dalej

Wiersz pierwszy jest najważniejszy i najczęściej pomijany. Nowa osoba nie musi umieć rozpoznać każdej sztuczki. Musi wiedzieć, że w razie wątpliwości jest przycisk i że nikt jej za to nie skrytykuje. Reszta buduje się przez kolejne miesiące.

Czego dowiaduje się firma po pierwszej rundzie

Pierwsza runda mierzy stan wyjściowy i prawie zawsze zaskakuje zarząd w dwie strony. Klika więcej osób, niż ktokolwiek zakładał, i klikają nie ci, których typowano.

W firmach handlowych najlepszy wynik ma zwykle księgowość, bo ogląda faktury codziennie i najszybciej wyłapuje, że w tej jednej coś nie gra. Najsłabszy mają działy, które dopiero rosną i przyjmują ludzi w tempie uniemożliwiającym jakiekolwiek wdrożenie: obsługa zamówień w szczycie i nowo otwarty punkt.

Wynik nie służy do oceniania ludzi. Służy do ustalenia, gdzie proces przyjmowania pracowników nie zawiera żadnej informacji o bezpieczeństwie, a to jest problem organizacyjny, nie kwestia czyjejś uwagi.

Co robimy z zespołem, który nie ma służbowej skrzynki

Połowa magazynu nie dostaje wiadomości firmowych, więc kampania mailowa ich nie obejmuje. Kontakt z atakującym odbywa się inaczej: telefon od rzekomego działu IT, wiadomość na prywatny numer z prośbą o potwierdzenie zmiany, ktoś przy rampie podający się za serwis i proszący o dostęp do stanowiska.

Dla takich zespołów prowadzimy krótkie zajęcia przy zmianie, na kilku prawdziwych przypadkach z tej samej branży, trwające pół godziny. Mierzymy wtedy co innego niż klikalność: liczbę telefonów z pytaniem, które trafiają do działu IT po podejrzanej rozmowie. Zero takich telefonów nie znaczy, że nikt nie dzwonił do firmy. Znaczy, że nikt nie uznał tego za coś wartego zgłoszenia.

Jak przebiega jedna runda kampanii

Przygotowanie zajmuje tydzień: scenariusz, dobór grup, ustalenie wyjątków i uzgodnienie, czy któryś dział ma w tym czasie zamknięcie miesiąca. Wysyłka idzie partiami, żeby odbiorcy nie ostrzegli się nawzajem przy jednym biurku. Wyjaśnienie po kliknięciu pojawia się natychmiast. Zgłoszenia zbieramy przez trzy dni, raport wysyłamy tydzień później.

Raport ma dwie liczby i jeden wniosek. Klikalność mówi, ilu odbiorców dało się przekonać. Zgłaszalność mówi, ilu zareagowało poprawnie, i jest ważniejsza, bo w prawdziwym zdarzeniu liczy się czas do pierwszego sygnału. Wniosek dotyczy kolejnego scenariusza.

Co widzi zarząd, a czego nie zobaczy nigdy

Zarząd widzi trend obu wskaźników, podział na działy tam, gdzie działy są dostatecznie duże, oraz czas do pierwszego zgłoszenia. Nie widzi listy nazwisk i nie dostanie jej także wtedy, gdy o nią poprosi.

Powód jest praktyczny. W chwili, w której lista trafia do przełożonego, osoba, która za pół roku kliknie w coś naprawdę groźnego, nie powie o tym nikomu i będzie liczyć, że nic się nie stało. Ta cisza kosztuje więcej niż wszystkie kliknięcia w kampaniach razem wzięte.

Warstwę techniczną po stronie skrzynki opisuje ochrona poczty, a to, co chroni konto po wycieku hasła, to logowanie wieloskładnikowe. Cykliczne szkolenia są też jednym z wymagań, które stawia NIS 2, a wszystkie warstwy razem obejmuje bezpieczeństwo IT dla firm.

Treść sprawdzona i zaktualizowana: 31 lipca 2026