Wprowadzenie do problemu / definicja
Symulacje phishingowe od lat są jednym z podstawowych elementów programów security awareness. W wielu organizacjach ich skuteczność ocenia się głównie na podstawie wskaźnika kliknięć w fałszywe wiadomości lub linki. Najnowsze badania pokazują jednak, że taki model jest zbyt uproszczony i może prowadzić do błędnych wniosków na temat realnej odporności organizacji na ataki phishingowe.
Samo kliknięcie nie zawsze oznacza jeszcze incydent bezpieczeństwa. Znacznie ważniejsze jest to, czy użytkownik po interakcji z wiadomością ujawnia dane uwierzytelniające, uruchamia złośliwą zawartość albo zgłasza podejrzaną wiadomość odpowiednim zespołom.
W skrócie
Analiza oparta na 2,47 mln symulowanych wiadomości phishingowych wysłanych do ponad 123 tys. pracowników w przeszło 1,2 tys. organizacji wskazuje, że sam click rate nie odzwierciedla faktycznego poziomu ryzyka. Badacze uwzględnili również wyciek poświadczeń oraz zgłaszanie podejrzanych wiadomości, dzięki czemu uzyskali pełniejszy obraz zachowań użytkowników.
- Sam wskaźnik kliknięć nie pokazuje pełnego ryzyka.
- Kluczowe znaczenie mają także przekazanie poświadczeń i zgłoszenie wiadomości.
- Wyniki różnią się istotnie między branżami i zespołami.
- Część pracowników technicznych wypadła słabiej, niż często się zakłada.
Kontekst / historia
Przez lata szkolenia antyphishingowe były projektowane wokół prostego modelu: użytkownik kliknął albo nie kliknął. Taki wskaźnik był wygodny, łatwy do porównywania i atrakcyjny z perspektywy raportowania do kadry zarządzającej. Z czasem stał się standardowym KPI dla wielu zespołów bezpieczeństwa i dostawców platform szkoleniowych.
Problem polega na tym, że kliknięcie nie musi oznaczać kompromitacji. Użytkownik może otworzyć link, rozpoznać próbę oszustwa i zakończyć interakcję bez szkody dla organizacji. Z drugiej strony pojedynczy przypadek wpisania hasła do fałszywego formularza może wygenerować ryzyko znacznie większe niż wiele samych kliknięć. To właśnie dlatego tradycyjny model oceny podatności na phishing jest coraz częściej krytykowany jako zbyt powierzchowny.
Analiza techniczna
Badanie objęło kampanie realizowane przez 12 miesięcy, od 1 czerwca 2025 r. do 31 maja 2026 r. Symulacje były personalizowane z użyciem platformy wspieranej przez AI i dostarczane różnymi kanałami, w tym e-mailem oraz komunikatorem korporacyjnym. Scenariusze dopasowywano do roli odbiorcy oraz jego wcześniejszych reakcji.
Najważniejszym elementem metodologii było jednoczesne śledzenie trzech zachowań użytkownika:
- kliknięcia w wiadomość lub link,
- przekazania poświadczeń lub innych danych,
- zgłoszenia podejrzanej wiadomości.
Takie podejście lepiej odzwierciedla rzeczywisty łańcuch zdarzeń podczas ataku phishingowego. Z perspektywy technicznej realne zagrożenie pojawia się dopiero wtedy, gdy użytkownik podejmie kolejne działania prowadzące do naruszenia bezpieczeństwa.
- wprowadzi login i hasło do fałszywego panelu,
- prześle poufne dane,
- zatwierdzi oszukańcze żądanie MFA,
- uruchomi złośliwy załącznik lub skrypt.
W badaniu odnotowano, że 30% pracowników działów rozwoju technicznego i IT kliknęło co najmniej jedną symulowaną wiadomość. Jednocześnie niemal 20% pracowników sektora budownictwa i nieruchomości przekazało poświadczenia po skutecznym phishingu. Najlepsze wyniki osiągnął sektor finansowy, który wypadał korzystniej pod względem kliknięć, wycieków poświadczeń i zgłoszeń.
Istotny był także wymiar czasowy programu. W pierwszych miesiącach poziom kliknięć i wycieków danych potrafił rosnąć, zanim zaczął spadać. Oznacza to, że krótkoterminowe pomiary mogą być mylące i nie powinny być uznawane za ostateczny dowód skuteczności programu szkoleniowego. Pod koniec 12-miesięcznego cyklu użytkownicy zgłaszali podejrzane wiadomości niemal dwukrotnie częściej, niż w nie klikali.
Konsekwencje / ryzyko
Najważniejszym ryzykiem dla organizacji jest fałszywe poczucie bezpieczeństwa. Niski wskaźnik kliknięć może dobrze wyglądać w raportach, ale nie musi oznaczać, że pracownicy rzeczywiście potrafią powstrzymać atak lub odpowiednio wcześnie zgłosić incydent.
W praktyce może to prowadzić do kilku poważnych problemów:
- niedoszacowania ryzyka przejęcia kont,
- błędnego projektowania kampanii szkoleniowych,
- nieprawidłowej priorytetyzacji zespołów wysokiego ryzyka,
- przeceniania odporności personelu technicznego,
- opóźnionego wykrywania rzeczywistych prób phishingu.
Wyniki sugerują również, że różnice występują nie tylko między branżami, ale także między zespołami w obrębie tej samej organizacji. To podważa sens uniwersalnych szkoleń dla wszystkich pracowników i wskazuje na potrzebę bardziej precyzyjnego dopasowania programów edukacyjnych do profilu ryzyka.
Rekomendacje
Organizacje powinny odejść od jednowymiarowej oceny opartej wyłącznie na click rate i wdrożyć bardziej dojrzały model analizy odporności na phishing.
- Mierzyć cały ciąg zachowań użytkownika, a nie tylko pierwszy etap interakcji.
- Raportować kliknięcia, przekazanie danych, zgłoszenia oraz czas reakcji.
- Segmentować kampanie według ról, działów i profili ryzyka.
- Prowadzić testy długofalowo i analizować trendy zamiast pojedynczych wyników.
- Promować zachowania obronne, zwłaszcza szybkie zgłaszanie podejrzanych wiadomości.
- Łączyć wyniki symulacji z ochroną tożsamości, MFA odpornym na phishing, wykrywaniem anomalii logowania i politykami haseł.
Szczególnie ważne jest wspieranie operacyjnej czujności pracowników. Z punktu widzenia SOC i zespołów reagowania szybkie zgłoszenie kampanii phishingowej może ograniczyć skalę incydentu skuteczniej niż sama poprawa wskaźnika kliknięć.
Podsumowanie
Najważniejszy wniosek z badania jest prosty: kliknięcie nie jest pełnym miernikiem ryzyka phishingowego. O rzeczywistej odporności organizacji decyduje to, czy użytkownik po interakcji z wiadomością ujawnia dane, przerywa atak, czy zgłasza incydent.
Dla zespołów bezpieczeństwa oznacza to konieczność dojrzalszego podejścia do security awareness, opartego na analizie zachowań, segmentacji ryzyka i długoterminowym doskonaleniu programu. W przeciwnym razie organizacja może optymalizować wskaźniki, które dobrze wyglądają w prezentacjach, ale nie zapewniają skutecznej ochrony przed realnym phishingiem.
Źródła
- Phishing Research Challenges Conventional Security Awareness Testing — https://www.securityweek.com/phishing-research-challenges-conventional-security-awareness-testing/