Wprowadzenie do problemu / definicja
Phishing pozostaje jednym z najczęściej wykorzystywanych wektorów ataku na organizacje, ponieważ łączy niskie koszty prowadzenia kampanii z wysoką skutecznością socjotechniki. W wielu firmach poziom dojrzałości szkoleń security awareness nadal ocenia się głównie przez pryzmat współczynnika kliknięć w linki z symulowanych wiadomości phishingowych. Najnowsze badania pokazują jednak, że taki sposób pomiaru jest zbyt uproszczony i może prowadzić do błędnych wniosków o rzeczywistej odporności organizacji.
W skrócie
Analiza 2,47 mln symulowanych prób phishingu przeprowadzonych w okresie od 1 czerwca 2025 r. do 31 maja 2026 r. na grupie ponad 123 tys. pracowników z przeszło 1,2 tys. organizacji wskazuje, że samo mierzenie kliknięć nie oddaje pełnego poziomu ryzyka. Znacznie ważniejsze jest to, czy użytkownik po interakcji z wiadomością ujawnia poświadczenia, przerywa proces czy zgłasza incydent do zespołu bezpieczeństwa.
Wyniki badania pokazują również istotne różnice pomiędzy branżami i zespołami. Co istotne, część pracowników technicznych osiągała słabsze wyniki, niż można by oczekiwać na podstawie ich kompetencji zawodowych, co podważa powszechne założenia dotyczące profili ryzyka wewnątrz organizacji.
Kontekst / historia
Symulacje phishingowe od lat są podstawowym narzędziem oceny skuteczności programów szkoleniowych z zakresu cyberbezpieczeństwa. Ich popularność wynika z prostoty wdrożenia, łatwości raportowania wyników oraz możliwości porównywania poszczególnych działów lub lokalizacji. Problem polega jednak na tym, że pojedynczy wskaźnik kliknięć nie odzwierciedla całego łańcucha decyzyjnego użytkownika.
Kliknięcie nie musi jeszcze oznaczać incydentu bezpieczeństwa. Realne zagrożenie pojawia się dopiero wtedy, gdy użytkownik wykona kolejny krok, na przykład wpisze hasło, poda kod MFA, pobierze plik lub prześle poufne dane. Z perspektywy obrońcy to właśnie te zachowania powinny stanowić podstawę oceny skuteczności szkoleń i dojrzałości organizacji.
Badanie zwróciło szczególną uwagę na trzy elementy: kliknięcie, ujawnienie poświadczeń oraz zgłoszenie wiadomości. Taki model jest bliższy rzeczywistemu przebiegowi ataku phishingowego i lepiej pokazuje, czy pracownik potrafi przerwać niebezpieczną interakcję oraz uruchomić procedury obronne.
Analiza techniczna
Badanie objęło 12 miesięcy symulowanych kampanii phishingowych prowadzonych różnymi kanałami, w tym pocztą elektroniczną i komunikacją korporacyjną. Scenariusze były dopasowywane do roli odbiorców oraz ich wcześniejszych reakcji, co zwiększało realizm testów i ograniczało wartość jednorazowych, statycznych pomiarów.
Najważniejszy wniosek techniczny jest jasny: click rate nie powinien być traktowany jako główny miernik skuteczności programu awareness. Użytkownik może kliknąć link z ciekawości, po czym rozpoznać próbę oszustwa i przerwać proces. Może też przejść dalej i przekazać napastnikowi dane logowania. Te dwa scenariusze mają całkowicie odmienny wpływ na poziom ryzyka.
Badanie wykazało, że przy pierwszej symulacji więcej użytkowników zgłaszało wiadomość niż w nią klikało, ale mimo to 1,57% badanych ujawniało poświadczenia. W praktyce oznacza to, że nawet w organizacji zatrudniającej 500 osób można statystycznie oczekiwać kilku pracowników skłonnych do przekazania danych logowania podczas odpowiednio przygotowanej kampanii.
Widoczne były także wyraźne różnice sektorowe i zespołowe. Około 30% pracowników rozwoju technicznego i IT kliknęło przynajmniej jedną symulację, podczas gdy najwyższą odporność zaobserwowano w sektorze usług finansowych. Jednocześnie udział osób klikających wahał się od około 26% w obszarach projektowych do ponad 41% w branży budowlanej, co pokazuje, że organizacje nie powinny zakładać jednego, uniwersalnego profilu ryzyka phishingowego.
Interesujący był również efekt czasu. W pierwszych sześciu miesiącach programu wskaźniki kliknięć i ujawniania poświadczeń rosły, a dopiero później zaczynały spadać. To sugeruje, że jednorazowe kampanie testowe nie wystarczają do oceny dojrzałości użytkowników. Program awareness musi być długofalowy, iteracyjny i analizowany w ujęciu trendów, a nie pojedynczych wyników.
Konsekwencje / ryzyko
Największym zagrożeniem wynikającym z tych ustaleń jest błędna interpretacja wyników testów phishingowych przez zespoły bezpieczeństwa i kadrę zarządzającą. Niski współczynnik kliknięć może wyglądać korzystnie w raportach, ale nie musi oznaczać faktycznej odporności, jeśli organizacja nie mierzy skali wycieków poświadczeń i poziomu zgłaszalności incydentów.
Fałszywe poczucie bezpieczeństwa może prowadzić do ograniczania inwestycji w szkolenia, niedostatecznego wsparcia dla zespołów SOC i IR oraz pomijania słabszych punktów w konkretnych działach. Uśrednianie wyników dla całej organizacji bywa szczególnie niebezpieczne, ponieważ może ukrywać podatności w grupach mających dostęp do systemów krytycznych lub danych o wysokiej wartości.
Z biznesowego punktu widzenia skuteczny phishing nadal może prowadzić do przejęcia kont, oszustw BEC, rozprzestrzeniania malware, kradzieży danych, a także późniejszych etapów ataku, w tym ransomware. Jeśli metryki bezpieczeństwa nie odzwierciedlają tych rzeczywistych ścieżek kompromitacji, organizacja podejmuje decyzje w oparciu o niepełny obraz ryzyka.
Rekomendacje
Organizacje powinny odejść od oceniania skuteczności testów phishingowych wyłącznie na podstawie kliknięć. Zestaw kluczowych metryk powinien obejmować zarówno click rate, jak i credential submission rate, report rate, czas do zgłoszenia, udział użytkowników wielokrotnie podatnych oraz trendy zmian w dłuższym okresie.
- Segmentować wyniki według działów, ról, poziomu uprzywilejowania i dostępu do zasobów krytycznych.
- Nie zakładać automatycznie, że pracownicy techniczni stanowią grupę niskiego ryzyka.
- Prowadzić programy szkoleniowe w sposób ciągły i adaptacyjny, a nie jednorazowy.
- Łączyć symulacje z krótkimi szkoleniami kontekstowymi i natychmiastową informacją zwrotną.
- Wzmacniać warstwę techniczną poprzez MFA odporne na phishing, ochronę poczty, filtrowanie URL, sandboxing załączników i monitorowanie anomalii logowania.
Ważne jest również odpowiednie raportowanie do zarządu. Zamiast koncentrować się na pytaniu, ilu użytkowników kliknęło, lepiej analizować, ilu ujawniło poświadczenia, jak szybko incydent został zgłoszony i czy odporność rośnie w dłuższej perspektywie. To metryki znacznie bliższe realnemu ryzyku operacyjnemu i biznesowemu.
Podsumowanie
Najnowsze badania nad phishingiem pokazują, że tradycyjne testy świadomości bezpieczeństwa wymagają istotnej rewizji. Kliknięcie w link nie daje pełnego obrazu zagrożenia, a nadmierne skupienie na jednym wskaźniku może zniekształcać ocenę odporności organizacji na ataki socjotechniczne.
Dla zespołów cyberbezpieczeństwa oznacza to potrzebę dojrzalszego modelu pomiarowego, lepszej segmentacji ryzyka oraz długoterminowych programów szkoleniowych wspartych kontrolami technicznymi. Tylko takie podejście pozwala realistycznie ocenić ekspozycję na phishing i ograniczyć ryzyko kompromitacji kont.