Symulacja phishingu w firmie: jak działa i co mierzyć

Symulacja phishingu w firmie to kontrolowane ćwiczenie, w którym pracownicy otrzymują bezpieczną wiadomość przypominającą prawdziwy atak. Celem nie jest przyłapanie ludzi ani stworzenie rankingu „najsłabszych pracowników”. Dobrze zaprojektowana symulacja sprawdza, czy organizacja potrafi rozpoznać podejrzaną prośbę, zweryfikować ją innym kanałem, szybko zgłosić zdarzenie i rozpocząć reakcję.

Sama liczba kliknięć nie odpowiada na te pytania. Kampania z oczywistymi literówkami i obcą domeną może dać niski wynik, ale nie przygotuje zespołu na przejęty wątek fakturowy, prawdziwy formularz Microsoft 365 albo telefon po wiadomości. Z kolei bardzo trudny scenariusz bez omówienia może tylko obniżyć zaufanie.

Najlepsza symulacja phishingowa łączy realistyczny, ale bezpieczny scenariusz z ochroną prywatności, jasnym wsparciem pracowników i planem poprawy procesu. Mierzy nie tylko kliknięcia, lecz przede wszystkim zgłoszenia i decyzje.

Jak działa symulacja phishingu krok po kroku

1. Ustalenie celu

Najpierw firma określa, co chce sprawdzić. Może to być rozpoznawanie fałszywej strony logowania, weryfikacja zmiany rachunku, reakcja na kod QR, nietypowy dokument albo zgłoszenie wiadomości z przejętego konta. Cel powinien odpowiadać realnemu ryzyku organizacji.

2. Wybór grupy i scenariusza

Scenariusz musi pasować do odbiorcy. Pracownicy finansów podejmują inne decyzje niż HR, helpdesk, deweloperzy czy zarząd. Wiadomość może korzystać z typowego procesu, ale nie powinna ujawniać prawdziwych danych wrażliwych, wykorzystywać osobistej tragedii ani naruszać uzgodnionych granic.

3. Uzgodnienie zabezpieczeń

Przed kampanią trzeba określić, jakie dane będą zbierane, kto zobaczy wynik, jak długo dane będą przechowywane i jak pracownik otrzyma pomoc. Bezpieczna landing page nie potrzebuje prawdziwego hasła, tokenu MFA ani danych karty. Wystarczy zarejestrować uzgodnione działanie i od razu wyjaśnić ćwiczenie.

4. Kontrolowana wysyłka

Kampania powinna mieć właściciela, zatwierdzone okno czasowe i kontakt awaryjny. Zespół IT, helpdesk lub SOC musi wiedzieć, jak odróżnić ćwiczenie od prawdziwego ataku, nie ujawniając scenariusza uczestnikom przed czasem.

5. Informacja zwrotna

Osoba, która kliknęła, powinna zobaczyć krótkie wyjaśnienie sygnałów i prawidłowej reakcji. Osoba, która zgłosiła wiadomość, także potrzebuje potwierdzenia. Brak odpowiedzi na dobre zgłoszenie szybko uczy pracowników, że raportowanie nie ma sensu.

6. Analiza i poprawa

Raport powinien pokazywać wynik w kontekście trudności scenariusza, zachowanie procesu zgłoszeń oraz luki techniczne i organizacyjne. Kampania kończy się zadaniami: poprawą przycisku zgłoszenia, procedury płatniczej, konfiguracji poczty, MFA albo krótkim treningiem konkretnej grupy.

Przykładowe scenariusze phishingowe dla firmy

Dobry katalog nie ogranicza się do „kliknij link do paczki”. W zależności od ryzyka można wykorzystać:

fałszywe udostępnienie dokumentu w Microsoft 365 lub Google Workspace;
wiadomość o wygasającej sesji albo nieoczekiwanym MFA;
zmianę numeru rachunku kontrahenta;
kod QR prowadzący do logowania;
prośbę helpdesku o instalację lub udostępnienie ekranu;
wiadomość rekrutacyjną z plikiem dla HR;
alert z systemu używanego przez zespół techniczny;
prośbę o pilne dane lub płatność podpisaną nazwiskiem przełożonego.

Scenariusz nie powinien uczyć tylko szukania literówek. Współczesny phishing może korzystać z poprawnego języka i prawdziwego kontekstu. Dlatego ćwiczenie powinno koncentrować się na żądanej czynności i sposobie niezależnej weryfikacji. Więcej warstw obrony opisujemy w artykule phishing w 2026 roku: dlaczego szkolenia to za mało.

Jakie metryki mierzyć w kampanii phishingowej

Wskaźnik zgłoszeń

Pokazuje, jaka część odbiorców poinformowała właściwy zespół. Jest bardziej użyteczny niż sam brak kliknięcia, ponieważ tworzy szansę na ochronę innych osób.

Czas do pierwszego zgłoszenia

Im szybciej pojawia się sygnał, tym więcej czasu ma firma na zablokowanie domeny, unieważnienie sesji i ostrzeżenie zespołu. Mierz medianę i rozkład, a nie tylko najlepszy wynik.

Jakość zgłoszenia

Czy pracownik użył prawidłowego kanału? Czy wiadomość została przekazana jako załącznik albo zgłoszona przyciskiem zachowującym nagłówki? Czy reakcja nie polegała na odpowiadaniu napastnikowi?

Działania ryzykowne

W zależności od celu można rejestrować otwarcie, kliknięcie, próbę wprowadzenia danych lub uruchomienie procedury płatniczej. Nie trzeba przechowywać wpisanej treści. Zwykle wystarcza informacja, że formularz został wysłany.

Zgłoszenie własnej pomyłki

To jeden z najważniejszych sygnałów kultury bezpieczeństwa. Osoba, która po kliknięciu szybko informuje firmę, może ograniczyć incydent. Wstyd i kara zwiększają ryzyko ukrywania zdarzeń.

Zamknięcie działań naprawczych

Kampania ma wartość wtedy, gdy prowadzi do zmiany. Mierz liczbę rekomendacji z właścicielem, terminem i potwierdzonym wdrożeniem.

Dlaczego sam click rate bywa mylący

NIST stworzył Phish Scale, aby oceniać trudność wykrycia wiadomości przez człowieka. Metoda uwzględnia cechy wiadomości i kontekst odbiorcy. Badania NIST pokazują, że pretekst zgodny z codzienną pracą może być trudniejszy do wykrycia, dlatego różnice w click rate nie muszą oznaczać poprawy lub pogorszenia pracowników.

Praktyczny wniosek jest prosty: nie porównuj wyniku kampanii „reset hasła” z kampanią „zmiana faktury” bez oceny trudności. Nie porównuj też bezpośrednio dwóch działów, jeśli jeden dostał ogólną wiadomość, a drugi scenariusz idealnie dopasowany do swojej pracy.

Uwaga: strona projektu NIST wskazuje warunki licencyjne dotyczące użycia Phish Scale, w tym osobne zasady zastosowań komercyjnych. Organizacja lub dostawca powinien sprawdzić aktualne warunki przed użyciem metody jako elementu płatnej usługi.

Bezpieczna symulacja phishingowa a prywatność pracowników

Zakres danych i podstawę ich przetwarzania trzeba ustalić z osobą odpowiedzialną za prywatność, HR lub prawnikiem właściwym dla organizacji. Ten artykuł nie stanowi porady prawnej. Niezależnie od modelu formalnego warto zastosować kilka zasad:

zbieraj minimalną ilość danych potrzebną do celu ćwiczenia;
nie przechowuj wpisywanych haseł, kodów ani danych osobowych;
ogranicz dostęp do wyników;
ustal retencję przed startem;
raportuj zarządczo wyniki grup i procesów;
zapewnij pracownikowi jasną informację zwrotną i kanał pytań;
nie wykorzystuj kampanii do publicznego zawstydzania.

CISA w materiałach awareness rekomenduje nagradzanie pozytywnych zachowań zamiast karania za błędy oraz przekazanie po symulacji poprawnej odpowiedzi i omówienie zastosowanych trików. To dobry fundament kultury, w której prawdziwe pomyłki są zgłaszane szybko.

Jak często robić symulację phishingu

Częstotliwość powinna wynikać z celu, ryzyka i zdolności do wyciągania wniosków. Dla wielu organizacji rozsądny będzie cykl kwartalny lub kilka mniejszych kampanii rocznie, ale nie jest to uniwersalna norma. Zespół finansów po zmianie procedury może potrzebować szybszego retestu, a stabilna grupa — innego scenariusza po kilku miesiącach.

Nie uruchamiaj kolejnej kampanii tylko dlatego, że kalendarz tak mówi. Najpierw zamknij wnioski z poprzedniej. Ciągłe testowanie bez informacji zwrotnej tworzy zmęczenie i nieufność.

Jak wybrać dostawcę symulacji phishingowej

Zapytaj dostawcę:

Jak powstaje scenariusz i kto go zatwierdza?
Jakie dane są zbierane i gdzie przechowywane?
Czy landing page zapisuje hasła lub tokeny?
Jak oceniana jest trudność wiadomości?
Czy raport obejmuje zgłoszenia i czas reakcji?
Jak dostawca wspiera helpdesk i SOC podczas kampanii?
Co zobaczy osoba, która kliknie lub zgłosi wiadomość?
Jakie rekomendacje otrzyma organizacja?
Czy wynik prowadzi do retestu i działań naprawczych?

Breachroad łączy kontrolowany scenariusz z krótkim szkoleniem, pomiarem zachowania i warsztatem po kampanii. Zobacz symulacje phishingowe i szkolenia cyberbezpieczeństwa dla firm.

Fakty źródłowe i rekomendacje Breachroad

NIST TN 2276 opisuje Phish Scale jako metodę dodającą kontekst trudności do wyników ćwiczeń phishingowych. CISA rekomenduje pozytywne wzmacnianie, brak karania za błędy i omówienie scenariusza po ćwiczeniu. Model sześciu etapów, zestaw metryk, zasady prywatności i pytania do dostawcy są rekomendacjami Breachroad.

Jeżeli ktoś kliknął w prawdziwą wiadomość, nie czekaj na raport z kampanii — skorzystaj z planu pierwszej godziny po phishingu.

FAQ: symulacja phishingu w firmie

Czy pracownicy powinni wiedzieć o symulacji?

Organizacja powinna uzgodnić zasady programu i poinformować o jego istnieniu zgodnie z własnymi wymaganiami. Dokładny termin i scenariusz zwykle pozostają niejawne, aby ćwiczenie mierzyło naturalną reakcję.

Czy symulacja może zbierać hasła?

Bezpieczny program nie potrzebuje prawdziwych haseł ani tokenów. Wystarcza zapis uzgodnionego działania, np. wysłania formularza, bez zachowywania jego treści.

Jaki wynik kliknięć jest dobry?

Nie ma uniwersalnego progu. Wynik zależy od trudności i kontekstu wiadomości. Oceniaj trend dla porównywalnych scenariuszy razem ze wskaźnikiem zgłoszeń i czasem reakcji.

Czy symulacja zastępuje szkolenie?

Nie. Symulacja pokazuje zachowanie i luki procesu. Szkolenie wyjaśnia decyzje, a kontrole techniczne ograniczają skutki błędu. Najlepszy program łączy wszystkie trzy elementy.

Źródła pierwotne: NIST TN 2276 — Phish Scale User Guide, NIST — Human-Centered Cybersecurity: Phishing, CISA — Cybersecurity Awareness Month Toolkit.