Phishing w firmie: jak przeszkolić pracowników, żeby nie klikali w podejrzane linki

Czy jednorazowe szkolenie z bezpieczeństwa wystarczy, żeby pracownicy przestali klikać w podejrzane linki? Doświadczenie wielu firm pokazuje, że nie. Phishing w firmie żeruje na pośpiechu, rutynie i zaufaniu, a tych nie wyłączy prezentacja raz w roku. Lepiej przyjrzeć się błędom, przez które szkolenia nie działają, i zbudować program, który zmienia nawyki.

Błąd 1: szkolenie raz w roku i spokój

Godzinny wykład z obowiązkowym podpisem na liście obecności spełnia wymóg formalny. Po kilku tygodniach niewiele z niego zostaje, bo ataki się zmieniają, a ludzie zapominają szczegóły.

Lepiej działają krótkie i częste formy. Pięciominutowy materiał raz w miesiącu, przykład prawdziwej wiadomości, która trafiła do firmy, kilka zdań na firmowym komunikatorze. Regularność buduje odruch, a nie wiedzę na egzamin.

Błąd 2: abstrakcyjne przykłady

Wiadomość od „nigeryjskiego księcia” nikogo już nie nabierze. Współczesny phishing wygląda jak codzienna korespondencja: powiadomienie o przesyłce, faktura od dostawcy, prośba o akceptację dokumentu w chmurze, informacja o zablokowanej skrzynce.

Pokazuj przykłady dopasowane do działów. Księgowość dostaje fałszywe faktury i „zmianę numeru konta kontrahenta”, kadry CV z załącznikiem, a handlowcy zapytania ofertowe z linkiem do „specyfikacji”. Do zarządu trafiają prośby o pilny przelew, podszyte pod partnera biznesowego.

Błąd 3: karanie za kliknięcie

Pracownik, którego publicznie skrytykowano za kliknięcie, następnym razem nie przyzna się do błędu. A to szybkie zgłoszenie decyduje, czy skończy się na zmianie hasła, czy na przejęciu skrzynki i wysyłce fałszywych faktur do klientów.

Zasada powinna być jasna: zgłoszenie zawsze jest dobrym ruchem, także po kliknięciu. Dziękuj za każde, nawet jeśli wiadomość okazała się prawdziwa.

Błąd 4: brak prostej ścieżki zgłaszania

„Jak coś będzie podejrzane, dajcie znać” to za mało. Pracownik musi wiedzieć dokładnie, co zrobić: kliknąć przycisk „Zgłoś” w programie pocztowym, przesłać wiadomość jako załącznik na wskazany adres albo zadzwonić pod konkretny numer. Im mniej kroków, tym więcej zgłoszeń.

Zgłoszenia przydają się też administratorowi. Gdy trzy osoby dostały tę samą wiadomość, może ją usunąć ze wszystkich skrzynek i zablokować nadawcę, zanim kliknie czwarta.

Błąd 5: tylko teoria, bez ćwiczeń

Symulowane kampanie phishingowe, czyli kontrolowane wysyłki fałszywych wiadomości, sprawdzają, jak ludzie reagują w zwykły dzień pracy. Muszą być prowadzone uczciwie: z wiedzą zarządu, bez wyśmiewania, z krótkim materiałem edukacyjnym wyświetlanym po kliknięciu.

Wyniki mierz w czasie. Liczy się odsetek kliknięć, ale też odsetek zgłoszeń i to, jak szybko pierwsza osoba zgłosiła wiadomość.

Program szkoleń z phishingu na pierwszy kwartał

1. W pierwszym tygodniu krótkie spotkanie lub nagranie dla wszystkich: po co to robimy, jak zgłaszać i dlaczego zgłoszenie nigdy nie jest powodem do wstydu.
2. W drugim tygodniu uruchomienie przycisku lub adresu do zgłoszeń i sprawdzenie, czy działa.
3. W tygodniach 3–4 pierwsza symulowana kampania, prosta, oparta na typowym powiadomieniu o przesyłce lub dokumencie.
4. W drugim miesiącu materiały dla poszczególnych działów, przede wszystkim dla księgowości i osób z prawem do przelewów.
5. W trzecim miesiącu druga, trudniejsza kampania i omówienie wyników na forum, bez nazwisk.

Potem wystarczy rytm miesięcznych mikroszkoleń i kampanii co kwartał lub co pół roku. Zaczynaj od osób z dostępem do pieniędzy i danych, czyli od księgowości, kadr, zarządu i administratorów. Do nich trafiają najstaranniej przygotowane ataki.

Pięć sygnałów ostrzegawczych, które każdy powinien znać

• presja czasu: „pilne”, „do końca dnia”, „konto zostanie zablokowane”,
• prośba o zalogowanie się przez link w wiadomości, a nie przez samodzielne wejście na stronę,
• adres nadawcy lub domena linku różniąca się drobnym szczegółem od prawdziwej,
• zmiana numeru rachunku bankowego przekazana mailem,
• nietypowa prośba od przełożonego, który „jest na spotkaniu i nie może rozmawiać”.

Przy zmianie numeru konta obowiązuje prosta reguła: weryfikacja telefoniczna pod znanym wcześniej numerem, nigdy pod numerem z wiadomości. Wpisz ją do procedur działu finansowego, obok zasad opisanych w tekście o obiegu i akceptacji faktur kosztowych.

Faktura od „stałego dostawcy” z nowym numerem konta

Typowy scenariusz w firmie dystrybucyjnej wygląda tak. Księgowa dostaje wiadomość od „stałego dostawcy” z informacją o zmianie rachunku bankowego i nową fakturą w załączniku. Domena nadawcy różni się jedną literą. Bez przygotowania taki przelew najpewniej by wyszedł. Jeśli jednak firma ma za sobą krótkie szkolenie z przykładem dokładnie takiego ataku i zasadę weryfikacji telefonicznej, księgowa dzwoni do dostawcy pod numer z umowy. Dostawca o żadnej zmianie nie wie.

Wiadomość zostaje zgłoszona, a administrator znajduje podobną w dwóch innych skrzynkach i usuwa ją, zanim ktokolwiek zareaguje. Szkolenie trwało kwadrans, procedura mieści się w jednym zdaniu.

Jak mierzyć efekty

W kolejnych kampaniach śledź kilka prostych wskaźników: odsetek osób, które kliknęły, odsetek tych, które podały dane, odsetek zgłoszeń i czas do pierwszego zgłoszenia. Spadek kliknięć jest ważny, ale wzrost zgłoszeń mówi więcej o kulturze bezpieczeństwa w firmie.

Filtry poczty, SPF, DKIM, DMARC i MFA

Nawet najlepiej przeszkolony zespół czasem się pomyli. Dlatego szkolenia idą w parze z zabezpieczeniami technicznymi: filtrowaniem poczty, poprawnie skonfigurowanymi rekordami SPF, DKIM i DMARC dla firmowej domeny oraz uwierzytelnianiem wieloskładnikowym. Przy MFA samo wykradzione hasło nie wystarczy do przejęcia konta. Dobrą bazą przykładów i ostrzeżeń są komunikaty publikowane przez CERT Polska.

Program szkoleń najlepiej planować razem z zabezpieczeniem poczty. Porozmawiajmy o obsłudze IT Twojej firmy, a przygotujemy jedno i drugie.

Pytania, które słyszymy przy planowaniu symulacji

Czy symulowany phishing jest zgodny z prawem pracy?

Kampanie edukacyjne są powszechnie stosowane. Poinformuj jednak pracowników, że firma prowadzi takie ćwiczenia, i nie wykorzystuj wyników do sankcji dyscyplinarnych. Przy przetwarzaniu wyników pamiętaj o zasadach ochrony danych osobowych.

Jak często prowadzić symulacje?

W większości firm wystarczy co kwartał lub co pół roku, z różnym poziomem trudności. Zbyt częste kampanie zniechęcają, zbyt rzadkie nie budują nawyku.

Co zrobić, gdy pracownik podał hasło na fałszywej stronie?

Natychmiast zmienić hasło, wylogować wszystkie aktywne sesje, sprawdzić reguły przekierowania w skrzynce i logi logowania. Jeśli to samo hasło działało gdzie indziej, zmienić je również tam.