Un singur click greșit poate opri toată firma.
Nu e nevoie de un hacker genial. E nevoie doar de un angajat grăbit și de un e-mail care pare de la un furnizor, de la bancă sau chiar de la director. De aceea, noi testăm angajații înaintea hackerilor.
Confirmă contul
Un e-mail. Trei măști.
Atacatorii nu sparg firewall-ul. Îl ocolesc. Se dau drept cineva în care angajatul are deja încredere și creează o urgență care îl face să acționeze înainte să gândească.
Un furnizor cunoscut „și-a schimbat contul bancar”. Factura arată perfect, logo-ul e corect, doar IBAN-ul e al atacatorului. Ținta: departamentul financiar.
Un link către o pagină identică cu cea a băncii. Angajatul își introduce utilizatorul, parola și codul primit prin SMS — direct în mâinile atacatorului.
„Sunt într-o ședință, nu pot vorbi. Am nevoie să faci un transfer până la prânz.” Presiunea ierarhică face ca nimeni să nu pună întrebări.
Cum funcționează
Un ciclu complet, repetat periodic, care transformă angajații din cea mai slabă verigă în primul sistem de alarmă al firmei.
Contract și stabilirea regulilor
Totul pornește de la un contract. Stabilim împreună cine e inclus în test, ce scenarii sunt permise, perioada campaniei și cine din firmă este informat.
Scenarii adaptate firmei tale
Construim e-mailuri care seamănă cu ce primiți cu adevărat: furnizorii, banca, platformele și tonul intern al firmei. Nimic generic.
Campania de phishing simulat
Trimitem e-mailurile în mod controlat, eșalonat, exact ca un atac real. Angajații nu știu când vine testul — de aceea rezultatele sunt reale.
Instruire în momentul greșelii
Cine dă click nu e pedepsit. Află imediat ce semne a ratat, pe o pagină scurtă și clară, chiar în momentul în care lecția contează cel mai mult.
Raport pentru conducere
Primiți un raport clar: unde sunt riscurile, pe ce departamente și pe ce tipuri de atac, plus recomandări concrete de acțiune.
Retestare și progres
Repetăm testele cu scenarii noi și urmărim cum scade riscul de la un test la altul. Securitatea devine un obicei, nu un eveniment.
Trafic suspect
Pentru fiecare simulare urmărim trei semnale. Primele două arată riscul. Al treilea arată cât de pregătită e echipa să se apere.
Click
Cine a deschis linkul din e-mail. Primul pas spre o infectare sau spre o pagină falsă.
Date introduse
Cine și-a scris utilizatorul și parola pe pagina falsă. Într-un atac real, acesta este momentul în care contul e compromis.
E-mail suspect raportat
Cine a recunoscut atacul și l-a semnalat. Fiecare raportare rapidă poate opri un atac real înainte să ajungă la restul colegilor.
Ai fi dat click?
E-mailul de mai jos ascunde cinci semne de avertizare. Apasă pe fragmentele care ți se par suspecte.
Vă informăm că factura nr. 4471 nu a fost achitată. Din motive de audit, — vă rugăm să folosiți noile date din document.
În lipsa plății astăzi, livrările vor fi suspendate.
- Adresa expeditoruluiDomeniul nu e al furnizorului vostru. Seamănă, dar nu e același. Verificați mereu adresa completă, nu doar numele afișat.
- Urgență falsă„În 2 ore”, vineri după-amiază. Presiunea de timp e făcută ca să nu verificați nimic.
- Salut genericUn partener real vă știe numele și firma. „Stimate client” e semnul unui mesaj trimis în masă.
- Cont bancar schimbatCel mai scump semn de avertizare. Orice schimbare de IBAN se confirmă telefonic, la un număr pe care îl aveți deja.
- Atașament neașteptatO factură nu vine ca arhivă .zip. Arhivele sunt folosite pentru a ascunde programe malițioase.
Cine greșește nu e sancționat.
Scopul nu e să prindem pe cineva. Scopul e ca, atunci când vine atacul real, angajatul să se oprească o secundă și să recunoască semnele.
Semnale de avertizare
- E-mail neașteptatNu așteptați factura, resetarea de parolă sau coletul? Primul semn.
- Urgență falsă„Acum”, „în 2 ore”, „contul va fi blocat”. Graba e arma atacatorului.
- Link suspectȚineți mouse-ul peste link fără să dați click: adresa reală diferă de cea afișată.
- Expeditor aproape corectO literă schimbată, alt domeniu, o adresă de Gmail în locul celei de firmă.
- Cerere de date sau de baniParole, coduri SMS, schimbări de IBAN — se confirmă mereu pe alt canal.
- Atașamente neobișnuiteArhive .zip, documente care cer „activarea conținutului” sau macro-uri.
Vezi unde sunt riscurile — și cum scad.
Conducerea primește un raport pe care îl poate citi în zece minute, fără termeni tehnici.
Exact ca cele reale
Scenariile se aleg în funcție de firma voastră și devin tot mai dificile pe măsură ce echipa progresează.
Factura cu IBAN schimbat
Un furnizor existent cere plata într-un cont „nou”. Testează procedura de verificare a plăților.
„Directorul” cere un transfer
Mesaj scurt, urgent, de pe telefon. Testează dacă cererile neobișnuite se confirmă pe alt canal.
Resetare de parolă
„Contul va fi blocat în 24 de ore.” Testează dacă angajații își introduc parola pe pagini false.
Alertă de la bancă
Cont suspendat, tranzacție suspectă, confirmare de date. Testează atenția la link-uri și adrese.
Coletul care nu poate fi livrat
Taxă mică de plătit pentru un colet. Testează reacția la mesaje neașteptate cu plată.
Document partajat de HR
„Noua grilă de salarii” sau „regulamentul actualizat”. Testează curiozitatea față de documente interne.
Totul pe baza unui contract.
Testăm oamenii, dar îi protejăm în același timp. Fiecare campanie are reguli clare, scrise și asumate de ambele părți.
Contract înainte de orice
Nicio simulare nu pornește fără acordul scris al firmei, cu scop, perioadă și limite stabilite.
Date păstrate în România
Rezultatele testelor și datele angajaților rămân pe servere din România.
Parolele nu sunt colectate
Pe paginile simulate înregistrăm doar faptul că s-au introdus date, nu parolele în sine.
Sprijin pentru NIS2
Instruirea periodică și dovezile din rapoarte ajută la îndeplinirea cerințelor privind igiena cibernetică și instruirea personalului.
Pentru orice firmă care folosește e-mail.
Adică pentru orice firmă. Atacatorii nu aleg doar companii mari — firmele mici sunt adesea ținte mai ușoare, pentru că au mai puține proceduri.
Ce ne întreabă firmele
Angajații știu că vor fi testați?
Conducerea știe și aprobă prin contract. Recomandăm ca angajații să fie informați în general că firma face exerciții de securitate, dar nu și când vine fiecare test — altfel rezultatele nu reflectă realitatea.
E legal să trimiteți e-mailuri de phishing angajaților noștri?
Da, atunci când există acordul firmei, scopul e instruirea și datele sunt prelucrate cu respectarea GDPR. De aceea totul pornește de la un contract cu reguli clare.
Ce se întâmplă cu cine dă click?
Nimic rău. Vede imediat o pagină scurtă care îi arată ce semne a ratat și cum să le recunoască data viitoare. Rezultatele nu sunt folosite pentru sancțiuni.
Aflați parolele angajaților?
Nu. Pe paginile simulate se înregistrează doar faptul că cineva a introdus date, nu conținutul lor.
Cât de des ar trebui făcute testele?
Un singur test arată doar o fotografie de moment. Rezultatele vin din repetare: campanii periodice, cu scenarii diferite, ca să se vadă cum scade riscul de la un test la altul.
Avem deja antivirus și firewall. Mai e nevoie?
Da. Firewall-ul protejează rețeaua, dar nu poate opri un angajat care își introduce de bunăvoie parola pe o pagină falsă sau face un transfer cerut de „director”. Firewall-ul îl aveți — acum protejați și oamenii.
Firewall-ul îl ai. Acum protejează-ți și oamenii.
Spune-ne câți angajați aveți și ce vă îngrijorează. Îți propunem un prim test și îți arătăm cum arată raportul.