Ce este o simulare de phishing
O simulare de phishing (sau test de phishing) este un exercițiu controlat în care angajații primesc e-mailuri care imită atacuri reale — o factură falsă, o alertă de la bancă, o cerere „de la director”. Diferența față de un atac real: în spatele lor nu e un infractor, ci o echipă care măsoară reacțiile și transformă fiecare greșeală într-o lecție.
E echivalentul unui exercițiu de evacuare la incendiu: nu aștepți incendiul ca să afli dacă oamenii știu pe unde să iasă.
De ce are nevoie firma ta de ea
- Firewall-ul și antivirusul nu opresc oamenii. Un angajat care își introduce de bunăvoie parola pe o pagină falsă trece de orice protecție tehnică.
- Afli riscul real, nu cel presupus. Fără test, nu știi dacă echipa ta ar da click — doar speri că nu.
- Instruirea teoretică se uită. Un curs anual e uitat în câteva săptămâni. O simulare urmată de o lecție scurtă, chiar în momentul greșelii, rămâne.
- Ai dovezi. Rapoartele arată clienților, partenerilor și autorităților că firma își instruiește oamenii — relevant mai ales pentru firmele care intră sub NIS2.
Cum se desfășoară, pas cu pas
- Contract și reguli. Conducerea aprobă testul în scris: cine e inclus, ce scenarii sunt permise, perioada, cine din firmă știe.
- Alegerea scenariilor. E-mailurile se construiesc după ce primesc angajații în realitate: furnizori, bancă, platforme folosite, comunicări interne.
- Trimiterea controlată. Mesajele pleacă eșalonat, în zile și ore diferite, ca un atac real. Angajații nu știu când vine testul.
- Instruirea pe loc. Cine dă click ajunge pe o pagină scurtă care îi arată ce semne a ratat. Fără sancțiuni.
- Raportul. Conducerea primește rezultatele pe departamente și tipuri de atac, cu recomandări concrete.
- Retestarea. Testele se repetă periodic, cu scenarii noi, ca să se vadă progresul.
Ce se măsoară
| Indicator | Ce arată |
|---|---|
| Rata de click | Câți angajați au deschis linkul din e-mail |
| Rata de compromitere | Câți au mers mai departe și au introdus date pe pagina falsă |
| Rata de raportare | Câți au recunoscut atacul și l-au semnalat |
| Timpul până la prima raportare | Cât de repede a dat cineva alarma — cu cât mai repede, cu atât atacul real ar fi oprit mai devreme |
Scopul pe termen lung nu e doar ca rata de click să scadă, ci ca rata de raportare să crească. O echipă care raportează rapid devine un sistem de alarmă pentru toată firma.
Exemple de scenarii folosite
- Factura cu IBAN schimbat — pentru departamentul financiar.
- E-mailul „de la director” care cere un transfer urgent.
- Resetarea parolei — „contul va fi blocat în 24 de ore”.
- Alerta de la bancă sau de la o platformă folosită în firmă.
- Coletul care nu poate fi livrat.
- Documentul partajat de HR — „noua grilă de salarii”.
Detalii despre cel mai costisitor dintre ele găsești în ghidul despre frauda cu factura falsă și „e-mailul de la director”.
Este legal?
Da, atunci când e făcut corect: cu acordul scris al firmei, cu scop de instruire, cu respectarea GDPR și fără a folosi rezultatele pentru sancțiuni. Câteva principii pe care le respectăm:
- Totul pornește de la un contract cu reguli clare.
- Pe paginile simulate se înregistrează doar faptul că s-au introdus date, nu datele în sine.
- Rezultatele servesc la instruire, nu la evaluarea sau penalizarea angajaților.
- Datele rămân în România.
Un singur test e doar o fotografie de moment. Rezultatele vin din repetare — campanii periodice, cu scenarii diferite și tot mai dificile, ca să vezi cum scade riscul de la un test la altul.
Întrebări frecvente
Angajații trebuie anunțați?
Recomandăm ca angajații să știe, în general, că firma face exerciții de securitate, dar nu și când vine fiecare test. Altfel rezultatele nu reflectă comportamentul real.
Ce se întâmplă cu angajatul care dă click?
Vede imediat o pagină scurtă care îi explică ce semne a ratat. Nu este sancționat — scopul e învățarea.
Funcționează și pentru firme mici?
Da. Firmele mici sunt adesea ținte mai ușoare pentru că au mai puține proceduri, iar un singur e-mail poate afecta toată activitatea.
Vrei să știi cum ar reacționa echipa ta?
Testăm angajații înaintea hackerilor: simulări de phishing realiste, instruire fără sancțiuni și un raport clar pentru conducere.