Datele de mai jos provin dintr-un test real. Numele companiei, domeniul de activitate, adresele de e-mail și orice informație care ar putea identifica firma sau angajații au fost eliminate. Prezentăm doar cifre agregate.
Pe scurt
Același public, aceeași săptămână, rezultate de cinci ori mai mari pentru al doilea mesaj. Și două treimi dintre cei care au dat click în prima zi au dat click și a doua zi.
Contextul
Compania, cu circa 250 de angajați și mai multe puncte de lucru, a dorit să afle cât de pregătită este echipa să recunoască un e-mail de phishing, înainte de a investi în programe de instruire. Testul a fost realizat cu acordul conducerii, ca test intern de conștientizare.
Metodologia
- Testul a fost realizat cu platforma open-source GoPhish, folosită frecvent pentru simulări de phishing.
- Au fost rulate două campanii, în zile consecutive, către aceiași destinatari.
- Analiza s-a făcut pe baza exporturilor generate de platformă: cine a deschis linkul și, unde era cazul, cine a trimis date.
- Pagina falsă de autentificare a fost folosită exclusiv pentru testare: datele introduse nu au fost stocate sau procesate.
Campania 1: „Te rugăm să te autentifici din nou”
Din cauza unei erori va trebui să te autentifici din nou pe mail-ul nostru: Autentificare.
Linkul ducea la o pagină de login care reproducea în proporție de aproximativ 90% interfața reală de autentificare a webmailului companiei.
| Rezultat | Angajați | Din total |
|---|---|---|
| Au primit e-mailul | ~250 | 100% |
| Au dat click pe link | 9 | 3,6% |
| — dintre care doar au dat click | 6 | 2,4% |
| — dintre care și-au introdus datele | 3 | 1,2% |
Ce înseamnă: rata de click e scăzută, dar unul din trei angajați care au ajuns pe pagina falsă și-a introdus datele. Într-un atac real, trei conturi de e-mail compromise ar fi fost suficiente pentru ca atacatorul să trimită mesaje „din interior” către toți colegii și partenerii.
Campania 2: „Lista programări” în Excel
Acest mesaj se adresează tuturor angajaților care se regăsesc în Lista programări, document atașat în format Excel.
Vă rugăm ca pentru toate persoanele din listă să acceseze documentul.
Mulțumim!
„Atașamentul” era de fapt o imagine care imita un fișier Excel, cu un link ascuns. Cine dădea click ajungea pe o pagină care anunța că documentul a expirat. Nu exista formular și nu se cereau date — campania măsura doar tentația de a deschide un document necunoscut.
| Rezultat | Angajați | Din total |
|---|---|---|
| Au primit e-mailul | ~250 | 100% |
| Au dat click pe „document” | 45 | 17,9% |
Ce înseamnă: aproape unul din cinci angajați ar fi deschis un document necunoscut. Într-un atac real, acesta e momentul în care se instalează un program malițios — inclusiv ransomware, care poate bloca toate calculatoarele firmei.
Ce am observat
1. Mesajele „interne” și banale sunt cele mai periculoase
O cerere de reautentificare a trezit suspiciuni. O listă de programări, aparent internă și plictisitoare, nu. Atacatorii știu asta: cele mai eficiente mesaje nu sunt cele spectaculoase, ci cele care seamănă cu munca de zi cu zi.
2. Aceleași persoane greșesc din nou
6 din cei 9 angajați care au dat click în prima campanie au dat click și în a doua. Iar 2 din cei 3 care și-au introdus datele au căzut și în al doilea test. Riscul nu e distribuit uniform — e concentrat, ceea ce face instruirea țintită foarte eficientă.
3. Căsuțele de e-mail comune sunt expuse
Printre cei care au dat click s-au numărat și căsuțe de e-mail folosite în comun de punctele de lucru. Acestea sunt citite de mai multe persoane, adesea în grabă, și nu au un „proprietar” clar care să răspundă de ele.
4. Nu doar angajații companiei
Testul a ajuns și la adrese de pe domeniul unei firme partenere din același grup — un semn că granița de securitate a companiei include și partenerii cu care împarte comunicarea.
Evaluarea riscului
| Situație | Risc într-un atac real |
|---|---|
| Date introduse pe pagina falsă | Ridicat — cont de e-mail compromis, folosit pentru atacuri ulterioare |
| Click pe documentul fals | Mediu — posibilă descărcare a unui program malițios |
| Click repetat în ambele campanii | Mediu spre ridicat — tipar de comportament care necesită instruire individuală |
Recomandări
- Instruire imediată și țintită pentru cei care au dat click, începând cu cei care au greșit în ambele campanii — fără sancțiuni.
- Verificare în doi pași (MFA) pentru webmail. Cu MFA activ, cele trei parole introduse pe pagina falsă nu ar fi fost suficiente pentru a intra în conturi.
- Un buton simplu de raportare a e-mailurilor suspecte și măsurarea ratei de raportare în testele următoare.
- Responsabil clar pentru fiecare căsuță comună și instruire pentru persoanele care o folosesc.
- Reguli pentru atașamente: documentele interne se distribuie prin canalele obișnuite ale firmei, nu ca atașamente neanunțate.
- Campanii recurente, cu scenarii diferite, pentru a măsura progresul de la un test la altul.
Un test singular a arătat mai mult decât orice chestionar: unde e riscul, la ce tip de mesaj și la cine. Pasul următor nu e mai multă tehnologie, ci instruire țintită și repetată — pentru că atacatorii nu trimit un singur e-mail, ci încearcă până reușesc.
Vrei să afli cum ar arăta aceste cifre la firma ta? Citește cum se desfășoară o simulare de phishing sau contactează-ne mai jos.
Vrei să știi cum ar reacționa echipa ta?
Facem același tip de test la firma ta, cu scenarii adaptate, instruire fără sancțiuni și un raport clar pentru conducere.