Simularea de phishing pe departamente: de ce rata de click a firmei nu spune toata povestea

Un exemplu simplu: o firma de 60 de oameni are o rata de click de 12% la o simulare. Pare acceptabil. Dar daca te uiti pe echipe, poti descoperi ca in productie si logistica aproape nimeni nu a dat click, iar in contabilitate au dat click 5 din 8 oameni. Media firmei arata bine tocmai pentru ca departamentele mari si putin expuse o trag in jos. Riscul real sta in echipa mica care plateste facturi.

Departamentele nu sunt expuse la fel. Contabilitatea primeste zilnic facturi, extrase si notificari de la ANAF, deci un mesaj fals de tip "factura restanta" sau "notificare SPV" arata exact ca munca obisnuita. Resursele umane deschid CV-uri atasate de la necunoscuti. Vanzarile raspund rapid oricarui potential client. Conducerea e tinta preferata pentru frauda de tip "CEO fraud", unde atacatorul cere urgent un transfer. Un singur scenariu trimis la toata lumea nu testeaza corect niciuna dintre aceste situatii.

De aceea o simulare buna foloseste scenarii diferite pe departamente: factura falsa pentru contabilitate, CV infectat pentru HR, cerere de oferta pentru vanzari, mesaj urgent "de la director" pentru cei care pot aproba plati. Rezultatele devin comparabile cu riscul real al fiecarei echipe, nu cu un mesaj generic pe care unii nu l-ar primi niciodata in viata reala.

Citirea pe departamente schimba si ce faci dupa. In loc sa trimiti acelasi training la toata firma, il trimiti mai intai echipelor unde rata de click e mare, cu exemple din munca lor. Iar la urmatoarea simulare poti vedea concret daca s-a schimbat ceva in acele echipe. Merita urmarita si rata de raportare: cati oameni au anuntat emailul suspect, nu doar cati l-au ignorat. O echipa care raporteaza repede e o echipa care poate opri un atac real.

Un detaliu important: rezultatele pe departamente nu sunt o lista de vinovati. Scopul e sa vezi unde e nevoie de sprijin, nu sa sanctionezi oameni. Raportarea agregata, pe echipe, este de obicei suficienta pentru management si protejeaza increderea angajatilor in proces. Pentru firmele aflate sub NIS2, un raport pe departamente cu evolutia in timp este si o dovada utila ca training-ul de securitate (cerut la Art. 21) nu e doar o bifa anuala.

Inainte de prima campanie, mai e un pas tehnic de care multi uita: whitelisting-ul. Daca filtrul de email al firmei blocheaza mesajele simulate, rezultatul arata excelent, dar nu masoara nimic. Adaugarea serverului de simulare in lista de expeditori de incredere (in Microsoft 365, Google Workspace sau alt filtru) dureaza cateva minute si face diferenta intre un test real si unul fals linistitor.