HR · Phishing · Testy bezpieczeństwa

Testy socjotechniczne —
sprawdź zanim zrobi to atakujący

Symulowany atak phishingowy pokazuje realny poziom podatności Twojego zespołu — bez fikcyjnych statystyk z ankiet. Wiemy kto kliknie, kto poda hasło i kto zareaguje właściwie. I natychmiast edukujemy tych którzy się potknęli.

Zamów test phishingowy → Zakres usługi

Zakres usługi

Co obejmują testy socjotechniczne?

Od prostych symulacji phishingowych po zaawansowane scenariusze spear-phishingowe. Dobieramy trudność do poziomu świadomości i wymagań firmy.

Symulacje ataków phishingowych

Wysyłamy spreparowane wiadomości e-mail podszywające się pod dostawców, bank, IT, zarząd lub zewnętrzne serwisy. Mierzymy kto kliknie link, kto wypełni fałszywy formularz logowania, a kto zgłosi podejrzaną wiadomość.

Spear-phishing z personalizacją

Zaawansowane scenariusze uwzględniające nazwisko, stanowisko i kontekst pracownika. Ataki ukierunkowane na osoby z dostępem do finansów, danych lub systemów krytycznych. Realistyczne — bo takie są prawdziwe ataki.

Natychmiastowa edukacja po kliknięciu

Osoba która kliknęła link phishingowy trafia natychmiast na stronę edukacyjną — wyjaśniającą co zrobiła, jak rozpoznać prawdziwy phishing i co zrobić następnym razem. Najskuteczniejsza forma nauki.

Raport z wynikami i rekomendacjami

Po teście dostarczamy raport: wskaźnik kliknięć, wskaźnik podania danych, wskaźnik zgłoszeń, rozkład wyników per dział i stanowisko. Rekomendacje: które obszary wymagają szkolenia i jakiego rodzaju.

Testy cykliczne i mierzenie postępu

Powtarzalne testy pozwalają mierzyć poprawę w czasie. Porównanie wyników przed i po szkoleniu. Roczny program testów jako element programu compliance i audytu.

Dokumentacja na potrzeby audytów

Wyniki testów i podjęte działania naprawcze dokumentujemy w formacie przydatnym dla audytów ISO 27001, NIS2 i DORA. Dowód że firma aktywnie zarządza ryzykiem ludzkim.

Jak pracujemy

Jak przebiega test socjotechniczny?

Planujemy, wykonujemy i edukujemy — bez zakłócania pracy firmy i z pełną poufnością wobec uczestników.

Określenie zakresu i scenariuszy

Uzgadniamy grupę docelową, liczbę pracowników, scenariusze (który nadawca, jaki kontekst wiadomości) i poziom trudności. Dobieramy scenariusze do branży — inne zagrożenia dotykają finanse, inne produkcję.

Przygotowanie kampanii

Tworzymy wiadomości phishingowe i strony docelowe maksymalnie zbliżone do prawdziwych. Konfigurujemy śledzenie i edukacyjną stronę powdrożeniową. Wszystko odbywa się poza wiedzą pracowników — to warunek wiarygodnego testu.

Wysyłka i rejestrowanie wyników

Wysyłamy wiadomości do pracowników i rejestrujemy zdarzenia: otwarcie, kliknięcie, podanie danych, zgłoszenie jako spam. Pracownicy którzy klikną trafiają na stronę edukacyjną.

Raport i rekomendacje

Dostarczamy raport ze szczegółowymi wynikami i zaleceniami. Omawiamy wyniki z HR/zarządem i proponujemy kolejne kroki: szkolenie, kolejny test, zmianę procedur.

~30%

średni wskaźnik kliknięć w pierwszym teście

5×

spadek podatności po regularnym programie testów

48h

od zakończenia testu do dostarczenia raportu

100%

poufność — zarząd zna wyniki, pracownicy nie

Twoi pracownicy codziennie dostają phishingi

Lepiej żebyś to Ty wysłał pierwszy.

Kontrolowany test phishingowy to jedyna metoda która pokazuje realną podatność firmy — nie wyobrażoną na podstawie szkoleń. Wiemy co zrobią Twoi pracownicy zanim zrobi to atakujący.

Zamów test phishingowy →

FAQ

Pytania o testy socjotechniczne

Nie — test phishingowy musi być przeprowadzony bez uprzedzenia uczestników, żeby wyniki były miarodajne. Z treścią testu są zaznajomieni tylko zlecający (HR, zarząd, IT). Po zakończeniu kampanii informujemy pracowników że test miał miejsce i co było jego celem.

Trafiają natychmiast na stronę edukacyjną — wyjaśniającą czym był ten link, jak rozpoznać prawdziwy phishing i co powinni zrobić następnym razem. Nikt nie jest karany. Wyniki są raportowane zbiorczo i per dział, nie imiennie — chyba że klient chce inaczej.

Tak — symulacje phishingowe przeprowadzane przez uprawnioną organizację na zlecenie właściciela danych są zgodne z prawem. Przed testem podpisujemy umowę i upoważnienie precyzujące zakres i cel testu. Raportujemy do osoby zlecającej, nie do osób zewnętrznych.

Kampanię phishingową zazwyczaj prowadzimy przez 5–10 dni roboczych — żeby objąć pracowników którzy bywają na urlopie lub home office. Raport dostarczamy do 48 godzin od zakończenia kampanii.

Tak i zdecydowanie rekomendujemy regularność — co kwartał lub co pół roku. Powtarzalne testy pozwalają mierzyć postęp po szkoleniach i weryfikować czy kultura bezpieczeństwa faktycznie się poprawia. Oferujemy programy roczne z planowanymi testami i szkoleniami.