Szkolenie z phishingu dla pracowników - co powinno zawierać, żeby działało

Na szkoleniach z cyberbezpieczeństwa phishing zajmuje najwięcej czasu i nie jest to przypadek. To najtańszy sposób wejścia do firmy: nie wymaga podatności w oprogramowaniu, wystarczy jedna osoba, która w gorszym momencie dnia wpisze hasło nie tam, gdzie trzeba. Ten wpis opisuje, co powinno znaleźć się w programie takiego szkolenia i po czym poznać, że zadziałało.

Skala: co pokazują dane CERT Polska

Według raportu rocznego CERT Polska za 2025 rok zespół otrzymał 658 320 zgłoszeń i zarejestrował na ich podstawie 260 783 unikalne incydenty. Oszustwa komputerowe to 253 238 z nich, czyli 97% wszystkich obsłużonych zdarzeń. Sam phishing, rozumiany jako wyłudzanie loginów i haseł do poczty, bankowości i innych usług, to 78 391 incydentów - 30% całości.

Te liczby trzeba czytać ostrożnie. CERT Polska przyjmuje zgłoszenia od wszystkich, więc w statystykach dominują kampanie wymierzone w osoby prywatne: wśród najczęściej wykorzystywanych wizerunków raport wymienia serwisy sprzedażowe OLX (28 462 zdarzenia) i Allegro (22 513 zdarzeń). Dla firmy ważniejsza jest trzecia pozycja z tego zestawienia, choć liczbowo najmniejsza: 2519 prób pozyskania poświadczeń do skrzynek pocztowych. Przejęta skrzynka pracownika to dostęp do korespondencji z klientami, do resetu haseł w innych systemach i możliwość pisania do kontrahentów z prawdziwego adresu.

Dlaczego „uważajcie na podejrzane maile” nie działa

Większość szkoleń uczy szukania błędów: literówek, dziwnego adresu, nieporadnego języka. To ma sens wobec kampanii masowych, ale wiadomość przygotowana pod konkretną firmę tych błędów nie ma. Jest napisana poprawną polszczyzną, przychodzi w godzinach pracy i dotyczy czegoś, czym odbiorca faktycznie się zajmuje.

Dobrze porządkuje to metoda opisana przez amerykański NIST w przewodniku NIST Phish Scale User Guide (TN 2276). Trudność rozpoznania wiadomości zależy tam od dwóch rzeczy naraz: od liczby wskazówek, po których da się ją rozpoznać, oraz od tego, jak mocno jej treść pasuje do codziennej pracy odbiorcy.

Wniosek jest prosty: wiadomość o zaległej fakturze wysłana do działu księgowości jest trudna nawet wtedy, gdy zawiera sporo błędów, bo trafia w to, co ten dział robi codziennie. Ta sama wiadomość wysłana do magazynu jest łatwa. Dlatego szkolenie oparte na jednym zestawie przykładów dla całej firmy uczy głównie rozpoznawania wiadomości, które i tak nikogo by nie nabrały.

Co powinno znaleźć się w programie

1. Mechanizm, nie lista przykładów

Przykłady się starzeją, mechanizm nie. Prawie każda wiadomość phishingowa opiera się na tym samym schemacie: powód, żeby działać teraz (termin, blokada konta, zaległość), nadawca, któremu się nie odmawia (przełożony, bank, urząd, dział IT), i jedna prosta czynność do wykonania. Pracownik, który rozumie ten schemat, zatrzyma się też przy scenariuszu, którego nie było na slajdach.

2. Gdzie naprawdę patrzeć

• Adres nadawcy, nie nazwa. Nazwę wyświetlaną ustawia się dowolnie. Liczy się to, co stoi po znaku @.
• Domena w linku. Czytamy ją od prawej strony: w adresie logowanie.firma.pl.example.com właścicielem jest example.com, a nie firma.
• Strona logowania. Jeżeli po kliknięciu pojawia się prośba o hasło, to jest moment na sprawdzenie paska adresu. Menedżer haseł, który nie podpowiada hasła na znanej stronie, to sygnał ostrzegawczy.
• Załączniki. Dokument, który prosi o włączenie makr albo o zalogowanie się, żeby zobaczyć treść, nie jest dokumentem.

3. Nie tylko poczta

Ten sam schemat działa w wiadomości SMS i w rozmowie telefonicznej. Verizon w komunikacie do raportu DBIR 2026 podaje, że socjotechnika prowadzona kanałami mobilnymi (fałszywe SMS-y i połączenia głosowe) ma skuteczność o 40% wyższą niż tradycyjny phishing mailowy. Szkolenie, które pokazuje wyłącznie skrzynkę odbiorczą, pomija kanał, w którym ludzie są dziś mniej czujni.

4. MFA pomaga, ale nie zamyka tematu

Uwierzytelnianie wieloskładnikowe zatrzymuje atak, w którym ktoś zdobył samo hasło. Nie zatrzymuje fałszywej strony, która działa jak pośrednik: przekazuje hasło i kod do prawdziwego serwisu, a sama przechwytuje gotową sesję. Uczestnicy powinni wyjść ze szkolenia z wiedzą, że kod z aplikacji też da się wyłudzić i że powiadomienia z prośbą o zatwierdzenie logowania, którego sami nie zaczęli, się nie zatwierdza.

5. Co zrobić po kliknięciu

To najważniejsza część i najczęściej pomijana. Każdy uczestnik powinien znać odpowiedź na trzy pytania: komu to zgłosić, jakim kanałem i co zrobić od razu (zmiana hasła, wylogowanie pozostałych sesji, niekasowanie wiadomości). Jeżeli w firmie nie ma jednej oczywistej odpowiedzi na pierwsze pytanie, szkolenie jest dobrym momentem, żeby ją ustalić.

Jak sprawdzić, czy szkolenie zadziałało

Najprostszym sprawdzianem jest symulowana kampania phishingowa: kontrolowana wysyłka wiadomości do pracowników, po której liczy się dwie wartości. Odsetek kliknięć, czyli ile osób otworzyło link lub załącznik, oraz odsetek zgłoszeń, czyli ile osób przekazało wiadomość dalej jako podejrzaną.

Przewodnik NIST zaznacza wprost, że same te wskaźniki nie dają pełnego obrazu ryzyka, bo nie uwzględniają trudności wiadomości. Niski odsetek kliknięć przy łatwym scenariuszu nic nie znaczy, a wzrost kliknięć przy trudniejszym scenariuszu nie oznacza, że zespół się pogorszył. Stąd kilka zasad, których warto się trzymać:

1. Pomiar przed i po. Jedna kampania przed szkoleniem jako punkt odniesienia, druga po nim, o porównywalnej trudności.
2. Zgłoszenia ważniejsze niż kliknięcia. W dużej organizacji ktoś kliknie zawsze. Pytanie brzmi, czy ktoś inny zdąży to zgłosić.
3. Czas do pierwszego zgłoszenia. To on mówi, ile czasu miałby atakujący przy prawdziwej kampanii.
4. Wyniki zbiorcze, nie imienne. Lista nazwisk osób, które kliknęły, uczy jednego: następnym razem nie przyznawać się do błędu.

Symulacja wymaga wcześniejszych ustaleń: zgody kierownictwa, wiedzy działu IT o terminie i zakresie, decyzji, pod jakie marki i scenariusze wolno się podszywać. To te same zasady, co przy testach technicznych, opisane we wpisie jak przygotować firmę do pentestu.

Czego szkolenie nie załatwi

Żadne szkolenie nie sprowadzi liczby kliknięć do zera i nie powinno być jedyną warstwą ochrony. Obok niego potrzebne są zabezpieczenia, które działają wtedy, gdy człowiek się pomyli:

• Uwierzytelnianie odporne na phishing - klucze sprzętowe lub passkeys tam, gdzie się da, przede wszystkim dla poczty i kont administracyjnych.
• SPF, DKIM i DMARC na własnej domenie, żeby nikt nie mógł wysyłać wiadomości jako Wasza firma.
• Procedura dla zmian danych do przelewu - potwierdzenie innym kanałem niż ten, którym przyszła prośba.
• Prosty sposób zgłaszania - jeden adres albo przycisk w programie pocztowym, znany wszystkim.

Jest też powód formalny. Dyrektywa NIS2 wymienia szkolenia z cyberbezpieczeństwa i podstawowe praktyki cyberhigieny wśród obowiązkowych środków zarządzania ryzykiem. O tym, kogo to dotyczy, pisaliśmy we wpisie NIS2 - czy dotyczy Twojej firmy.

Jak często

Jednorazowe szkolenie nie wystarcza: scenariusze się zmieniają, zespół też, a czujność z czasem słabnie. Lepiej sprawdza się krótsza forma powtarzana regularnie niż jeden długi dzień raz na kilka lat: szkolenie wprowadzające dla całego zespołu, potem przypomnienia i okresowa symulacja ze scenariuszem dobranym do tego, co aktualnie krąży w poczcie. Nowe osoby powinny przejść materiał w pierwszych tygodniach pracy, zanim dostaną dostęp do wszystkich systemów.

W naszych szkoleniach dla pracowników phishing i socjotechnika to pierwszy blok programu, prowadzony na przykładach dobranych do branży i codziennej pracy uczestników, stacjonarnie albo zdalnie, z imiennym certyfikatem na koniec.