A phishing-szimuláció, vagyis az ellenőrzött adathalász kampány akkor hasznos, ha a munkatársak viselkedését fejleszti, nem csak egy kattintási számot ad az év végi riportba. Sok cégnél évente egyszer kimegy egy kamu levél, valaki összeszámolja a kattintókat, és ennyi. Ez jól mutathat egy táblázatban, de keveset árul el arról, mi történne egy valódi támadásnál.

Ebben a cikkben azt nézzük meg, hogyan építs fel olyan szimulációs programot, amely tanít, mérhető, és nem rombolja a bizalmat.

Mi a phishing-szimuláció valódi célja?

Nem az a cél, hogy soha senki ne kattintson. Egy fáradt délután, egy jól időzített téma vagy egy megszokott szolgáltatás utánzása bárkit megtéveszthet. A cél az, hogy aki gyanús üzenetet kap, rákattintott vagy adatot adott meg, gyorsan és félelem nélkül jelezze.

Valódi támadásnál a korai jelzés segítheti a biztonsági csapatot abban, hogy megvizsgálja és szükség esetén eltávolítsa a többi kézbesített levelet, letiltsa a kártékony címeket, vagy visszavonja egy kompromittált fiók munkameneteit. Hogy ez mennyire sikerül, a levelezőrendszertől, a jogosultságoktól és az incidenskezelési folyamattól is függ, ezért a bejelentés utáni reakciót is érdemes gyakorolni.

Mielőtt elindítod: jóváhagyás, adatvédelem, keretek

A szimuláció a munkatársak viselkedéséről gyűjt adatot, ezért előre rögzítsd a kereteket:

• Igazolható jóváhagyás: legyen meg a felelős vezető és az érintett belső területek, például az informatika, a HR és az adatvédelem jóváhagyása.
• Hatókör és szabályok: határozd meg a célcsoportot, az időszakot, a csatornákat, a tiltott témákat, valamint azt, mi számít sikeres jelentésnek.
• Adatvédelem: csak a szükséges adatokat gyűjtsd, határozd meg a megőrzési időt, és a vezetői riportban lehetőleg összesített eredményeket mutass. A munkatársak kapjanak tájékoztatást a program céljáról és az adatkezelésről; ha van üzemi tanács, a munkajogi egyeztetési kötelezettséget is vizsgáld meg.
• Jelszavak tilalma: a gyakorló bejelentkezési oldal semmilyen esetben ne mentse el a beírt jelszót. Elég rögzíteni, hogy történt adatmegadási kísérlet.
• Technikai előkészítés: egyeztesd az IT-val a kézbesítést, a jelentési útvonalat és a riasztásokat, hogy a kampány ne okozzon fölösleges incidenst vagy kiesést.

A jó phishing-szimuláció ismérvei

Valós forgatókönyvek. A legjobb sablonok a céget vagy az iparágat ténylegesen érő támadásokra épülnek: csomagkézbesítés, Microsoft 365 bejelentkezés, megosztott dokumentum, fizetési felszólítás vagy beszállítói számlaváltozás. A mesterséges intelligencia segíthet a támadóknak gördülékeny, nyelvhelyes szöveget írni, ezért a helyesírási hibák keresése önmagában nem elég. Tanítsd meg a kérés, a feladó, a link célja és a sürgetés ellenőrzését is.

Fokozatos nehézség. Kezdj könnyebben felismerhető levelekkel, és haladj a célzottabbak felé. Érdemes a nehézségi szintet és a sablon jellemzőit is rögzíteni, mert enélkül két kampány eredménye nem hasonlítható össze.

Azonnali, rövid visszajelzés. Aki kattint, ne egy 40 perces kötelező videót kapjon, hanem egy rövid, konkrét magyarázatot arról, mi árulhatta el az üzenetet. A visszajelzés hangneme támogató legyen.

Több csatorna. A támadók e-mail mellett telefont, SMS-t, csevegőalkalmazásokat, például Teamst, és QR-kódot is használhatnak. Az e-mailen túli teszteknél különösen fontos a pontos jóváhagyás, a hatókör és a munkatársak méltóságának tiszteletben tartása.

A jelentés után is legyen folyamat. Gyakorold, ki dolgozza fel a bejelentéseket, hogyan visszaigazolja őket, és mikor kell valódi incidensként kezelni egy jelzést.

Mit mérj egy phishing-kampányban?

• Jelentési arány: a címzettek hány százaléka jelentette a szimulált üzenetet. Ez az egyik legfontosabb mutató.
• Az első jelentésig eltelt idő: milyen gyorsan érkezik meg az első jelzés a kampány kezdete után.
• Reakcióidő: mennyi idő alatt jut el a bejelentés a feldolgozásig és a szükséges intézkedésig.
• Kattintási arány: érdemes figyelni, de önmagában félrevezető lehet, mert erősen függ a sablon nehézségétől és a célcsoporttól.
• Adatmegadási kísérlet: hány címzett jutott el a jelszó vagy más adat megadásáig. Ez a szimulációban súlyosabb kockázati jel, de a gyakorló oldal ne tárolja a beírt adatot.
• Ismétlődő minták: ugyanazok a csapatok vagy munkakörök esnek-e bele több kampányban. Ilyenkor célzott, nem büntető jellegű segítség kell.

Ha a jelentési arány nő, az első jelentés gyorsabban érkezik, és a kockázatos lépések aránya összehasonlítható nehézségű kampányokban csökken, jó irányba haladsz.

Tipikus buktatók

Megszégyenítés. Ha a kattintók neve körbejár, vagy a vezetőjük automatikusan figyelmeztetést kap, az emberek azt tanulhatják meg, hogy hibázni veszélyes. Egy valódi támadásnál emiatt késhet vagy elmaradhat a bejelentés.

Bizalomromboló témák. Egy hamis bónuszról, fizetésemelésről vagy személyes krízisről szóló szimuláció gyorsan rontja a kollégák bizalmát. Ezeket kerüld, vagy csak kifejezett jóváhagyással, alapos indoklással és átgondolt kommunikációval használd.

Évente egyszer. Egy alkalomból nehezen lesz szokás. Rendszeres, kisebb kampányokkal jobban követhető a fejlődés; a gyakoriságot a szervezet méretéhez, kockázataihoz és kapacitásához igazítsd.

Bonyolult bejelentés. Ha nem egyértelmű, hová és hogyan kell jelezni, sokan nem fogják megtenni. Egy jól látható jelentési gomb vagy egyszerű belső bejelentési csatorna sokat segít, de mögötte gyors feldolgozás is kell.

A vezetők kimaradnak. A vezetők, a pénzügy és a kiemelt jogosultságú munkatársak gyakori célpontjai a célzott támadásoknak. Őket is vond be, a szerepükhöz illő forgatókönyvekkel.

Phishing-szimuláció és NIS2: hogyan kapcsolódik a megfeleléshez?

A NIS2 irányelv 21. cikke a kockázatkezelési intézkedések között említi az alapvető kiberhigiéniai gyakorlatokat és a kiberbiztonsági képzést. A 20. cikk szerint a tagállamoknak elő kell írniuk, hogy az irányító testületek tagjai képzésen vegyenek részt, és ösztönözniük kell a szervezeteket, hogy munkavállalóiknak is rendszeresen biztosítsanak hasonló képzést.

A Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény alapján a hatálya alá tartozó szervezet vezetője gondoskodik saját maga és a munkatársak kiberbiztonsági képzéséről, továbbképzéséről. A 17/2025. (VII. 24.) EM rendelet a vezető számára külön, a kinevezéstől számított egy éven belüli legalább 8 órás képzést, ezt követően évente legalább 4 órás továbbképzést ír elő.

A jól dokumentált, rendszeres szimulációs program része lehet a tudatosság fejlesztésének és a kockázatkezelési intézkedések hatékonyságát igazoló bizonyítékoknak. Önmagában azonban nem helyettesíti a jogszabály szerinti vezetői képzést és a teljes kockázatkezelési programot. Az, hogy pontosan milyen kötelezettség vonatkozik rátok, a szervezet besorolásától és tevékenységétől függ.

Gyakori kérdések a phishing-szimulációról

Milyen gyakran érdemes phishing-szimulációt futtatni?

Évente egyszeri kampány helyett rendszeres, kisebb kampányokat érdemes tervezni. A pontos ütemezés a szervezet méretétől, kockázataitól, az előző eredményektől és attól függ, mennyi visszajelzést tudtok érdemben feldolgozni.

Mi a legfontosabb mutató?

Nem érdemes egyetlen számra hagyatkozni. A jelentési arány és az első jelentésig eltelt idő különösen hasznos, a kattintási és adatmegadási arányt pedig a sablon nehézségével együtt kell értelmezni.

Büntetni kell, aki rákattint?

A büntető megközelítés könnyen visszafoghatja a bejelentéseket. Hatékonyabb az azonnali, rövid visszajelzés és ismétlődő problémánál a célzott, támogató segítség.

Összefoglalva

A phishing-szimuláció nem vizsga, hanem edzés. Akkor működik, ha előre szabályozott, valós támadásokra épül, azonnal tanít, és mindenki tudja, hogy a bejelentésért elismerés jár, nem szidás.

Szeretnél egy jól mérhető, a csapatodhoz illő phishing-szimulációs programot felépíteni? Beszéljük át a lehetőségeket a Hacktify csapatával.