Phishing

Uczucie przychodzi wcześniej niż powód: wiadomość niemal zwyczajna — mniej więcej właściwy temat, mniej więcej właściwy ton — i przekręcona o ćwierć obrotu. Czasem to wyłapujesz. Czasem jest już po kliknięciu.

W raporcie rocznym za 2025 rok Internet Crime Complaint Center przy FBI odnotowało 191 561 zgłoszeń dotyczących phishingu i podszywania się — więcej niż w jakiejkolwiek innej śledzonej przez nie kategorii przestępstw, na 1 008 597 zgłoszeń ogółem — przy 215,8 mln dolarów zgłoszonych strat. Pokrewna kategoria business email compromise, w której wiadomość podszywająca się pod współpracownika albo dostawcę przekierowuje płatność, zebrała zdecydowanie mniej zgłoszeń, 24 768, ale 3,05 mld dolarów zgłoszonych strat.Historyczne / opisowe Tanie wiadomości to te, które spotykasz; drogie celują w czyjś dział rozliczeń.

Poradnik konsumencki amerykańskiej Federalnej Komisji Handlu opisuje ten sam obiekt od strony odbiorcy: niespodziewana wiadomość, która wygląda, jakby przyszła od znanej ci firmy, opowiada jakąś historię — podejrzana aktywność na twoim koncie, problem z twoimi danymi płatniczymi, faktura, której nie rozpoznajesz — i zaprasza do kliknięcia odnośnika, żeby coś potwierdzić. Jej zasada jest kategoryczna: prawdziwe firmy nie przysyłają mailem ani SMS-em odnośnika do aktualizacji danych płatniczych.Historyczne / opisowe Szkice powyżej rozbierają ten kształt na części.

Wiadomość phishingowa nie stara się być prawdziwa. Stara się o to, żeby właściwa osoba szybko na nią odpowiedziała, i ma do tego dwie dźwignie.

Pierwsza to: kto pozornie prosi. W badaniu terenowym dziewięć symulowanych maili typu spear phishing, rozesłanych przez sześć tygodni do 62 000 pracowników jednej organizacji, oceniono pod kątem sygnałów autorytetu i pilności; okazało się, że obecność sygnałów autorytetu zwiększała prawdopodobieństwo, że odbiorca kliknie podejrzany odnośnik.Potwierdzone, z ograniczeniami Ranga jest dla obcego wygodna: nie do sprawdzenia na pierwszy rzut oka, niezręczna do zakwestionowania.

Druga to: o czym jest wiadomość. To, która wiadomość przychodzi, waży więcej, niż większość ludzi się spodziewa. W dziesięciu symulowanych kampaniach w dużej organizacji ochrony zdrowia średni odsetek osób, które dały się złapać, wahał się od 1,8% do 30,8% w zależności od przynęty, a dwie wiadomości o blisko spokrewnionych tematach wypadły zupełnie inaczej — 7,6% dla tej o zapisach na świadczenia pracownicze wobec 30,8% dla tej o zasadach urlopowych.Potwierdzone, z ograniczeniami Siedemnastokrotny rozrzut między wiadomościami wysłanymi do tych samych ludzi w tych samych miesiącach to fakt o wiadomościach, a nie o czytających je osobach: „jak mogłem się na to nabrać?” ma zwykle odpowiedź dotyczącą listu.

Gdyby rozpoznawanie było całą odpowiedzią, uczenie go działałoby. Działa znacznie gorzej, niż sugeruje branża, która je sprzedaje.

Ośmiomiesięczny eksperyment z losowym przydziałem, obejmujący ponad 19 500 pracowników dużej organizacji ochrony zdrowia, nie wykazał istotnego związku między tym, jak niedawno ktoś ukończył coroczne szkolenie ze świadomości cyberbezpieczeństwa, a tym, czy nie przeszedł symulacji phishingowej, a szkolenie wbudowane, podawane zaraz po kliknięciu, obniżyło średni odsetek porażek zaledwie o około 1,7 punktu procentowego. Przez te osiem miesięcy 56% użytkowników — 11 077 z 19 789 — przynajmniej raz kliknęło symulowany odnośnik phishingowy.Potwierdzone, z ograniczeniami Przy tej ostatniej liczbie warto się zatrzymać: przy dostatecznej liczbie prób ponad połowa dużej, przeszkolonej, zawodowej populacji w coś kliknęła. Ci, którzy uniknęli pierwszych ośmiu przynęt, nie byli innym gatunkiem — byli po prostu ludźmi, którzy jeszcze nie trafili na swoją. I to jest uczciwy argument za ścieżką rozpoznawania: nie odporność, tylko nazwa gotowa pod ręką.

Nic tutaj nie stawia diagnozy wiadomości, którą masz przed sobą, i żaden szkic jej też nie oczyszcza: prawdziwa wiadomość może przybrać dowolny z tych kształtów albo żaden.

Brytyjskie National Cyber Security Centre stawia tę granicę wprost: „Żaden pakiet szkoleniowy, łącznie z symulacjami phishingu, nie nauczy użytkowników wykrywać każdej próby phishingu”. Jego wytyczne traktują czujność użytkowników jako jedną z czterech warstw — obok powstrzymywania wiadomości przed dotarciem do ludzi, ograniczania tego, do czego może sięgnąć udany atak, i szybkiego reagowania, gdy już do niego dojdzie — i ostrzegają, że obwinianie użytkowników za klikanie w odnośniki nie działa.Historyczne / opisowe Czytaj to jako argument przeciwko pewnemu rodzajowi wstydu: kto dał się złapać, ten dał się złapać branży, która miała o nim lepsze dane niż on o niej.

Ten wpis nie mierzy też, jak bardzo ćwiczenie rozpoznawania kogokolwiek chroni; takiego badania nie przeprowadzono.

Za tym wpisem stoją trzy rodzaje narzędzi. Statystyki zgłoszeń liczą to, co zgłoszono, przez ludzi, którzy wiedzieli, gdzie zgłaszać, w jednym kraju. Badania symulacyjne mierzą kliknięcia w fałszywą przynętę wewnątrz organizacji, która zgodziła się na testowanie — i milczą raczej o tym, co przychodzi na prywatny telefon w niedzielę. A wyniki dotyczące szkoleń pochodzą od jednego dużego pracodawcy z ochrony zdrowia.

To samo badanie wyjaśnia, dlaczego szkolenie daje tak niewiele: ponad połowa wszystkich wbudowanych sesji szkoleniowych kończyła się w ciągu dziesięciu sekund, a mniej niż 24% użytkowników formalnie ukończyło materiał. Wśród tej mniejszości, która ukończyła szkolenie interaktywne, prawdopodobieństwo kliknięcia w późniejszą przynętę spadło o 19% — autorzy nazywają tę redukcję małą w wartościach bezwzględnych i możliwym efektem selekcji, skoro opisuje ona ludzi, którzy sami zdecydowali się zaangażować.Potwierdzone, z ograniczeniami Otwarte pytanie nie brzmi, czy uwaga pomaga, tylko czy da się kogokolwiek nakłonić do jej poświęcenia. Tam, gdzie badania milczą — o tym, jak długo utrzymuje się jakikolwiek efekt, o tym, co robi zmęczona osoba o czwartej po południu — ten wpis milczy razem z nimi.