Simulare phishing: click-rate-ul nu e metrica reală

La Tohan SA, companie din grupul ROMARM, atacatorii au avut nevoie de două conturi de email. Le-au compromis, au configurat redirecționarea mesajelor ca să citească în liniște corespondența, apoi au modificat documentele care circulau deja în conversații pornite. Rezultatul, consemnat în raportul anual al DNSC pe 2025: transferuri bancare frauduloase de peste 20.000 de euro. Nicio simulare phishing rulată în luna dinainte nu ar fi produs un număr care să prezică asta.

Reacția firească, după un astfel de caz, e să cumperi un training de securitate și o simulare pe lista de emailuri. E o reacție bună. Problema începe la raportul care vine după: aproape toată lumea se uită la un singur număr, procentul de angajați care au dat click, și trage din el concluzii pe care numărul acela nu le poate susține.

Click-rate-ul dintr-o simulare phishing spune mai mult despre momeală decât despre oameni

Cel mai mare experiment randomizat publicat pe tema asta a rulat opt luni la UC San Diego Health, pe peste 19.500 de angajați și zece campanii, și a fost prezentat la IEEE Symposium on Security and Privacy 2025 (Ho, Mirian, Luo, Savage, Voelker și colab.). În aceeași populație, în aceeași perioadă, o momeală de tip „actualizare parolă" a produs 1,82% click. O momeală de tip „modificare a politicii de concedii" a produs 30,8%. Aproximativ de șaptesprezece ori mai mult, cu aceiași oameni.

Consecința practică e neplăcută pentru oricine a prezentat vreodată un slide cu o săgeată în jos. „Am scăzut click-rate-ul de la 22% la 9%" nu înseamnă nimic dacă momelile s-au schimbat între runde, iar în practică ele se schimbă aproape întotdeauna: furnizorul rotește șabloanele ca să nu devină previzibile. Ai măsurat dificultatea momelii, nu vigilența echipei.

Al doilea lucru pe care îl ascunde numărul e fereastra de măsurare. În prima lună, circa 10% dintre angajați au dat click. Pe orizontul de opt luni, peste 50% au dat click pe cel puțin un link simulat. Aceeași organizație, aceiași oameni: „10%" și „peste jumătate" sunt amândouă adevărate și descriu același lucru, măsurat altfel.

Al treilea lucru e efectul training-ului însuși. Pagina de instruire afișată imediat după click, formatul standard al industriei, a produs o reducere statistic semnificativă, dar de aproximativ 1,7 puncte procentuale în rata medie de eșec. Iar între faptul că un angajat făcuse recent training-ul anual obligatoriu de securitate și probabilitatea de a cădea la phishing nu s-a găsit nicio relație semnificativă. Nu o transformare, nu o scădere spectaculoasă pusă pe o pagină de vânzare: 1,7 puncte procentuale.

• Momeli diferite între runde — comparația dintre rundă și rundă devine fără sens.
• Ferestre de măsurare diferite — o lună și opt luni dau cifre care par să se contrazică.
• Un angajat care a dat click și a anunțat imediat și unul care a dat click și a tăcut apar identic în raport.
• Angajații care au recunoscut momeala și n-au făcut nimic nu apar deloc — sunt invizibili în click-rate.
• Numărul nu spune nimic despre ce se întâmplă după click: dacă a introdus parola, dacă a doua verificare a ținut, dacă sesiunea a fost furată.

Iar contextul din România nu lasă loc de relaxare. Conform raportului anual DNSC pe 2025, incidentele de phishing au crescut cu 70,6%, de la 2.917 la 4.975; compromiterea de conturi a crescut cu 353%, la 1.125 de cazuri; fraudele și tentativele de fraudă au crescut cu 91%, de la 2.061 la 3.937. În aceeași perioadă, atacurile brute-force au scăzut cu 72,7% (de la 172 la 47) și cele DDoS cu 52,8% (de la 72 la 34). Atacatorii nu au renunțat — au mutat efortul de pe forța brută pe om.

Ce măsori de fapt: raportarea și timpul până la raportare

Ediția 2024 a Verizon DBIR a măsurat un timp median de 21 de secunde de la deschiderea emailului până la click pe link și încă 28 de secunde până la introducerea datelor. Sub un minut, cap-coadă. În fereastra asta nu intervine nimeni. Un filtru care nu a prins mesajul la livrare nu-l va prinde în 21 de secunde, iar un om care s-a hotărât deja nu se răzgândește la secunda 40.

Singurul lucru pe care un angajat îl face mai bine decât un filtru este să ridice mâna. Click-ul e un eveniment despre o persoană; raportarea e un eveniment despre organizație, pentru că declanșează verificarea pentru toți ceilalți care au primit același mesaj și încă nu l-au deschis. Două cifre contează, prin urmare, mai mult decât click-rate-ul: ce procent dintre destinatari au raportat mesajul și cât timp a trecut, median, de la livrare până la prima raportare. Amândouă rămân comparabile de la o rundă la alta chiar dacă momeala se schimbă, pentru că măsoară un comportament, nu dificultatea unei capcane.

Aceeași echipă, aceeași perioadă: 1,82% sau 30,8%. Diferența n-a fost în oameni, ci în subiectul emailului.

Același studiu explică și de ce training-ul mediu mișcă atât de puțin cifra: 75% dintre utilizatori au petrecut cel mult un minut pe materialul de instruire, iar circa o treime l-au închis fără nicio interacțiune. Singura formă asociată cu o scădere reală a eșecurilor viitoare — aproximativ 19% reducere relativă — a fost training-ul interactiv efectiv finalizat. Sub-grupul care termină un training e însă auto-selectat: probabil erau deja oamenii mai atenți. E o ipoteză rezonabilă, nu o dovadă cauzală. Dar sugerează unde e problema: nu în conținut, ci în finalizare.

Training-ul e stratul 2 din 3, nu apărarea întreagă

Înainte de a decide cât investești în stratul uman, merită să știi cât cântărește. Aici sursele par să se contrazică și e important de spus de ce. ENISA Threat Landscape 2025, pe aproximativ 4.900 de incidente observate în UE între iulie 2024 și iunie 2025, dă phishing-ul ca vector de intruziune inițială numărul unu, cu 60% din cazuri, față de 21,3% pentru exploatarea de vulnerabilități. Verizon DBIR 2026, care numără breșe confirmate la nivel global și atribuie fiecărei breșe un singur vector de acces inițial, dă phishing-ul la 16%, sub exploatarea de vulnerabilități (31%) și aproape de abuzul de credențiale (13%). Nu se contrazic pe fond: numără lucruri diferite, incidente observate versus breșe confirmate. În ambele lecturi phishing-ul e în primele trei, în raportul DNSC pe 2025 e principalul vector identificat, iar elementul uman apare, tot conform DBIR 2026, în 62% dintre breșe. Atât — nici mai mult, nici mai puțin.

Stratul unu e ce nu ajunge niciodată la om. Din atacurile blocate de gateway-urile de email, arată DBIR 2026, 80% erau phishing de credențiale sau de sesiune, 10% livrare de malware, 5% callback phishing și 3% business email compromise. Stratul doi e training-ul și simularea. Stratul trei e ce se întâmplă după ce cineva tot dă click — și aici, singura categorie de autentificare recunoscută de CISA și NIST ca eficace împotriva preluării moderne de conturi este MFA-ul rezistent la phishing: FIDO2/WebAuthn, passkeys legate de dispozitiv, certificate. Motivul e tehnic, nu de marketing: leagă criptografic autentificarea de domeniu. SMS, coduri TOTP și notificări push rămân phishable, pentru că un proxy adversary-in-the-middle captează cookie-ul de sesiune după un login perfect reușit.

De ce contează stratul trei chiar dacă training-ul merge bine: jumătate dintre victimele de ransomware din DBIR 2026 avuseseră un eveniment de compromitere de credențiale sau un infostealer în cele 95 de zile anterioare. Credențiala furată nu produce pagubă în ziua în care e furată. Produce pagubă la trei luni distanță, când nimeni nu mai leagă cele două evenimente.

Mai e o limită pe care furnizorii de training o menționează rar, inclusiv noi când vindem un pachet care simulează pe email. Conform DBIR 2026, 41% dintre breșele de inginerie socială folosesc alt canal decât emailul, iar circa un sfert vin din social media sau telefon; simulările de vishing reușesc cu aproximativ 40% mai des decât cele pe email (click-rate median 2% față de 1,4%, pe date de simulare, nu pe breșe reale). În România decalajul e și mai clar: în semestrul I 2026, 42% dintre incidentele raportate la DNSC au fost vishing, 14% phishing clasic și 13% smishing. O simulare pe email testează un vector în scădere relativă. Restul se acoperă în sesiunea live și în procedură, nu în simulare.

Cum construiești un program care mișcă riscul, nu doar raportul

1. 1Fixează un set de momeli de referință. Două-trei șabloane identice la fiecare rundă, plus restul rotative. Doar pe cele fixe ai voie să compari evoluția în timp.
2. 2Pune un buton de raportare la un singur click distanță, în clientul de email pe care îl folosesc oamenii. Dacă raportarea înseamnă un email către IT cu mesajul suspect atașat, rata de raportare va rămâne aproape de zero indiferent cât training faci.
3. 3Măsoară rata de raportare și timpul median până la prima raportare, rundă de rundă. Astea sunt cifrele pe care le urci; click-rate-ul e doar contextul lor.
4. 4Fă din raportare un eveniment fără cost pentru angajat. Fără liste cu nume, fără ironii în ședință. Un om care se teme de ridicol ascunde click-ul, iar un click ascuns costă mai mult decât zece raportate.
5. 5Leagă raportarea de cineva care chiar se uită la ea, într-un interval definit — altfel butonul devine o cutie neagră. Am scris separat despre ce se întâmplă după ce sună alarma.
6. 6Investește în finalizare, nu în cantitate de conținut. O sesiune live cu exemple din industria ta, urmată de e-learning scurt, are șanse mai mari să fie parcursă până la capăt decât un modul trimis pe email și uitat în inbox.
7. 7Scrie procedura de verificare out-of-band pentru orice cerere de plată, schimbare de IBAN sau modificare de factură: apel telefonic pe un număr știut dinainte, niciodată pe cel din email. Exact mecanismul de la Tohan SA se oprește aici, nu în simulare.
8. 8Treci conturile de email și cele de administrare pe MFA rezistent la phishing înainte de a mai adăuga o rundă de training. E o măsură care nu depinde de vigilența nimănui.
9. 9Scoate din curriculum sfatul „caută greșelile de scriere". DNSC avertizează că mesajele frauduloase din România sunt acum scrise corect în limba română și replică identitatea vizuală a instituțiilor legitime.

Ce ceri concret într-o ofertă de training și simulare

Un furnizor serios răspunde fără ezitare la lista de mai jos. Dacă răspunsurile sunt vagi, ceea ce cumperi e un raport, nu un program.

• Care momeli rămân constante între runde și care se rotesc — cu justificarea alegerii.
• Dacă raportul include rata de raportare și timpul median până la prima raportare, nu doar click-rate-ul.
• Ce canale acoperă efectiv simularea. Dacă e doar email, cere-i să spună asta explicit și discutați separat procedura pentru telefon și SMS.
• Cum se urmărește finalizarea training-ului, nu doar trimiterea lui.
• Ce se întâmplă cu angajatul care dă click la fiecare rundă: o discuție și o schimbare de proces, nu o sancțiune.
• Cadența: o intervenție unică înainte de un audit sau un program recurent cu simulare lunară.

Ca reper de cost, în pachetele noastre o sesiune live de două ore cu materiale adaptate industriei, plus simulare pe lista de emailuri, pornește de la 2.800 RON pentru până în 25 de angajați și 4.500 RON pentru 26–75 de angajați. Varianta recurentă, patru sesiuni pe an plus o simulare pe lună, e 1.900 RON pe lună pentru până în 50 de angajați și 3.500 RON pe lună pentru 50–150. Livrăm și raportul de click-rate, pentru că îl cere toată lumea; articolul ăsta e despre ce mai trebuie citit în el ca să însemne ceva. Iar în serviciul de securitate cibernetică afișăm ca rezultat așteptat o reducere măsurabilă a click-rate-ului, de la 25–30% la sub 5% în șase luni — e ținta noastră, în linie cu ce raportează pe propriii clienți furnizorii mari de programe comportamentale, și e onest să spunem că studiul randomizat de mai sus nu susține efecte de mărimea asta la nivel de populație generală.

Dacă firma intră sub NIS2, discuția are și o latură de conformitate. Legea nr. 124 din 7 iulie 2025, care aprobă OUG nr. 155/2024 (Monitorul Oficial nr. 638 din 07.07.2025), prevede la art. 14 alin. (2) că membrii organelor de conducere ale entităților esențiale și importante urmează cursuri de formare profesională acreditate, iar entitățile asigură în mod regulat formarea profesională a întregului personal. Dacă nu ești sigur în ce categorie intri, am detaliat separat cum verifici încadrarea și obligațiile față de DNSC.

Concluzie

Click-rate-ul e ușor de măsurat, ușor de pus pe slide și aproape imposibil de interpretat corect: aceeași echipă produce 1,8% sau 30,8% în funcție de ce scrie în subiectul emailului. Ce merită urmărit e cât de repede ridică cineva mâna și cât de bine ține autentificarea când mâna nu se ridică la timp. Dacă vrei să ne uităm împreună la ultimul tău raport de simulare, sau la primul, hai să discutăm 30 de minute.