Учебный фишинг для сотрудников:

Да. Проведение учебных фишинговых атак на собственных сотрудниках не нарушает российское законодательство. Платформа не использует потенциально опасного кода и не сохраняет учётных данных.

Зависит от цели. Если цель — измерить реальный уровень устойчивости, предупреждение обесценивает результат. Если цель — обучение с минимальным стрессом, можно заранее сообщить, что в течение квартала будут учебные рассылки, не называя дат. Большинство клиентов выбирают второй подход: сотрудники знают, что проверки будут, но не знают, когда.

Зависит от вашего выбора. После перехода по ссылке или ввода данных сотрудник может попасть на учебную страницу с объяснением, что произошло, и рекомендациями, как распознавать подобные письма. Если вы не хотите, чтобы сотрудник сразу понял, что это была учебная фишинговая атака, его можно перенаправить на любую существующую веб-страницу.

Для работы нам потребуются только электронные адреса ваших сотрудников. Подписываем Соглашение на обработку персональных данных. Применяем все необходимые согласно № 152-ФЗ «О персональных данных» меры защиты.

Возможна работа через дополнительные обезличенные электронные адреса, что полностью исключит обработку нами персональных данных ваших сотрудников.

При необходимости. Список сотрудников можно загрузить вручную или синхронизировать через интеграцию с Active Directory.

В библиотеке более 90 шаблонов. Шаблоны регулярно обновляются. Также можно создать свой шаблон из любого реального письма в один клик или собрать с нуля в графическом конструкторе.

Перед проведением учебных фишинговых атак мы попросим добавить наш почтовый сервер в белый список на средствах фильтрации входящей электронной почты.

Да. Минимального порога по размеру нет. Даже в организациях из нескольких десятков человек есть риск потери учётных записей из-за социальной инженерии. Будет полезно тренироваться заранее.

При самостоятельном использовании вы получаете полный доступ к платформе и всё настраиваете сами. В формате услуги мы берём на себя разработку стратегии атак, составление расписания, подбор шаблонов и подготовку отчётов. Вы получаете готовые результаты без необходимости погружения в инструмент.

Учебный фишинг — это контролируемая имитация фишинга, при которой компания сама отправляет своим сотрудникам безопасные «фишинговые» письма и фиксирует реакцию. Цель — не подловить и наказать, а увидеть реальную картину: кто переходит по ссылке, кто вводит данные, а кто сообщает о подозрительном письме в службу ИБ. По нашей статистике и данным рынка, без подобной практики до 30% сотрудников переходят по фишинговым ссылкам и до 28% вводят корпоративные логины и пароли — и одной теории, чтобы это исправить, недостаточно.

Тест по противодействию фишингу проверяет знания «на бумаге» — сотрудник в спокойной обстановке отвечает на вопросы и почти всегда отвечает правильно. Учебные фишинговые атаки работают иначе: письмо приходит в реальный рабочий ящик в обычный рабочий день, среди других задач и срочных писем. Именно так формируется не знание, а навык — и именно эти результаты совпадают с поведением сотрудников при настоящей атаке.

Мы согласовываем с вами список адресатов, цели, сценарий и легенду письма. Дальше готовим инфраструктуру (домен, шаблон, посадочную страницу) и проводим контролируемую рассылку фишинговых писем по выбранным группам. Система фиксирует все события: открытие письма, переход по ссылке, ввод данных на учебной странице, отправку файла или сообщение о письме в ИБ. Реальные пароли и персональные данные не сохраняются — это безопасный тест на фишинг-ссылку.

Да. Все письма в рамках учебной кампании не содержат вредоносного кода, не нарушают работу почтовых сервисов и не приводят к утечке данных. Сотрудник, попавшийся на учебное письмо, видит обучающую заглушку с разбором ошибки — это, по сути, мягкая обратная связь, а не наказание. Сценарии, формулировки и тон писем мы заранее согласовываем с заказчиком, чтобы избежать чувствительных тем.

Мы подбираем сценарии под отрасль и роли: фишинговые рассылки электронных писем от имени HR (анкеты, индексация зарплаты, отпуск), от внутренних сервисов (СЭД, корпоративный портал, VPN), от подрядчиков и контрагентов (счета, акты), от популярных сервисов (доставка, маркетплейсы, банки). Для бухгалтерии, ИТ и руководителей делаем отдельные легенды — поведение и риски у этих ролей разные, и универсальное письмо не даст объективной картины.

Разовая проверка показывает срез, но не формирует навык. Оптимальный режим — регулярные кампании: чаще всего раз в 1–2 месяца, с паузами и переменными сценариями, чтобы сотрудники не «привыкали к фишингу». Группе риска и ключевым ролям (финансы, топ-менеджмент, доступ к критичным системам) рассылки имеет смысл планировать чаще, чем остальным.

После рассылки вы получаете подробный отчёт: общая статистика и динамика, разбивка по подразделениям и ролям, список сотрудников по типам реакций (открыли — кликнули — ввели данные — сообщили в ИБ), сравнение с отраслевым бенчмарком и рекомендации, что делать дальше. На основании этих данных формируется персональная программа обучения, а не «курс для всех подряд».

Здесь учебный фишинг и обучение работают в связке. Сотрудников из группы риска мы предлагаем подключить к платформе QMULO — это российский сервис от Infosecurity (ГК Softline), который мы используем как обучающую часть. На QMULO собраны короткие 5–10-минутные курсы, памятки и практические тесты по фишингу, паролям, работе с данными и устройствам. Платформа автоматически отслеживает прогресс, напоминает повторить материал и показывает, какие навыки уже закрыты, а где остаются риски.

Мы рекомендуем начинать с диагностики: первая учебная фишинговая рассылка показывает реальную точку отсчёта и группу риска. Дальше подключается QMULO — точечно для тех, кому это действительно нужно. Через 2–3 месяца проводится повторная имитация фишинга, и вы видите динамику в цифрах: насколько снизился процент кликнувших и вырос процент тех, кто сообщил о письме в ИБ.