Symulator phishingu dla firmy: jak przeprowadzic pierwsza kampanie w 60 minut

TL;DR

Pierwsza kampania phishingowa dla pracownikow zajmuje 60 minut na setup + 5 dni na wysylke i pomiar. Wskaznik click-through bez wczesniejszego treningu w PL to 28-38% (dane shieldu.pl Q1 2026), spada do 6-9% po 3-4 kampaniach. Kluczowe: kampania zgodna z RODO (informowanie ex-post, brak indywidualnych "wstyd list", debriefing jako lekcja). NIS2 wymaga awareness training + regularnych testow (Art. 21 dyrektywy).

Dlaczego symulacja > standardowe szkolenie video?

Standardowe szkolenie e-learning z cyber: retencja wiedzy 15-20% po 30 dniach (Ebbinghaus + dane KnowBe4). Symulacja phishingowa: retencja 65-75%, bo pracownik przezywa realistyczna sytuacje. Dodatkowo:

• Szkolenie = teoria, symulacja = muscle memory
• Szkolenie da compliance-check, symulacja da twarde dane (KPI, trendy)
• Szkolenie za 500 zl kosztuje 500 zl, symulacja placi sie sama poprzez uniknieciu wycieku (sredni koszt wycieku danych: 65-450 tys. zl dla firmy SMB wg IBM 2024)

60-minutowy setup - 6 krokow

Krok 1 (5 min): Wybierz platforme

Opcje na polskim rynku:

• shieldu.pl - polskie szablony, integracja z e-Teczka, GDPR-compliant

• KnowBe4 - amerykanska, drogi (30-50 zl/user/mc), szablony po angielsku

• Gophish - open-source, wymaga IT + hostingu

Dla firmy 100-osobowej: shieldu.pl 749 zl/mc (razem z BHP+HR+Cyber), KnowBe4 3000-5000 zl/mc.

Krok 2 (10 min): Wybierz szablon ataku

5 legendarnych phishingow (dziala na 30-40% odbiorcow, jesli nie byli trenowani):

• Fake InPost / DHL - "Twoja przesylka czeka na oplate 5.99 zl" + fake link do platnosci
• Fake ZUS - "Zaleglosc skladek - kliknij ktora oplacic" + link do falszywego PUE
• Fake HR wewnetrzne - "Aktualizacja wynagrodzenia - potwierdz dane" + fake login form
• Fake Microsoft 365 - "Konto zablokowane, zaloguj sie by odblokowac" + fake login
• Spear phishing (advanced) - osobiste: "Cześć [Imie], Slawek prosil bym Ci przekazal ten plik" - najgroziejszy, click-through 60-80%

Krok 3 (10 min): Skonfiguruj domene

Wymagany spoofing bezpieczny: platforma wysyla z domeny podobnej ale nie tozsamej (np. n0-reply@twoja-firma.pl zamiast no-reply@twoja-firma.pl). Chroni Cie przed:

• Blacklistem wlasnej domeny

• Zabaltoreniem reputacji domain SMTP

• Kara od Google Postmaster za "phishing z ich domeny"

Dobre platformy maja własna infrastrukture wysylki z osobnymi domenami (safeskill.pl, e-payments-secure.com itp.) - Ty tylko wybierasz spośród szablonow.

Krok 4 (10 min): Wybierz grupe testowa

Startuj maly - 10-15% pracownikow (np. jeden dzial "IT" albo "Finanse"). Pozniej rozszerz. Kluczowe: NIE wybieraj tylko juniorow (uprzedzenia beda), rozbij po dzialach i seniority. Jesli w firmie sa osoby chronione (kobiety w ciazy, dlugoterminowe L4) - opuscic zgodnie z zgoda dzialu HR.

Krok 5 (5 min): Wyslij pilot (opcjonalne)

Przeslij pilotowo do swojego zespolu cyber + IT. Sprawdz:

• Czy email dotarl (nie w spamie)

• Czy link dziala i track czas kliku

• Czy landing page "Zlapales sie!" wyswietla sie poprawnie

• Czy metryki loguja sie do dashboardu

Krok 6 (10 min): Harmonogram + wyslanie

Best practice:

• Wysylka wtorek/sroda 09-11, unikać poniedzialkowego szaleństwa i piatkowego wyluzowania

• Rozklad 5 dni wysylki (nie wszyscy naraz - unikasz "plotki po biurze") - platforma automatycznie rozklada

• Deadline pomiaru = 7 dni od wysylki (co po tygodniu nie klika, uznajemy jako "ignore")

Metryki, ktore mierzysz

Kluczowa metryka: Reported rate. Firma bezpieczna to nie ta, w ktorej nikt nie klika, tylko ta, w ktorej kazdy klik jest natychmiast zgloszony.

Debriefing - kluczowy element

Nigdy nie publikuj listy osob, ktore kliknely (zlamiesz RODO Art. 5 + kulture zaufania). Zamiast tego:

• Email zbiorczy do wszystkich uczestnikow: "Byla to symulacja. X% z Was kliknelo - typowo dla firmy Waszej wielkosci. Oto co mozecie zrobic lepiej..."
• Individualny popup landing page dla osob, ktore kliknely: "Zlapales sie! Ten link mogla byc pulapka. Zobacz ten 2-min tutorial jak rozpoznawac phishing"
• Zbiorowy training (30 min lunch-and-learn) 2 tygodnie po kampanii - omowienie triku, na ktore ludzie lapali sie najczesciej

Zero-tolerance = zla praktyka. Ludzie beda ukrywac kliky ("nie chce sie do wstydzicielki wpaść"). Uzyj carrot: Kudos dla osob, ktore ZGLOSILY phishing najszybciej (nie karac tych, co kliknely).

Zgodnosc z RODO

Kampania phishingowa przetwarza dane osobowe pracownikow (email, kliky, IP, geolokalizacja). Wymogi:

• Informowanie przed startem programu (nie przed pojedyncza kampania - to zabilo by ja) - jednorazowe w regulaminie pracy albo umowie o zakazie
• Zgoda nie jest potrzebna - podstawa prawna Art. 6 ust. 1 lit. f RODO (uzasadniony interes pracodawcy w ochronie danych)
• Zbieraj minimum - tylko dane niezbedne (kto + kiedy + czy kliknal + czy zgloszil), NIE zbieraj tresci wpisanych do fake login form
• Anonimizacja po 90 dniach - metryki agregowane zostaja, ale IP i timestampy indywidualne kasujemy

FAQ

Czy moge testowac phishingowo pracownikow bez ich wiedzy?

Tak, ale musisz miec klauzule w regulaminie pracy albo "polityka bezpieczenstwa informacji" podpisana przez pracownika. Bez tego RODO oraz Art. 22^1 KP (ochrona danych osobowych pracownika) moze byc naruszone. Format: "Pracodawca prowadzi symulacje ataku phishingowego w celu ochrony danych. Rejestruje click-through i zgloszenia. Wyniki agregowane, nie personalne."

Czy phishing dziala rowniez na doswiadczonych IT?

Tak - najbardziej. Ankieta 2024 (Verizon DBIR): CIO/CTO maja HIGHEST click rate 47% vs sredni pracownik 23%. Powod: overconfidence + wysokie tempo pracy + nadmiar emaili. Zawsze wlacz IT w testy.

Ile kosztuje kampania phishingowa?

Setup: 1 h Twojego czasu = 0 zl bezposredniego kosztu. Platforma: shieldu.pl w Business Plus 749 zl/mc (razem z BHP + HR + wszystkim). KnowBe4 tylko phishing: 1500-3000 zl/mc dla firmy 100-osobowej.

Jak czesto powtarzac kampanie?

Best practice: 1x/kwartal + 1x roczna kompleksowa (5-7 dni, wielokanalowa). Optimum przypomnien - 6-8 tygodni miedzy kampaniami (nie za czesto by ludzie sie nudzili, nie za rzadko by tracil odrucli).

Co jesli pracownik odmowi udzialu?

Nie moze odmowic - jest to obowiazek pracodawcy (Art. 207 § 1 KP + NIS2 Art. 21), pracownik jest odbiorca testu (nie ma zgody, jest info). Jesli pracownik obraża sie za "nakrywanie" - to znak, ze firma potrzebuje lepszego debriefingu (nie carrot vs stick).

Czy AI moze byc uzyte do generowania phishingow?

Tak i to jest killer feature spear-phishingu. shieldu.pl uzywa Claude Sonnet do generowania spersonalizowanych phishingow: bierze imie + stanowisko + dzial i pisze email "od kolegi z zespolu" ktory brzmi realistycznie. Click-through na spersonalizowanym: 60-85% vs generyczny 25-40%.

Jakie sa alternatywy dla phishingowej symulacji?

Alternatywy: Vishing (phone phishing symulator), Smishing (SMS phishing), Physical intrusion test (tester probuje wejsc do biura). W NIS2 compliance najczestsza jest email phishing (95% ataków realnych zaczyna od emaila).

Podsumowanie

Pierwsza kampania phishingowa to 60 min setup + 5 dni pomiaru. Wskaznik click-through spada z 30% do 8% po 4 kampaniach (dokladnie mierzalnie). Kluczowe: debriefing zamiast wstydu, Kudos za zglaszanie zamiast kary za klikniecie, RODO-safe metryki. NIS2 i ISO 27001 wymagaja regularnych testow - lepiej zaczac od czwartego kwartalu 2026 niz "nastepnego roku".

Umow demo phishing symulatora | Konsultacja z CISO | Zobacz Compliance Hub