Учебная фишинговая атака: подготовка, сценарии, метрики и анализ результатов

В одной из компаний доля сотрудников, которые совершали опасные действия — переходили по ссылкам или открывали вложения, снизилась с 70 до 5%. 

Для этого команда ИБ выстроила регулярные тренировки: сотрудники получали учебные фишинговые письма, а те, кто допускал ошибки, проходили дополнительное обучение и повторную проверку.

В статье разберем, как подготовить и провести учебную фишинговую атаку, какие метрики собирать и как получить результаты, которым можно доверять.

Учебная фишинговая атака — это контролируемая имитация реальной атаки, которая помогает проверить, как сотрудники распознают подозрительные письма и реагируют на них.

Сотрудникам отправляют тестовые письма, похожие на настоящие фишинговые сообщения. Затем команда ИБ отслеживает их действия: кто перешел по ссылке, попытался ввести данные на поддельной странице или сообщил о подозрительном письме.

Проверка проводится в безопасной среде, без сбора настоящих паролей и риска для корпоративных систем. Результаты помогают выявить ошибки сотрудников и определить, какие навыки нужно отработать на следующих тренировках.

Чтобы результаты проверки помогли оценить поведение сотрудников, заранее определите цель, подготовьте сценарий и настройте сбор данных.

1. Определите цель проверки

Выберите, что хотите проверить: распознают ли сотрудники фишинговые письма, переходят ли по подозрительным ссылкам, вводят ли данные на поддельных страницах или сообщают об угрозах в ИБ.

Если проводите проверку впервые, используйте ее для определения исходного уровня навыков сотрудников до обучения. В дальнейшем это поможет оценивать изменения.

2. Выберите участников

Определите, какие подразделения или группы сотрудников будут участвовать. Учитывайте результаты предыдущих проверок, доступы к чувствительным данным и участие в критичных бизнес-процессах.

На основе этих данных выделите группы повышенного риска и определите, кого проверять в первую очередь.

3. Подготовьте сценарий атаки

Составьте письмо, похожее на реальный рабочий запрос. Учитывайте задачи сотрудников и угрозы, с которыми они могут столкнуться. Например, для бухгалтерии актуальны письма о смене платежных реквизитов, для кадровой службы — сообщения от кандидатов с вложениями.

Выберите действие, которое хотите проверить: переход по ссылке, открытие вложения или попытку ввода данных на имитированной странице авторизации.

4. Обеспечьте безопасность

Согласуйте проведение тренировки с ответственными за почту и информационную безопасность. Используйте безопасные тестовые страницы и вложения, которые не влияют на работу корпоративных систем.

Если учебная атака предполагает ввод учетных данных, рекомендуем фиксировать только попытку их отправки, без сохранения настоящих логинов и паролей сотрудников. Также не собирайте платежные данные.

5. Настройте рассылку и сбор данных

Укажите участников, время отправки и продолжительность проверки. Убедитесь, что почтовые средства защиты корректно обрабатывают учебные письма, а система фиксирует нужные действия сотрудников.

6. Проведите тестовый запуск

Отправьте письмо небольшой контрольной группе. Проверьте доставку, работу ссылок, отображение тестовой страницы и регистрацию событий. Убедитесь, что сообщения о подозрительном письме поступают в предусмотренный канал.

7. Запустите учебную атаку

Отправьте письма выбранным сотрудникам и отслеживайте ход проверки. После завершения рассылки соберите результаты для анализа. Если планируете сравнивать несколько тренировок, сохраняйте сопоставимые условия проведения.

После учебной атаки соберите данные о действиях сотрудников. В таблице показали, какие показатели отслеживать и как использовать результаты для планирования следующих тренировок.

При расчете процентов учитывайте только доставленные письма. Например, долю сотрудников, открывших вложение, считайте среди тех, кому доставили письмо с тестовым файлом.

Учитывайте работу почтовой защиты. Почтовые сканеры могут автоматически переходить по ссылкам из учебных писем. Проверяйте такие события, прежде чем засчитывать их как действия сотрудников. Само открытие письма также не означает, что сотрудник допустил ошибку.

Сравнивайте сопоставимые проверки. Если в первой тренировке использовалось очевидно поддельное письмо, а во второй — убедительный сценарий от имени знакомого сервиса, разница в результатах может объясняться сложностью задания. Учитывайте также состав участников и условия проведения.

Оценивайте изменения в поведении. Снижение доли опасных действий и рост числа сообщений об атаках помогают оценить результаты обучения. Анализируйте показатели по группам сотрудников: одинаковая доля ошибок может означать разный риск в зависимости от их доступов и рабочих задач.

Подробнее о том, как связать результаты учебных атак с рисками для компании и использовать метрики для принятия решений, рассказали в статье «Почему CISO в 2026 году нужны не метрики обучения, а метрики защищенности».

Результаты проверки используйте для корректировки обучения и процессов безопасности. После каждой тренировки выполните несколько действий.

• Дайте сотрудникам обратную связь. Покажите, какие признаки указывали на фишинг, какие действия были опасными и как следовало поступить. Разберите сценарий и с теми, кто успешно прошел проверку.
• Организуйте дополнительное обучение. Выделите сотрудников, допустивших ошибки, и назначьте им короткие тренировки по соответствующим сценариям. Особое внимание уделите тем, кто ошибается повторно.
• Проверьте процесс сообщения об угрозах. Если сотрудники редко сообщают о подозрительных письмах, убедитесь, что они знают, куда обращаться. Проверьте, как быстро команда ИБ получает и обрабатывает сообщения.
• Проведите повторную атаку. Через некоторое время проверьте те же группы сотрудников на сопоставимом по сложности сценарии. Сравните результаты, чтобы оценить, изменилось ли их поведение.
• Скорректируйте программу тренировок. Определите, какие сценарии нужно обновить, каким группам сотрудников уделить больше внимания и как часто проводить следующие проверки.

Не используйте результаты учебных атак для публичного сравнения или наказания сотрудников. Ошибки должны становиться основанием для обучения и улучшения процессов безопасности.

В Start AWR можно проводить учебные фишинговые атаки для разных групп сотрудников, отслеживать их действия и оценивать результаты тренировок. На платформе доступно более 8000 шаблонов атак через электронную почту, Wi-Fi и USB HID. 

А еще мы регулярно поставляем кастомные шаблоны учебных фишинговых атак для вашей компании.

Запишитесь на бесплатное демо — покажем, как организовать учебные атаки и анализировать их результаты.