Phishing mokymai darbuotojams: kaip sumažinti click rate nuo 34% iki 4%

Phishing atakos yra socialinės inžinerijos pažeidimo tipas, kuomet užpuolikas siunčia suklastotą email, SMS ar pranešimą, siekdamas išgauti kredencialus arba įdiegti kenkėjišką programą. Verizon DBIR 2024: 90% pažeidimų prasideda nuo phishing. Reguliarus mokymas sumažina click rate nuo 34% iki 4-5%.

Phishing nėra nauja grėsmė, bet 2026 m. ji aktualesnė nei bet kada. AI generated phishing pašalino paskutinį akivaizdų atpažinimo ženklą — gramatines klaidas. BEC (Business Email Compromise) atakos LT rinkoje 2025 m. kainavo dešimtimis tūkstančių eurų vienetiniais atvejais — viena LT logistikos įmonė prarado 240 000 EUR per vieną klaidingą pervedimą. NIS2 21 straipsnis nuo 2025 m. spalio 17 d. tiesiogiai reikalauja kibernetinės higienos mokymų ir MFA visose kritinėse sistemose.

Šis straipsnis paaiškina, kodėl 90% kibernetinio saugumo pažeidimų prasideda nuo phishing, kaip atpažinti pagrindinius požymius per 30 sekundžių, ir pateikia praktinę 90 dienų programą, kaip įdiegti veikiančią phishing simuliacijų sistemą. Visi skaičiai paremti Verizon DBIR, KnowBe4, IBM ir FBI IC3 ataskaitomis.

Kas yra phishing atakos ir kodėl jos veikia 2026 m.?

Phishing — socialinės inžinerijos atakų tipas, kuomet užpuolikas apsimeta patikimu siuntėju (banku, vadovu, tiekėju, valstybės institucija) ir siunčia suklastotą žinutę. Tikslas — priversti gavėją atlikti veiksmą: spustelėti nuorodą, atidaryti priedą, įvesti kredencialus, atlikti pavedimą. Skirtingai nei techninės atakos prieš sistemas, phishing taikosi į žmogaus psichologiją.

Verizon DBIR 2024: 90% pažeidimų prasideda nuo žmogaus

Verizon Data Breach Investigations Report 2024 — viena autoritetingiausių metinių kibernetinio saugumo ataskaitų, paremta 30 458 realių incidentų analize. Pagrindinė išvada: 68% pažeidimų apima žmogaus elementą (klaidą, manipuliaciją), o phishing yra dažniausias pradinis atakos vektorius. Kombinuotai su kredencialų vagyste, šie du metodai sudaro apie 90% visų pradinės prieigos atvejų.

Kodėl darbuotojai tampa aukomis

Phishing išnaudoja Cialdini įtakos principus, kurie veikia visus žmones nepriklausomai nuo IT žinių lygio:

• Skubėjimas — „atsakykite per 24 val. arba sąskaita bus užblokuota"
• Autoritetas — apsimetimas vadovu, banku, valstybine institucija
• Baimė — „aptiktas neteisėtas prisijungimas, patikrinkite tapatybę"
• Smalsumas — „peržiūrėkite naują dokumentą, kuriuo su jumis pasidalinta"
• Įsipareigojimas — „užbaikite pradėtą registraciją"
• Socialinis įrodymas — „kolegos jau pasirašė šį dokumentą"

AI keičia žaidimą 2025-2026 m.

Iki 2022 m. lapkričio (ChatGPT pasirodymas) gramatinės klaidos ir nesklandi formuluotė buvo pagrindiniai phishing požymiai. AI tai pakeitė. SlashNext State of Phishing 2024 ataskaita rodo +1265% phishing email kiekio padidėjimą per 12 mėnesių nuo LLM pasiekimo plačiajai auditorijai. Deepfake voice cloning leidžia atlikti vishing atakas su realaus vadovo balsu — pakanka 3 sekundžių garso įrašo iš LinkedIn vaizdo įrašo.

„Žmogaus elementas išlieka pagrindinis kibernetinių pažeidimų katalizatorius. Bet 2024 m. matome paradigminį pokytį — užpuolikai naudoja generatyvinį AI tobulinti tiek atakos turinį, tiek atakos mastą vienu metu."

7 phishing tipai, kuriuos reikia atpažinti

Phishing nėra vienas reiškinys — tai šeima atakų, sugrupuotų pagal kanalą, taikinį ir techniką. Skirtingi tipai reikalauja skirtingų atpažinimo įgūdžių ir techninių apsaugos priemonių. Veriva mokymo medžiagoje aptariami visi septyni tipai, kurie buvo aktyvūs LT rinkoje 2024-2026 m.

1. Email phishing (klasikinis, masinis)

Tūkstančiams adresų siunčiamas standartinis šablonas — tariamas banko email, paslaugų teikėjo pranešimas, „nepristatyto siuntinio" priminimas. Click rate paprastai žemiausias (1-3% nemokyto darbuotojo), bet apimties dėka net mažas procentas duoda užpuolikui rezultatą.

2. Spear phishing (taikinys konkretus asmuo)

Žinutė individualizuota pagal OSINT — užpuolikas surenka informaciją iš LinkedIn, įmonės puslapio, soc. tinklų. Pavyzdys: „Sveiki, pastebėjau jūsų postą apie X projektą, prisegu mūsų pasiūlymą." Click rate 2-3 kartus aukštesnis nei masinio phishing.

3. Whaling (taikinys vadovai, CFO)

Spear phishing potipis, taikantis tik vadovaujančias pareigas — CEO, CFO, COO, valdybos narius. Paprastai apsimeta teisininku, auditoriumi, partnerine įmone. Tikslas — finansinis pavedimas arba kredencialai į finansų sistemas. Vidutinė vienkartinio whaling nuostolis 2024 m. globally siekė 80 000 USD pagal IC3 duomenis.

4. BEC (Business Email Compromise)

Užpuolikas apsimeta vadovu arba esamu tiekėju ir reikalauja sąskaitos rekvizitų pakeitimo arba skubaus pavedimo. Dažnai naudojami kompromituoti realūs partnerio email account'ai (ne suklastoti) — tai sunkiausia atpažinti. FBI IC3 2023 m.: 2,9 mlrd. USD nuostoliai globally.

5. Smishing (SMS phishing)

Phishing per SMS — tariami banko pranešimai, pristatymo statuso atnaujinimai, mokesčių inspekcijos „skolų" priminimai. LT rinkoje 2024-2026 m. dažniausi šablonai: „Lietuvos paštas: jūsų siuntinys laukia, sumokėkite 1,99 EUR pristatymo mokestį." Mobilūs įrenginiai dažnai be antiphishing apsaugos.

6. Vishing (telefono phishing)

Apgaulė per telefono skambutį. Klasikinis variantas — „Microsoft technikas" praneša apie „aptiktą virusą". 2025 m. nauja banga — deepfake voice vishing, kuomet AI klonuoja realaus vadovo balsą. Aukščiausios rizikos darbuotojai — finansų skyriai, kurie įpratę gauti telefoninius nurodymus.

7. Quishing (QR kodų phishing)

2024-2026 m. trendas. Užpuolikas atsiunčia el. laišką su QR kodu vietoj URL nuorodos — taip apeinama email gateway URL skenavimas. Auka skenuoja kodą su mobiliu telefonu, kuriame mažiau apsaugų. Dažni šablonai: „MFA persiruošimas", „dokumento peržiūra".

Phishing atakos anatomija — 5 etapai

Suprasti, kaip phishing ataka veikia žingsnis po žingsnio, padeda nustatyti, kur ją galima sustabdyti. Veriva mokymuose naudojama 5 etapų schema, paremta MITRE ATT&CK framework'u. Trečiasis etapas — darbuotojo sprendimas — yra vienintelė vieta, kur mokymas tiesiogiai keičia atakos baigtį.

1 etapas — pasiruošimas (OSINT)

Užpuolikas surenka viešą informaciją apie tikslinę įmonę: darbuotojų sąrašai iš LinkedIn, organizacinė struktūra, naudojamų sistemų pėdsakai (job ads dažnai išduoda technologijų stack'ą), tiekėjų sąrašai iš įmonės puslapio. Šiame etape ataka dar nematoma — apsauga tik per LinkedIn privatumo nustatymus ir minimalų informacijos publikavimą.

2 etapas — siuntimas

Užpuolikas registruoja typosquat domain'ą (swedbank-lt.com vietoj swedbank.lt), nuomoja phishing kit'ą iš dark web rinkos arba naudoja kompromituotą realų email account'ą. Email siunčiamas su suklastotu „From" lauku arba realiu, jei naudojamas BEC. Apsauga šiame etape — SPF, DKIM, DMARC įrašai, email gateway su URL skenavimu.

3 etapas — spustelėjimas

Darbuotojas gauna email'ą ir priima sprendimą. Tai vienintelis etapas, kuriame žmogaus mokymas tiesiogiai keičia rezultatą. Be mokymų — 34% spustelės. Su reguliariomis simuliacijomis — 4-5%. Šis etapas yra kritinis kontrolės taškas visai programai.

4 etapas — prisijungimas (kredencialų įvedimas)

Spustelėjęs darbuotojas patenka į suklastotą prisijungimo puslapį (dažnai pikselis-į-pikselį kopiją Microsoft 365 arba banko portalo). Įveda kredencialus. Real-time phishing proxy (Evilginx, Modlishka) gali perduoti net MFA token'us. Apsauga — phishing-resistant MFA (FIDO2 hardware tokens, passkey'ai), browser isolation.

5 etapas — išnaudojimas

Užpuolikas turi kredencialus. Per pirmąsias 5-10 minučių paprastai įdiegia persistence — sukuria forwarding rules, naują OAuth aplikaciją, antrinį naudotoją admin teisėmis. Per 24 val. išplinta į kitus account'us (lateral movement). Per 7-30 d. — finansinis pavedimas (BEC) arba ransomware įdiegimas.

Phishing statistika 2024-2026 — kas keičiasi

Skaičiai keičiasi greitai, bet pagrindinės tendencijos aiškios — phishing apimtys auga, atakos sudėtingėja, vidutinis nuostolis vienetinės sėkmingos atakos atveju didėja. Veriva remiasi keturiais autoritetingiais šaltiniais: Verizon DBIR, KnowBe4 Phishing Benchmark, IBM Cost of Data Breach, FBI IC3.

Click rate be mokymų vs su mokymais

KnowBe4 2024 Phishing by Industry Benchmarking Report — analizė pagal 12,5 mln. naudotojų ir 41 industriją. Vidutinis baseline Phish-Prone Percentage (PPP) — 33,9%. Po 90 dienų reguliarių simuliacijų ir mikromokymų — 18,9%. Po 12 mėnesių programos — 4,6%. Tai 86% rizikos sumažinimas be papildomų techninių investicijų.

LT specifika

NKSC 2024 m. ataskaita registravo daugiau nei 4 200 kibernetinių incidentų Lietuvoje — beveik trečdalis prasidėjo nuo phishing. Finansų sektoriuje phishing sudarė apie 45% visų užregistruotų incidentų. Vidutinis BEC nuostolis LT rinkoje 2024-2025 m. — 80 000-250 000 EUR vienetiniais atvejais.

AI phishing 2025-2026

SlashNext 2024 ataskaita: +1265% phishing email kiekio padidėjimas nuo 2022 m. lapkričio. APWG 2024 Q2: registruota daugiau nei 1,2 mln. unikalių phishing svetainių per ketvirtį. Vidutinis sėkmingos vishing atakos su deepfake voice cloning nuostolis — paprastai didesnis nei tradicinio phishing, nes auka įsitikinusi, kad bendrauja su realiu vadovu.

BEC ekonomika

FBI IC3 2023 metinė ataskaita: BEC sukėlė 2,9 mlrd. USD nuostolių globally — daugiau nei ransomware (1,1 mlrd.) ir investicinis sukčiavimas. Vidutinis vienos sėkmingos BEC atakos nuostolis — 137 132 USD pagal IC3. ROI užpuolikui — fenomenalus, todėl BEC bus pagrindinė grėsmė ir 2026 m.

9 phishing požymiai — kaip atpažinti per 30 sek.

Profesionalūs phishing email 2026 m. atrodo kaip realūs verslo laiškai. Bet net AI generated phishing palieka pėdsakų, kuriuos galima nustatyti per 30 sekundžių, jei žinai, ko ieškoti. Veriva mokymo medžiagoje aptariami devyni požymiai, paremti SANS Institute ir KnowBe4 metodologijomis.

• Skubos jausmas. „Per 24 val.", „iki šios dienos pabaigos", „skubiai patvirtinkite". Tikrosios institucijos beveik niekada nereikalauja momentinio sprendimo.
• Domain neatitinka įmonės pavadinimo. swedbank-lt.com vietoj swedbank.lt. Microsoft0ffice.com vietoj microsoft.com (skaičius 0 vietoj raidės O).
• Klausia kredencialų ar finansinių duomenų email'u. Bankas, mokesčių inspekcija, tiekėjas niekada nereikalauja kredencialų ar mokėjimo kortelės numerio per email.
• URL neatitinka anchor text. Užvedus pelę virš nuorodos (be spustelėjimo), apačioje rodomas tikrasis URL — palygink su matomu tekstu.
• Generic kreipinys. „Gerb. kliente", „Mielas naudotojau" vietoj vardo. Jei tikra įmonė turi tavo email — ji turi ir vardą.
• Neįprasta gramatika ar kalba. Mažiau aktualu nuo AI laikų, bet vis dar pasitaiko mažesnių žaidėjų atakose.
• Failo priedas. Ypač .zip, .exe, .docm su makro, .iso, .lnk failai. Net .pdf gali turėti embedded macros.
• Email per asmeninius account'us. Vadovas iš gmail.com vietoj įmonės domain'o. Tiekėjas iš outlook.com vietoj įprasto adreso.
• Reikalauja apeiti įprastas procedūras. „Šį kartą perveskite be patvirtinimo", „naudokite šį naują rekvizitą". Tai klasikinis BEC signalas.

Praktinis patarimas darbuotojui: jei matai bent du iš šių požymių vienoje žinutėje — tikimybė, kad tai phishing, viršija 90%. Nesiunčiant per pelę su nuorodos peržiūra — sunku įvertinti net pusės požymių.

BEC atakos — kodėl jos kainuoja brangiausia

Business Email Compromise — phishing potipis, kuris generuoja didžiausius vidutinius nuostolius vienetinės atakos atveju. Skirtingai nei masinis phishing, BEC paprastai netaikoma kenkėjiškos programos — tikslas finansinis pavedimas arba sąskaitos rekvizitų pakeitimas. Tai daro BEC sunkiau aptinkamą tradicinėmis email gateway priemonėmis.

Tipinis BEC scenarijus

Užpuolikas surenka informaciją apie įmonės organizacinę struktūrą iš LinkedIn — kas yra CEO, CFO, vyr. buhalteris. Tada siunčia email apsimesdamas vadovu: „Skubiai perveskite 240 000 EUR naujam tiekėjui pagal pridedamus rekvizitus. Esu posėdyje, atsakysiu vėliau." Email siunčiamas iš typosquat domain'o (vadovas@imones-lt.com vietoj vadovas@imones.lt) arba iš realaus, bet kompromituoto account'o.

Kodėl BEC sėkminga

Trys priežastys, kodėl BEC apeina tradicinę apsaugą:

• Nėra kenkėjiškų komponentų. Email gateway su antimalware nebaudžia — laiškas legitimus pagal techninius požymius.
• Pasinaudojama autoriteto principu. Buhalteris nedrįsta klausinėti vadovo, ypač jei žinutė skubi.
• Domain spoofing arba kompromituotas account'as. Display name manipulation — gavėjas mato „Vardas Pavardė", o ne realų adresą.

LT atvejai 2024-2025

NKSC ir VDAI registravo kelias dešimtis BEC atvejų LT rinkoje 2024-2025 m. Pavyzdžiai be konkretaus pavadinimo: vidutinė LT logistikos įmonė prarado 240 000 EUR per vieną pavedimą — užpuolikas keletą savaičių stebėjo email susirašinėjimą su realiu tiekėju ir tinkamu momentu pakeitė banko rekvizitus. Vidutinė LT gamybos įmonė prarado 180 000 EUR panašiu scenarijumi. Pinigai dažniausiai per 24 val. išvedami į kelis tarptautinius account'us — atgauti praktiškai neįmanoma.

Apsauga nuo BEC

Techninių priemonių nepakanka — pagrindinis sprendimas yra procesas:

• Dual-control transfers — kiekvienas pavedimas virš X EUR reikalauja antros patvirtinimo
• Voice verification kanalas — bet kokie rekvizitų pakeitimai patvirtinami telefonu (NE per email atsakymą, NE per skambutį, kurį iniciavo prašytojas)
• SPF, DKIM, DMARC — apsauga nuo domain spoofing
• MFA visose finansų sistemose — apsauga, jei kredencialai pavogti

Phishing mokymų programa — kas veikia ir kas ne

Phishing mokymai egzistuoja LT rinkoje jau dešimtmetį, bet rezultatai labai skiriasi. Skirtumas tarp veikiančios ir formaliai egzistuojančios programos paprastai matomas trečiame mėnesyje — click rate trendas arba krenta, arba lieka stabilus. Veriva remiasi KnowBe4 Best Practices ir SANS Awareness metodologija.

Kas NEVEIKIA

Trys dažniausi formato variantai, kurie duoda minimalų rezultatą:

• Vienkartinis mokymas 1× per metus. Click rate sumažėjimas 10-15%, efektas išnyksta per 3-4 mėnesius. Reikia tik atitikties dokumentui — ne realaus rizikos sumažinimo.
• Tik el. modulis be simuliacijų. Darbuotojas išklauso 30 min. teorijos, bet niekada nepatikrina žinių realioje situacijoje. Click rate praktiškai nesikeičia.
• „Shame and blame" kultūra. Spustelėjusieji baudžiami arba viešai įvardijami. Rezultatas — darbuotojai nustoja pranešinėti įtartinų email'ų bijodami pasekmių. Tai blogiausias įmanomas rezultatas.

Kas VEIKIA — 3 komponentai

KnowBe4 ir SANS metodologija sutinka — veikianti programa turi tris komponentus, kurie veikia kartu:

1. Mėnesinės phishing simuliacijos. Skirtingi sudėtingumo lygiai, skirtingi šablonai (banko, vadovo, tiekėjo, IT pranešimas). Kiekvienas darbuotojas per metus gauna 12+ simuliacijų.
2. Just-in-time mikromokymai. Spustelėjus simuliacinę nuorodą, darbuotojas iš karto patenka į 5 min. mokomąjį puslapį — kodėl tai buvo phishing, kokie buvo požymiai, kaip atpažinti kitą kartą. Mokymas momentinis, kai dėmesys aukščiausias.
3. Kvartalinės ataskaitos vadovybei. Click rate trendas, report rate (kiek darbuotojų pranešė), paveikti padaliniai, palyginimas su sektoriaus vidurkiu. Atitinka NIS2 20 str. vadovybės priežiūros reikalavimą.

MFA ir techniniai sprendimai, kurie sumažina riziką

Mokymai sumažina darbuotojo klaidos tikimybę, bet techniniai sprendimai sumažina klaidos pasekmes. Veikianti strategija — abi pusės kartu. Pagal Microsoft Digital Defense Report 2023, MFA įjungimas sumažina account compromise riziką ~99% net jei kredencialai jau pavogti per phishing.

SPF, DKIM, DMARC — minimalus standartas

Trys email autentifikavimo įrašai, kurie apsaugo nuo domain spoofing — kai užpuolikas siunčia email, apsimesdamas tavo domain'u. Konfigūracija užtrunka 1-2 valandas, kainuoja 0 EUR, bet apsaugo tiek tavo darbuotojus, tiek partnerius. DMARC su „p=reject" politika — būtinas 2026 m. standartas.

MFA visose kritinėse sistemose

Daugiapakopis autentifikavimas privalomas: email, finansų sistemos, admin account'ai, debesijos paslaugos, VPN. NIS2 21 str. tai įvardija kaip atskirą reikalavimą. Detaliau apie NIS2 priemones — straipsnyje apie NIS2 direktyvą Lietuvoje. Įjungimas paprastai trunka kelias dienas, kainos minimalios — Microsoft 365, Google Workspace MFA įeina į standartines licencijas.

Phishing-resistant MFA — FIDO2

Ne visi MFA tipai vienodi. SMS pagrindu MFA pažeidžiama per SIM swap atakas. App-based MFA (Microsoft Authenticator, Google Authenticator) atsparesnis, bet pažeidžiamas per real-time phishing proxy (Evilginx, Modlishka). Phishing-resistant MFA — FIDO2 hardware tokens (YubiKey, SoloKey) arba passkey'ai — laikomi vieninteliu standartu, atspariu visoms žinomoms phishing technikoms 2026 m. NIST ir CISA rekomendacija nuo 2023 m.

Email gateway su URL rewriting

Microsoft Defender for Office 365, Proofpoint, Mimecast — gateway sprendimai perskenuoja visas URL'us realiu laiku spustelėjimo metu (ne tik email pristatymo metu). Tai sustabdo time-delayed phishing — kai užpuolikas pradžioje siunčia legitimią nuorodą, o vėliau pakeičia jos turinį į kenkėjišką.

Browser isolation suspect URL'ams

Aukštesnės rizikos darbuotojams (vadovybei, finansų skyriui) — browser isolation sprendimai (Cloudflare Browser Isolation, Menlo Security). Visa naršyklė veikia debesijoje, į vartotojo įrenginį siunčiamas tik vaizdo srautas. Net jei darbuotojas spustelėja phishing nuorodą, kenkėjiška programa neateina į įmonės tinklą.

Po BEC atakos, kurios metu mūsų buhalterė per phishing perpildė 30 000 EUR sukčių sąskaitai, supratome — vienkartinis IT mokymas neapsaugo. Veriva įdiegė mėnesines phishing simuliacijas ir mikromokymus. Per 8 mėnesius click rate sumažėjo nuo 41% iki 6%. Per pastaruosius 12 mėn. — nė vieno sėkmingo phishing incidento.

BDAR ir NIS2 reikalauja mokymų — teisinis kontekstas

Phishing mokymai nėra tik geroji praktika — tai teisinis reikalavimas pagal du paralelinius reguliavimo režimus. BDAR taikomas visoms LT įmonėms, tvarkančioms asmens duomenis. NIS2 — 18 sektorių vidutinėms ir didelėms įmonėms nuo 2025 m. spalio 17 d. Detali analizė apie sankcijas — straipsnyje apie BDAR baudas Lietuvoje.

BDAR 32 ir 39 straipsniai

BDAR 32 straipsnis reikalauja techninių ir organizacinių priemonių, atitinkančių riziką. EDPB rekomendacijos ir VDAI praktika aiškiai nustato, kad personalo mokymai patenka į organizacinių priemonių kategoriją. BDAR 39 str. nustato DPO pareigą organizuoti mokymus duomenų tvarkymo procesuose dalyvaujantiems darbuotojams. Nedokumentuoti mokymai — atskaitomybės principo (BDAR 5 str. 2 d.) pažeidimas.

NIS2 21 ir 20 straipsniai

NIS2 21 str. 2 d. (g) punktas — kibernetinė higiena ir mokymai privalomi visiems esminiams ir svarbiems subjektams. NIS2 20 str. — vadovybė privalo gauti specifinius kibernetinio saugumo mokymus, ne tik bendros instrukcijos. NKSC patikrinimo metu reikalaujama įrodymų: dalyvavimo lapai, programos turinys, dažnumas, rezultatų vertinimas. Vienkartinis mokymas „kažkada" — laikomas neatitiktimi.

VDAI praktika 2023-2025

VDAI 2023-2025 m. sprendimuose phishing incidentai dažnai vertinami pagal dvejopą skerspjūvį — ir 32 str. (priemonės), ir 33 str. (pranešimas per 72 val.). Įmonės be dokumentuotų phishing mokymų gauna padidintas baudas — VDAI laiko tai sunkinančia aplinkybe. Vidutinis bauda LT MVĮ phishing kontekste 2024 m. — 5 000-25 000 EUR.

Ką daryti toliau — konkretūs žingsniai šią savaitę

Skaitymas — tik pradžia. Phishing rizika sumažinama struktūruotu darbu, ne ketinimais. Štai penki konkretūs veiksmai, kurių galima imtis šią savaitę be didelio biudžeto:

1. Atlikite baseline phishing simuliaciją. Be išankstinio įspėjimo. Tai realus click rate, su kuriuo dirbsite. Vidutinis 30-45% — neturėtų stebinti.
2. Patikrinkite SPF/DKIM/DMARC įrašus. Per mxtoolbox.com — užtruks 5 min., bet apsaugos nuo domain spoofing. DMARC su „p=reject" — minimumas 2026 m.
3. Įjunkite MFA visose el. pašto sąskaitose. Tai vienas didžiausią ROI saugumo žingsnis — sumažina kompromiso riziką ~99% net jei kredencialai jau pavogti.
4. Sukurkite vidaus pranešimo procedūrą. Darbuotojas turi žinoti, kur pranešti įtartiną email'ą per <2 min. — paprastai dedicated email account'as arba „Phish Alert" mygtukas Outlook'e.
5. Užsakykite struktūruotą phishing mokymų programą. Vienas mokymas per metus nepakanka — reikia mėnesinių simuliacijų ir mikromokymų. Tai vienintelis būdas pasiekti 4-5% click rate per 12 mėnesių.

Profesionali phishing simuliacijų programa apima baseline vertinimą, mėnesines kampanijas su skirtingais sudėtingumo lygiais, just-in-time mikromokymus ir kvartalines ataskaitas vadovybei. Veriva siūlo pilną IT saugumo paslaugą — phishing simuliacijos, MFA diegimas, SPF/DMARC konfigūracija, NIS2 atitiktis. Pirmoji konsultacija dažniausiai būna nemokama — galima įvertinti apimtį prieš sprendimą.

---

Šaltiniai: Verizon Data Breach Investigations Report 2024 · KnowBe4 Phishing by Industry Benchmark 2024 · IBM Cost of a Data Breach Report 2024 · FBI Internet Crime Report 2023 (IC3) · ENISA Threat Landscape 2024