Phishingsimulaties inzetten zonder je mensen af te schrikken

Phishingsimulaties werken, maar niet zoals veel organisaties ze inzetten. Wie ze gebruikt om te laten zien wie er fout zat, krijgt medewerkers die zich indekken. En dat is precies het gedrag dat je bij een echte aanval niet wilt.

Meet het juiste getal

Het klikpercentage is het cijfer waar iedereen naar kijkt en het minst interessante. Veel relevanter: hoeveel mensen melden de mail, en hoe snel. Bij een echte aanval bepaalt die meldsnelheid of je één account moet blokkeren of vijftig.

Wij rapporteren daarom altijd drie getallen: klikken, invullen van gegevens en melden. Dat derde getal is degene die je wilt zien stijgen.

Communiceer vooraf dat je test

Dat lijkt tegenstrijdig, maar het werkt. Kondig aan dat er periodiek gesimuleerd wordt, zonder te zeggen wanneer. Dan is het een oefening in plaats van een val, en houd je de sfeer intact.

Wat je vooral niet doet: één keer een simulatie sturen met een gevoelig onderwerp, bijvoorbeeld over salaris of ontslag. De klikcijfers zijn dan spectaculair, en het vertrouwen weg.

Rapporteer op afdelingsniveau

Technisch kun je zien wie wat deed. De vraag is of je dat wilt gebruiken. Wij adviseren rapportage per afdeling en per periode: dan zie je waar extra aandacht nodig is zonder dat er iemand wordt afgerekend.

Bij een medewerker die er structureel intrapt, is een gesprek zinvol. Niet als sanctie, maar omdat die persoon vaak ook in andere systemen risicovol handelt.

Maak de simulatie realistisch

De leerzaamste simulaties lijken op mail die de organisatie echt krijgt: een factuur van een bekende leverancier, een verzoek om bankgegevens te wijzigen, een uitnodiging voor een gedeeld document. Generieke prijsvraagmails leren niemand iets, want die herkent iedereen.

Vraag intern om voorbeelden van echte pogingen. Die vormen de beste basis.

Koppel het aan de techniek

Training zonder techniek is een halve maatregel. Mail- en phishingfiltering, meervoudige authenticatie, conditional access en monitoring van DKIM, DMARC en SPF horen erbij, net als een password manager zodat wachtwoorden niet worden hergebruikt.

Zo verklein je zowel de kans dat een bericht aankomt als de schade wanneer iemand toch klikt.