لمن يهتم بالمعرفة والقراءة، أجريت محاكاة تصيد احتيالي لعميل الشهر الماضي. بريد إلكتروني بسيط. لا شيء مميز. "سيتم تعليق حسابك خلال 24 ساعة. انقر هنا للتحقق." 40% من الموظفين نقر عليه. عندما جلست مع الفريق بعدها، قال أحد الأشخاص شيئًا لا يزال عالقًا في ذهني: قال: "بدا تمامًا مثل تلك التي نتلقاها كل أسبوع." هذه هي المشكلة الحقيقية. ليست أن الناس غير متيقظين. بل أن المهاجمين أصبحوا جيدين جدًا في التظاهر بالشرعية، بينما لا تزال معظم برامج التوعية الأمنية تعلّم الناس كيفية اكتشاف التزييفات الواضحة. أعدنا تصميم التدريب حول هذه النقطة. أقل من تمارين "اكتشف الأخطاء الإملائية". الآن أكثر من: "هنا كيف يبدو محاولة مقنعة حقًا، وهنا الشيء الوحيد الذي لا يزال يكشفها." المحاكاة الثانية، التي أجريت بعد أربعة أسابيع: 12%. هذا هو الرقم الذي يهم. ليس ما إذا سقط الناس في الفخ مرة واحدة. بل ما إذا غيّر التدريب حقًا السلوك. لا ينبغي أن تكون محاكاة التصيد مملة، لأن المهاجمين ليسوا كذلك، ثق بي.