Para sa mga nagsusuri at nagbabasa, Isinagawa ko ang isang phishing simulation para sa isang kliyente noong nakaraang buwan. Simpleng email. Walang kakaibang bagay. “Maaaring isuspensyon ang inyong account sa loob ng 24 oras. Klik dito para i-verify.” 40% ng staff ang klinika nito. Pagkatapos kong makipag-usap sa team, may isang tao ang nagsabi ng isang bagay na nag-iwan sa akin: Sinabi niya, “Parang eksaktong mga totoo na natatanggap namin tuwing linggo.” Iyon ang totoong problema. Hindi dahil ang mga tao ay walang ingat. Kundi dahil ang mga mangmamaliit ay naging mahusay sa pagmukha na legit, at ang karamihan sa mga pagsasanay sa pagkakaroon ng kaalaman sa seguridad ay patuloy na nagtuturo sa mga tao kung paano makita ang mga obvious na fake. Ibinago namin ang pagsasanay batay dito. Mas kaunting mga gawain na “makita ang maling gramatika.” Ngayon, mas maraming “ito ang tunay na kumbinsihing pagkakataon, at ito ang iisang bagay na nagpapakita pa rin nito.” Ikalawang simulation, ginawa apat na linggo pagkatapos: 12%. Iyon ang numero na mahalaga. Hindi kung sinakop sila ng phishing isang beses. Kundi kung talagang nagbago ang pag-uugali dahil sa pagsasanay. Hindi dapat maboring ang phishing simulations dahil hindi maboring ang mga mangmamaliit, paniniwalaan ko.