जिन लोगों को जानना और पढ़ना पसंद है, पिछले महीने एक ग्राहक के लिए फ़िशिंग सिमुलेशन चलाया। साधारण ईमेल। कुछ भी जटिल नहीं। 'आपका खाता 24 घंटे में निलंबित हो जाएगा। पुष्टि करने के लिए यहाँ क्लिक करें।' 40% कर्मचारियों ने इस पर क्लिक किया। जब मैंने बाद में टीम के साथ बैठक की, तो एक व्यक्ति ने कुछ ऐसा कहा जो मुझे याद रहा: उन्होंने कहा, 'यह उन असली ईमेल्स की तरह दिख रहा था, जो हम हर हफ्ते प्राप्त करते हैं।' यही वास्तविक समस्या है। यह नहीं कि लोग लापरवाह हैं। बल्कि यह है कि हमलावरों ने वैध दिखने में अच्छा हो गया है, और अधिकांश सुरक्षा जागरूकता प्रशिक्षण अभी भी लोगों को स्पष्ट झूठे संदेशों को पहचानने के लिए सिखाता है। हमने प्रशिक्षण को इसी के आधार पर पुनः डिज़ाइन किया। कम 'बुरी व्याकरण की पहचान' की अभ्यास। अब अधिक 'यहाँ है कि एक सच्ची, मनभावन प्रयास कैसा दिखता है, और यहाँ है कि उसे पकड़ने के लिए कौन सी एकमात्र बात है।' चार सप्ताह बाद, दूसरा सिमुलेशन: 12%। यही संख्या महत्वपूर्ण है। यह नहीं कि लोगों ने एक बार फ़िशिंग में कैद होना स्वीकार किया। बल्कि प्रशिक्षण ने वास्तव में व्यवहार में परिवर्तन किया है या नहीं। फ़िशिंग सिमुलेशन उबाऊ क्यों हों, जबकि हमलावर मज़ेदार हैं, मुझ पर भरोसा करें।