Bagi mereka yang peduli untuk mengetahui dan membaca, Bulan lalu, saya menjalankan simulasi phishing untuk klien. Email sederhana. Tidak ada yang istimewa. “Akun Anda akan ditangguhkan dalam 24 jam. Klik di sini untuk verifikasi.” 40% staf mengkliknya. Setelah saya duduk bersama tim, salah satu orang mengatakan sesuatu yang terus terngiang di pikiran saya: Dia berkata, “Ini terlihat persis seperti yang asli yang kami terima setiap minggu.” Itulah masalah sebenarnya. Bukan karena orang-orang ceroboh. Tapi karena penyerang semakin mahir meniru tampilan yang sah, sementara sebagian besar pelatihan kesadaran keamanan masih mengajarkan orang untuk mengenali tipuan yang jelas-jelas palsu. Kami mendesain ulang pelatihan berdasarkan hal itu. Lebih sedikit latihan “temukan tata bahasa yang salah”. Sekarang lebih banyak fokus pada, “inilah contoh upaya yang sangat meyakinkan, dan inilah satu hal kecil yang masih mengungkapkannya.” Simulasi kedua, dilakukan empat minggu kemudian: 12%. Itulah angka yang penting. Bukan apakah orang tertipu sekali. Tapi apakah pelatihan benar-benar mengubah perilaku. Simulasi phishing seharusnya tidak membosankan, karena penyerang tidak membosankan, percayalah.