Bagi mereka yang ingin tahu dan membaca, Saya menjalankan simulasi phishing untuk seorang klien bulan lalu. Email yang ringkas. Tidak ada yang rumit. ‘Akaun anda akan dihentikan dalam 24 jam. Klik di sini untuk mengesahkan.’ 40% daripada staf mengkliknya. Apabila saya duduk bersama pasukan selepas itu, seorang daripada mereka berkata sesuatu yang terus melekat dalam ingatan saya: Beliau berkata, ‘Ia kelihatan tepat seperti yang sebenar yang kami terima setiap minggu.’ Itulah masalah sebenarnya. Bukan kerana orang-orang ceroboh. Tetapi kerana penyerang telah menjadi mahir dalam meniru kesahihan, dan kebanyakan latihan kesedaran keselamatan masih mengajar orang untuk mengenal pasti palsu yang jelas. Kami telah mendesain semula latihan berdasarkan perkara itu. Kurang latihan ‘kenal pasti tatabahasa yang salah’. Kini lebih banyak ‘ini adalah contoh usaha yang benar-benar meyakinkan, dan ini adalah satu perkara sahaja yang masih mengungkapkannya.’ Simulasi kedua, dijalankan empat minggu kemudian: 12%. Itulah nombor yang penting. Bukan sama ada orang tertipu sekali sahaja. Tetapi sama ada latihan itu benar-benar mengubah tingkah laku. Simulasi phishing tidak seharusnya membosankan kerana penyerang tidak membosankan, percayalah.