Bilmek ve okumak isteyenler için, Geçen ay bir müşteri için bir kıyamet simülasyonu gerçekleştirdim. Basit bir e-posta. Hiçbir şey özel değil. “Hesabınız 24 saat içinde askıya alınacaktır. Doğrulamak için buraya tıklayın.” Personelin %40’ı bunu tıkladı. Sonra ekiple oturduğumda, bana kalıcı kalan bir şey söyledi biri: “Bu, her hafta aldığımız gerçek e-postalarla tamamen aynı görünüyordu.” İşte burada gerçek sorun yatıyor. İnsanların dikkatsiz olduğu değil. Saldırganların, meşru görünümlerini çok iyi oluşturabildiği ve çoğu güvenlik farkındalığı eğitimi hâlâ insanların açık sahtekarlıkları tespit etmeyi öğretmeye devam ettiğinde. Eğitimi bunun etrafında yeniden tasarladık. Daha az “kötü dilbilgisiyi bul” egzersizi. Şimdi daha çok: “İşte gerçekten ikna edici bir girişim nasıl görünüyor ve hâlâ onu ortaya çıkaran tek şey bu.” Dört hafta sonra yapılan ikinci simülasyon: %12. Bu, önemli olan sayı. İnsanların bir kez alıkonulup alıkonulmadığı değil. Eğitimin davranışları gerçekten değiştirdiğini gösterip göstermediği. Kıyamet simülasyonları sıkıcı olmamalı, çünkü saldırganlar da öyle değil, bana inanın.