Đối với những người quan tâm và muốn tìm hiểu: Tháng trước, tôi đã thực hiện một cuộc mô phỏng lừa đảo cho một khách hàng. Email đơn giản, không có gì cầu kỳ. “Tài khoản của bạn sẽ bị tạm dừng trong 24 giờ. Nhấp vào đây để xác minh.” 40% nhân viên đã nhấp vào nó. Sau khi ngồi lại cùng đội ngũ, một người đã nói điều gì đó khiến tôi nhớ mãi: Anh ấy nói: “Nó giống hệt những email thật mà chúng tôi nhận mỗi tuần.” Đó mới chính là vấn đề thực sự. Không phải vì mọi người bất cẩn. Mà là vì những kẻ tấn công đã trở nên rất giỏi trong việc tạo ra hình thức hợp lệ, trong khi phần lớn các chương trình đào tạo nhận thức bảo mật vẫn đang dạy người ta nhận biết những mẫu giả rõ ràng. Chúng tôi đã thiết kế lại chương trình đào tạo dựa trên điều đó. Ít bài tập “tìm lỗi chính tả” hơn. Bây giờ tập trung nhiều hơn vào: “Đây là cách một nỗ lực thuyết phục thực sự trông như thế nào, và đây là điểm duy nhất vẫn lộ ra sự giả mạo.” Cuộc mô phỏng thứ hai, được thực hiện bốn tuần sau đó: 12%. Đó mới là con số quan trọng. Không phải việc mọi người có sập bẫy một lần hay không. Mà là liệu chương trình đào tạo thực sự đã thay đổi hành vi hay không. Các cuộc mô phỏng lừa đảo không nên nhàm chán, vì kẻ tấn công chẳng hề nhàm chán, tin tôi đi.