Testy phishingowe, które pokazują, kto otwiera, klika i reaguje.

Cena 5 000 PLN netto obejmuje jedną kampanię e-mailową z jednym uzgodnionym scenariuszem, przygotowanie wiadomości i bezpiecznej strony testowej lub kontrolowanego załącznika, pomiar otwarć, kliknięć, prób logowania i otwarć załącznika oraz raport. Dodatkowe grupy, scenariusze, kanały, pomiar zgłoszeń i reakcji SOC, audyt zabezpieczeń poczty, szkolenie oraz kampanię kontrolną wyceniamy osobno.

Realizacja testu phishingowego zajmuje od 5 dni roboczych. Termin zależy od liczby scenariuszy i grup, akceptacji treści, przygotowania infrastruktury, testów dostarczalności oraz zakresu obserwacji SOC. Dokładny harmonogram potwierdzamy w ofercie i Rules of Engagement.

Test phishingowy to autoryzowana symulacja socjotechniczna. Kampania podstawowa sprawdza, kto otworzył wiadomość, kliknął w link, podjął próbę logowania na bezpiecznej stronie testowej lub otworzył kontrolowany załącznik. Zabezpieczenia poczty, proces zgłaszania i reakcję SOC testujemy jako dodatkowo płatne rozszerzenia.

Kampania phishingowa jest prowadzona wyłącznie na podstawie pisemnej zgody upoważnionego przedstawiciela organizacji i uzgodnionych Rules of Engagement. Klient odpowiada za podstawę prawną przetwarzania danych oraz wymagane uzgodnienia wewnętrzne, a BSTA minimalizuje dane i realizuje test w zatwierdzonym zakresie.

Nie zapisujemy prawdziwych haseł pracowników. Standardowa strona testowa rejestruje wyłącznie bezpieczne zdarzenie uzgodnione w Rules of Engagement, na przykład otwarcie strony lub próbę użycia formularza. Zakres telemetrii i retencję danych zatwierdzamy przed kampanią.

Phishing jest zwykle kierowany do szerszej grupy i wykorzystuje wspólny scenariusz. Spear phishing jest dopasowany do konkretnej roli, zespołu lub kontekstu biznesowego, dlatego lepiej sprawdza odporność osób szczególnie narażonych, na przykład działu finansów, HR, administracji lub IT.

Kampania podstawowa za 5 000 PLN netto mierzy zachowanie odbiorców: otwarcia, kliknięcia, próby logowania na stronie testowej i otwarcia kontrolowanego załącznika. Test filtrów pocztowych, procesu zgłaszania, triage i eskalacji w SOC jest dodatkowo płatnym rozszerzeniem.

W kampanii podstawowej mierzymy otwarcie wiadomości, kliknięcie w link, próbę logowania na stronie testowej i otwarcie kontrolowanego załącznika. Pomiar zgłoszeń, czasu do zgłoszenia oraz czasu i jakości reakcji SOC jest dodatkowo płatnym rozszerzeniem.

Nie. Sam wskaźnik kliknięć nie pokazuje, czy wiadomość została zgłoszona, czy filtry pocztowe zadziałały ani czy SOC podjął właściwą reakcję. Dlatego łączymy dane o zachowaniu użytkowników z pomiarem czasu zgłoszenia, detekcji, triage i działań ograniczających ryzyko.

To zależy od celu, prawa pracy, polityk organizacji i ustaleń klienta. Część kampanii jest zapowiedziana jako element programu świadomości, a część ma ograniczoną wiedzę uczestników. Model komunikacji i grono wtajemniczonych ustala klient przed rozpoczęciem testu.

Tak, jeśli te grupy zostaną objęte pisemną autoryzacją. Dla ról uprzywilejowanych przygotowujemy osobne scenariusze oraz ostrzejsze ograniczenia bezpieczeństwa, ponieważ ryzyko biznesowe i techniczne może być większe niż w kampanii ogólnej.

Tak. Kampania może obejmować wiadomości i strony docelowe w języku polskim lub angielskim, a inne języki wyceniamy po ustaleniu zakresu i wymaganej weryfikacji językowej. Raport również może być przygotowany po polsku lub angielsku.

Możemy rozszerzyć projekt o smishing, vishing lub wiadomości w platformach współpracy, jeżeli kanał, grupy docelowe i scenariusz zostaną wyraźnie objęte ofertą oraz Rules of Engagement. Cena podstawowa nie oznacza automatycznie realizacji wszystkich kanałów.

Tak, jako dodatkowo płatne rozszerzenie. Możemy mierzyć, czy pracownicy używają właściwego kanału zgłoszenia, jak szybko sygnał trafia do SOC oraz czy analitycy potrafią zidentyfikować odbiorców, wyszukać podobne wiadomości, eskalować incydent i ograniczyć dalszą ekspozycję.

Tak, ale audyt SPF, DKIM, DMARC i zabezpieczeń poczty jest dodatkowo płatnym rozszerzeniem kampanii podstawowej. Zakres może obejmować politykę, wyrównanie domen, dostarczalność kontrolowanych wiadomości i sposób obsługi raportów.

Tak. Kampanię można przeprowadzić dla organizacji korzystającej z Microsoft 365, Google Workspace lub innego systemu pocztowego. Zakres techniczny zależy od konfiguracji klienta, używanych bram pocztowych, mechanizmu zgłoszeń i dostępnej telemetrii.

Nie zawsze. Decyzja zależy od celu: test filtrów powinien zachować realistyczną ścieżkę dostarczenia, natomiast test świadomości może wymagać kontrolowanej konfiguracji, aby zapewnić reprezentatywną próbę. Każde odstępstwo dokumentujemy w raporcie.

Możemy użyć kontrolowanej domeny kampanii lub innego bezpiecznego wariantu zatwierdzonego przez klienta. Rejestracja, treść i okres użycia domeny są elementem Rules of Engagement; nie wykorzystujemy domeny do działań poza autoryzowaną kampanią.

Projektujemy kampanię tak, aby nie zakłócała działalności. Ustalamy limity wysyłki, wyłączenia, okna czasowe, osoby kontaktowe i procedurę natychmiastowego zatrzymania. Nie instalujemy malware ani nie wykonujemy działań destrukcyjnych w standardowym zakresie.

Stosujemy minimalizację danych, ograniczony dostęp, uzgodniony okres retencji i bezpieczne kanały przekazania wyników. Raportowanie może być zagregowane według grup, a dane indywidualne udostępniamy wyłącznie wtedy, gdy wynika to z zatwierdzonego celu i podstawy prawnej klienta.

Tak, możemy podpisać NDA przed przekazaniem zakresu. Jeżeli charakter kampanii wymaga umowy powierzenia przetwarzania danych, ustalamy ją z klientem przed rozpoczęciem prac wraz z zakresem danych, retencją i zasadami usunięcia.

Raport z kampanii podstawowej zawiera cel i zakres, opis scenariusza, ograniczenia pomiaru, wyniki otwarć, kliknięć, prób logowania i otwarć załącznika, wnioski oraz podstawowe rekomendacje. Analizę zabezpieczeń poczty, procesu zgłaszania i obserwacje SOC dodajemy tylko wtedy, gdy oferta obejmuje te dodatkowo płatne rozszerzenia.

Tak. Executive summary przedstawia ryzyko, trend, najważniejsze luki i plan działań bez zbędnych szczegółów technicznych. Część techniczna dokumentuje mierniki, ograniczenia, obserwacje i zalecenia dla IT, SOC, HR, compliance oraz właścicieli procesów.

Możemy przeprowadzić debriefing, warsztat lub szkolenie dopasowane do zaobserwowanych problemów. Zakres szkolenia jest oddzielnie potwierdzany w ofercie, aby nie zastępować konkretnych działań naprawczych ogólną prezentacją.

Ponowna kampania nie jest automatycznie częścią każdego zlecenia. Jeżeli oferta obejmuje kampanię kontrolną, określa jej grupę, scenariusz, termin i mierniki. Dzięki temu porównanie wyników jest uczciwe i odpowiada rzeczywistemu celowi programu poprawy.

Firma powinna wskazać właściciela projektu, zatwierdzić cel i grupy odbiorców, ustalić osoby wtajemniczone, kanał awaryjny, zasady prywatności oraz dostęp do danych potrzebnych do oceny reakcji SOC. BSTA prowadzi klienta przez te decyzje podczas warsztatu zakresowego.

Częstotliwość zależy od profilu ryzyka, rotacji pracowników, wyników poprzednich kampanii i zmian w zabezpieczeniach. Dla wielu organizacji lepszy jest cykl kilku różnorodnych kampanii z mierzalnym planem poprawy niż jeden test rocznie bez działań następczych.

Należy porównać kampanie o podobnym poziomie trudności i mierzyć nie tylko kliknięcia, lecz również odsetek poprawnych zgłoszeń, czas do zgłoszenia, czas reakcji SOC oraz skuteczność ograniczenia wiadomości. Raport powinien uwzględniać różnice w scenariuszu i dostarczalności.

Kontrolowana kampania może dostarczyć dowodów testowania świadomości, procedur zgłaszania i zdolności reagowania, ale sama nie potwierdza zgodności z NIS2 ani KSC. Wymagania należy oceniać w szerszym kontekście zarządzania ryzykiem, polityk, kontroli technicznych i audytu organizacji.

Nie. Kampania mierzy odporność i ujawnia luki, natomiast szkolenie buduje wiedzę i nawyki. Najlepszy efekt daje cykl: pomiar bazowy, działania techniczne i edukacyjne, a następnie porównywalna kampania kontrolna.

Warto sprawdzić, czy wykonawca stosuje pisemne Rules of Engagement, nie gromadzi prawdziwych haseł, opisuje retencję danych, mierzy zgłoszenia i reakcję SOC, zapewnia procedurę zatrzymania kampanii oraz przekazuje raport z konkretnymi rekomendacjami zamiast samego rankingu kliknięć.

Niektóre współczesne kampanie próbują przejąć sesję lub skłonić użytkownika do zatwierdzenia logowania mimo MFA. Test takich scenariuszy wymaga osobnego, ściśle kontrolowanego zakresu, dodatkowych zabezpieczeń i pisemnej autoryzacji; nie jest domyślną częścią podstawowej kampanii.

Największy efekt daje połączenie uwierzytelniania odpornego na phishing, ochrony poczty, poprawnej konfiguracji SPF, DKIM i DMARC, bezpiecznych procesów płatności, łatwego zgłaszania wiadomości, monitoringu SOC oraz regularnych ćwiczeń opartych na wynikach.

Tak. Zakres można dopasować do mniejszej liczby odbiorców i prostszego środowiska, zachowując te same zasady autoryzacji, prywatności i raportowania. Cena zaczyna się od 5 000 PLN netto za kampanię, a wiążącą wycenę przygotowujemy po krótkim ustaleniu celu.

Tak. Realizujemy projekty dla organizacji działających globalnie, po uzgodnieniu jurysdykcji, języków, stref czasowych, zasad komunikacji z pracownikami i wymogów dotyczących danych. Każda lokalizacja musi być objęta autoryzacją klienta.