Come condurre con successo una campagna di phishing simulato in 6 passi 

Immagina la scena: il giorno dello stipendio si avvicina. I tuoi dipendenti hanno molte bollette da pagare e contano sul pagamento tempestivo da parte dell’azienda per gestire le loro finanze. Improvvisamente, ricevono un’email con l’oggetto “Errore nella contabilità stipendi”. Naturalmente preoccupati, aprono l’email, che spiega che devono aggiornare urgentemente i loro dati bancari cliccando sul link per ricevere il pagamento.

In uno scenario reale, questa situazione potrebbe avere gravi conseguenze, paralizzando il team di sicurezza e danneggiando le finanze e la reputazione dell’azienda. Tuttavia, una campagna di simulazione di phishing trasforma la situazione in una preziosa opportunità di apprendimento. Esporre i tuoi dipendenti a questi scenari in un ambiente controllato e a basso rischio consente di formarli efficacemente nel riconoscere e rispondere a queste minacce. 

Anche se gli attacchi di phishing potrebbero sembrare una cosa del passato, sono ancora molto rilevanti e continuano ad avere successo sfruttando la psicologia umana, indipendentemente dai progressi tecnologici. La ricerca del nostro Human Risk Review 2024 conferma questo: il phishing è ancora la tattica numero uno utilizzata negli attacchi di successo, con il 51% dei leader della sicurezza che dichiarano che la loro organizzazione è stata presa di mira tramite email.

Per ottenere il massimo impatto, le campagne di phishing devono essere pianificate meticolosamente e alcuni aspetti, come la comunicazione preventiva con i dipendenti e una pianificazione adeguata, possono influenzare notevolmente la loro efficacia. In questo articolo, ti mostriamo come gestire una campagna di phishing di successo in pochi passi.

Step 1: Pianifica la tua strategia di simulazione di phishing

Ogni campagna di simulazione di phishing di successo inizia con una pianificazione attenta. I team di sicurezza devono iniziare definendo gli obiettivi e l’ambito della simulazione, come il numero di dipendenti da targetizzare, la complessità delle email di phishing e i tipi di scenari da includere.

Se sei nuovo nella pianificazione di questo tipo di campagna, è meglio partire con un approccio semplice e vedere come reagiscono i tuoi dipendenti alla prima simulazione. Se hai già effettuato simulazioni di phishing in passato, questo potrebbe essere il momento ideale per iniziare a definire strategie diverse per gruppi di utenti, come i neodipendenti rispetto ai dipendenti di lunga data o per dipartimento.

Per stabilire una strategia chiara che risponda al meglio alle tue esigenze, fai alcune domande a te stesso prima di passare al passo successivo:

• Quali sono gli obiettivi di questa campagna di phishing? Gli obiettivi comuni includono la formazione dei dipendenti, la valutazione dei livelli di vulnerabilità e l’assicurarsi della conformità con i regolamenti normativi. 
• Che tipo di email vengono utilizzate per mirare al tuo settore o industria? Questo ti aiuta a capire quali scenari includere nelle tue simulazioni. È fondamentale pianificare campagne che riflettano le ultime tattiche di phishing per garantire che la formazione rimanga aggiornata ed efficace.
• Qual è la conoscenza di base tra tutti i dipendenti? Le simulazioni non devono essere né troppo facili né troppo difficili. Devono adattarsi al livello di consapevolezza attuale della tua organizzazione. Quando questo aumenta, è importante variare la difficoltà delle email di phishing per mantenere i dipendenti sfidati e coinvolti.
• Quali sono i tipi di file più comuni con cui lavorano i tuoi dipendenti? Identifica i tipi di file più utilizzati, come PDF, Word ed Excel, e utilizzali nella tua campagna per simulare al meglio gli attacchi di phishing reali.
• Alcuni dipartimenti sono più mirati di altri? In tal caso, considera se questi dipartimenti ricevono tentativi di phishing specifici e personalizza la tua simulazione di conseguenza.
• Con quale frequenza dovrebbero essere inviate le simulazioni di phishing? Le campagne pianificate regolarmente aiutano a mantenere un alto livello di consapevolezza tra i dipendenti. Approfondiremo questo argomento più avanti.

Una volta che hai deciso i punti principali della tua strategia, è il momento di iniziare a costruire la tua campagna.

Step 2: Crea la tua campagna di simulazione di phishing

Il passo successivo consiste nel creare i modelli di email e automatizzare il più possibile i processi, inclusi la consegna delle email, l’inserimento dei nuovi utenti nella campagna e l’integrazione dei dati in un dashboard analitico. Puoi anche automatizzare la creazione delle email se vuoi evitare di scriverle da zero. Alcuni fornitori offrono una gamma di modelli personalizzabili per simulazioni di phishing che si adattano alle necessità e alle vulnerabilità della tua organizzazione. Tuttavia, per massimizzare l’apprendimento, la formazione deve essere il più personalizzata possibile. Con questo in mente, SoSafe ha sviluppato due approcci differenti, oltre ai modelli base di phishing, che sfruttano la personalizzazione per creare simulazioni di phishing efficaci e coinvolgenti: il phishing mirato e il phishing basato sul comportamento.”

• Phishing mirato: Una delle strategie più efficaci prevede un approccio basato sui ruoli nella personalizzazione delle email. Ad esempio, i team finanziari potrebbero ricevere email di phishing relative alla gestione delle fatture, mentre i team IT potrebbero vedere email riguardanti gli aggiornamenti dei sistemi. La personalizzazione è fondamentale. Inviando email di phishing che risuonano con ruoli specifici, puoi garantire che le simulazioni siano pertinenti alle responsabilità e alle vulnerabilità di ciascun gruppo. Formare i dipendenti sui rischi specifici che affrontano nei loro ruoli aiuta anche le aziende a raggiungere la conformità con i quadri normativi per la formazione sulla sicurezza.

• Phishing basato sul comportamento: Questo approccio prevede l’adattamento della difficoltà, del tema e della frequenza delle email di phishing in base al comportamento degli utenti e ai loro profili di rischio. Si tratta di un approccio più avanzato, consigliato se hai esperienza con simulazioni di phishing di base e mirate e desideri una protezione aggiuntiva.

Utilizzare modelli o generare nuove email con genAI invece di creare le email da zero è solo uno dei modi per usare l’automazione nella tua campagna di phishing. Puoi anche automatizzare l’onboarding dei dipendenti, che ti consente di includere rapidamente i nuovi dipendenti nelle simulazioni di phishing senza intervento manuale, o anche pianificare la consegna delle simulazioni di phishing a orari e frequenze variabili. La randomizzazione delle consegne aiuta a imitare la natura imprevedibile degli attacchi di phishing reali, rendendo le simulazioni più realistiche e la formazione più efficace. Inoltre, previene che i dipendenti anticipino un test e li prepara meglio per le minacce reali.

Per ottenere il massimo delle informazioni, l’automazione del monitoraggio e della reportistica della campagna può fornire analisi dettagliate sulle risposte dei dipendenti ai tentativi di phishing, di cui parleremo nello step 5.

Step 3: Informare i dipendenti prima del lancio

Una volta che hai creato i tuoi modelli e automatizzato il più possibile i processi, è il momento di annunciare i tuoi piani. La chiave è notificare in anticipo, non sorprendere. Questo aiuta a evitare confusione e motiva i dipendenti a partecipare alla simulazione. È consigliabile iniziare a diffondere la notizia qualche settimana prima dell’inizio della simulazione, magari tramite una email aziendale o in una comunicazione del CEO durante una riunione/call con tutti i dipendenti.

Qualunque sia il metodo scelto per comunicare con i dipendenti, assicurati di includere dettagli come il motivo per cui viene creata una campagna di questo tipo, cosa aspettarsi e quando inizierà, ma non è necessario specificare una data precisa. Fai capire che la simulazione non è un test e non c’è nulla di cui preoccuparsi. Devono comprendere che cliccare su un’email di phishing simulata non avrà conseguenze negative. E non dimenticare di spiegare come funziona la simulazione e chi contattare per eventuali domande.

Step 4: Lancia la tua campagna e inizia a responsabilizzare i dipendenti

Ora è il momento di lanciare la campagna e iniziare a capire come reagiscono i tuoi team. Affinché le simulazioni di phishing siano uno strumento educativo anziché uno strumento di test, devono educare e responsabilizzare.

La formazione dopo aver cliccato è essenziale – non solo utile – per un comportamento più sicuro in futuro. Quando un dipendente clicca su un link all’interno di un’email simulata, dovrebbe ricevere immediatamente risorse educative, come materiali di formazione e suggerimenti per identificare le principali caratteristiche di un’email di phishing. Questo consente loro di imparare in tempo reale cosa è successo, aumentando l’efficacia e l’impatto dei loro risultati di apprendimento. Per massimizzare l’apprendimento, è anche cruciale fare un debriefing con i dipendenti in modo gentile, affinché non si sentano in imbarazzo per eventuali errori commessi.

Scopri come l'azienda retail Freudenberg ha ottenuto tassi di clic straordinari con SoSafe

Leggi la storia di Freudenberg

Tuttavia, i dipendenti non dovrebbero ricevere solo feedback dopo aver commesso un errore. Riconoscere e rinforzare regolarmente le azioni positive – utilizzando una tecnica della scienza comportamentale chiamata rinforzo positivo – non solo supporta l’apprendimento, ma mantiene anche i dipendenti motivati e responsabilizzati.

Per ricevere rinforzi positivi attraverso il feedback, i dipendenti devono essere in grado di segnalare ciò che hanno rilevato: sia come tentativo di phishing reale che come simulazione di phishing. Per farlo, hanno bisogno del contesto giusto e degli strumenti di segnalazione. Un pulsante di segnalazione, come il Phishing Report Button di SoSafe, è una soluzione utile che può essere comodamente integrata nel tuo provider di email per rendere la segnalazione rapida e facile per i dipendenti.

Una volta che segnalano l’email, possono ricevere un feedback sul fatto che la segnalazione fosse corretta o meno. La funzione Phishing Feedback di SoSafe è un buon esempio di come introdurre il rinforzo positivo nella strategia della tua campagna di phishing. E i dipendenti ricevono sempre una email che spiega se l’email segnalata era una simulazione di phishing, un vero tentativo o un’email innocua, migliorando l’esperienza di apprendimento permettendo loro di imparare dalle interazioni e di sentirsi utili nel proteggere la loro organizzazione.

Questi strumenti di segnalazione consentono una segnalazione rapida e semplice delle email sospette e ti permettono di raccogliere dati sul comportamento degli utenti, come quali dipartimenti sono più proattivi nella segnalazione. Possono anche responsabilizzare i dipendenti a fungere da estensione del tuo team di sicurezza, aiutandoli a mantenersi consapevoli e permettendo loro di inviare facilmente i tentativi di attacco alla tua attenzione. 

Step 5: Misurare e analizzare

Valutare e interpretare i risultati della tua campagna di simulazione di phishing è un processo cruciale che non può essere trascurato se vuoi massimizzare i benefici della campagna. Questa fase ti consente di individuare tendenze, vulnerabilità e aree di miglioramento per garantire che le tue campagne diventino più efficaci nel tempo.

Sebbene esistano molte metriche interessanti, ti suggeriamo di iniziare con l’analisi del tasso di interazione, del tasso di clic, del tasso di segnalazione degli incidenti e del tempo impiegato per la segnalazione per capire quanto i tuoi dipendenti interagiscono con le email di phishing simulate e quanto spesso le identificano come tali. Questo ti aiuterà a valutare approfonditamente la postura di sicurezza della tua organizzazione e individuare dove esistono lacune nella conoscenza dei dipendenti. Ma c’è di più da analizzare. Puoi aggregare i tassi sopra menzionati per geografia, ruolo e funzione per identificare i livelli di rischio e analizzare i fattori emotivi e le linee di oggetto che spingono a fare più clic. Puoi anche aggregarli in base a diversi contesti e metriche culturali. Con queste informazioni, puoi concentrarti su come colmare le lacune in modo specifico personalizzando la formazione, piuttosto che far rifare l’intero corso ai dipendenti.

Ma migliorare l’efficacia delle simulazioni future non è l’unico motivo per cui queste metriche sono importanti. Utilizzare questi dati durante le discussioni con i dirigenti e il consiglio di amministrazione può aiutarti a convincerli dell’efficacia della formazione sulla consapevolezza della sicurezza, portando infine a un maggiore supporto e finanziamenti per affrontare eventuali lacune nella consapevolezza. 

Step 6: Ripeti e migliora

Questo ultimo passo ti consente di monitorare i progressi e migliorare la consapevolezza sulla sicurezza dei dipendenti. Rendendo il processo di simulazione iterativo con campagne di phishing che si ripetono regolarmente, puoi far avanzare la formazione dei dipendenti e aiutare i team a identificare meglio le minacce ad ogni nuova fase. La formazione ripetuta mantiene anche i dipendenti aggiornati sulle ultime minacce informatiche, grazie al ricevimento di materiali e risorse di formazione aggiornati.

Per perfezionare e migliorare le simulazioni, è fondamentale incorporare il feedback degli utenti e i dati sulle performance. Ad esempio, potrebbe succedere che i tuoi dipendenti riferiscano di aver trovato la simulazione troppo facile o troppo difficile. Potrebbe essere che i dati sulle performance mostrino che stanno completando le simulazioni troppo velocemente, indicando la necessità di aumentare la difficoltà. E’ quindi il momento di rivedere i dati e i feedback, in modo da rendere ogni nuova simulazione ancora più efficace, basandosi su ciò di cui i dipendenti hanno bisogno e sul loro livello di consapevolezza. Una campagna di base può offrire alcuni spunti per quando si decide di avviare campagne più mirate e su quali gruppi di utenti sia più urgente concentrarsi.

Qual è la frequenza ideale per le simulazioni di phishing?

Decidere con quale frequenza inviare le simulazioni di phishing è un processo dinamico che deve essere adattato alle esigenze e alle circostanze uniche della tua organizzazione. Fattori chiave, come la natura del tuo settore, il livello di preparazione in ambito di cyber security e l’attuale panorama delle minacce, devono sempre essere considerati.

Potresti essere tentato di programmare campagne di simulazione di phishing molto frequentemente per vedere dei miglioramenti. Ma, lungi dall’essere utile a proteggere meglio la tua azienda, eseguire campagne troppo spesso può aumentare lo stress e ostacolare la produttività. D’altra parte, se si è troppo cauti e si conducono troppo raramente, si rischia di lasciare i dipendenti mal preparati a gestire attacchi di phishing reali.

Anche se non esiste una soluzione universale, molte organizzazioni trovano un equilibrio inviando una simulazione di phishing al mese. Questa cadenza mensile regolare aiuta a prevenire il decadimento delle conoscenze appena acquisite e mantiene la consapevolezza sulla cyber security sempre viva per i dipendenti. Evitando di sovraccaricarli con troppe simulazioni, è più probabile che tu riesca a mantenere la loro attenzione e incoraggiare una partecipazione attiva.

Idealmente, una campagna di simulazione dovrebbe essere “sempre attiva” e adattata ogni volta alle necessità individuali degli utenti, adottando un approccio basato sul comportamento. Ad esempio, se i dipendenti hanno una bassa consapevolezza sulle minacce di phishing, potrebbero beneficiare di più di una email al mese, mentre se la consapevolezza è alta, una email al mese potrebbe essere sufficiente.

Come garantire l’apprendimento continuo tra le simulazioni di phishing

Gli intervalli tra le email delle simulazioni di phishing – e tra le campagne di simulazione di phishing – sono anche un’ottima opportunità per rafforzare le tue misure di sicurezza e promuovere una cultura di maggiore vigilanza. Per aumentare l’efficacia delle simulazioni di phishing, ecco alcune azioni da intraprendere durante queste pause:

• Ottenere informazioni preziose: Rivedi accuratamente i rapporti delle tue simulazioni di phishing per capire meglio la posizione attuale della sicurezza della tua organizzazione. Ad esempio, supponiamo che il team di marketing mostri il tasso di clic più alto su un particolare tipo di email di phishing. Come puoi personalizzare la formazione per aiutarli a riconoscere e combattere quella minaccia specifica nella prossima campagna o addirittura adattarsi a quella corrente? 

• Incoraggiare lo scambio di esperienze: Consenti ai dipendenti di scambiare liberamente le loro esperienze e osservazioni relative ai tentativi di phishing creando forum interni. Questo aiuta a coltivare una cultura che incoraggia attivamente la segnalazione di email sospette o incidenti, in cui i dipendenti possano esprimere con fiducia le preoccupazioni sulla sicurezza senza temere conseguenze.

• Rafforzare la conoscenza nelle aree ad alto rischio: se riesci a identificare le aree in cui i tuoi dipendenti devono migliorare o i gap di conoscenza che hanno, approfitta del tempo tra le simulazioni per inviare loro stimoli di apprendimento che colmino quel gap. Gli strumenti alimentati dall’IA – come Sofie di SoSafe – possono comodamente e rapidamente inviare avvisi a tutti i tuoi dipendenti, alleviando il carico di lavoro dei team di sicurezza e fornendo un metodo di formazione altamente efficace.

• Garantire una consapevolezza continua: Tenere i tuoi team aggiornati sulle ultime strategie e metodi di phishing è cruciale per una protezione a lungo termine. Un modo efficace per farlo è inviare ai dipendenti informazioni di sicurezza brevi che si integrano perfettamente nella loro giornata lavorativa. Implementando un chatbot di sicurezza AI conversazionale come Sofie, i dipendenti non solo possono ricevere avvisi di sicurezza, ma anche avviare facilmente conversazioni e cercare chiarimenti su qualsiasi preoccupazione relativa alla sicurezza, promuovendo una cultura della sicurezza proattiva all’interno dell’organizzazione.

Come SoSafe può aiutarti a gestire campagne di phishing efficaci

Le simulazioni di phishing sono uno strumento potente che può trasformare il tuo team in esperti nella difesa contro gli attacchi informatici. Uno dei passaggi chiave nella progettazione della strategia della tua campagna di phishing è personalizzarla il più possibile per la tua azienda e i tuoi dipendenti, al fine di rispondere efficacemente alle loro esigenze di formazione.

Per questo motivo, SoSafe offre simulazioni alimentate da IA e orientate all’utente, facili e veloci da configurare. Le email mirate si adattano alle esigenze specifiche dei dipendenti, in base al loro ruolo e al loro profilo di rischio. Al contrario, le email basate sul comportamento adattano le simulazioni in base al comportamento dell’utente per affrontare in modo più efficiente le lacune di conoscenza. Questo crea un ambiente sicuro in cui i dipendenti possono comprendere, rilevare e neutralizzare i tentativi di phishing, ricevendo la giusta quantità di formazione senza sottrarre tempo prezioso alla loro giornata lavorativa.

Il loro apprendimento è supportato da pagine di formazione contestuali che vengono mostrate quando cliccano su email simulate, e da un feedback immediato per ogni email segnalata. Questo processo dovrebbe idealmente essere combinato con un’esperienza di apprendimento completa, in cui i dipendenti acquisiscono tutte le conoscenze necessarie che possono poi applicare nelle simulazioni, colmando eventuali lacune di conoscenza. L’e-learning di SoSafe dispone di una biblioteca di contenuti curati in cui i dipendenti possono seguire moduli brevi e orientati alla narrazione che si adattano perfettamente alla loro giornata lavorativa. L’obiettivo non è solo insegnare ai dipendenti come riconoscere i tentativi di phishing, ma anche consentire loro di trasformare la conoscenza in comportamenti sicuri.

Le minacce di phishing non scompariranno presto. Rimangono una tattica altamente economica e di successo per i criminali informatici, e loro lo sanno. Poiché queste minacce persistono e si rivelano altrettanto efficaci, è cruciale rafforzare le nostre difese e proteggerci dagli attacchi di phishing. Per saperne di più su come SoSafe può rendere il tuo team più resiliente, richiedi una demo con uno dei nostri esperti.