Come gestire un programma efficace di simulazione del phishing

Un programma di simulazione del phishing non è un esercizio del «beccato»: è un sistema di misurazione e formazione. Gestito male, erode la fiducia e non insegna nulla; gestito bene, fornisce una metrica difendibile e in miglioramento per una delle vostre maggiori superfici d'attacco.

Definire l'obiettivo prima del primo invio

Decidete cosa state davvero misurando. Obiettivi comuni:

• Resilienza comportamentale: tasso di clic, tasso di invio credenziali e, cosa cruciale, il tasso di segnalazione.
• Tempo per segnalare: quanto in fretta il vostro 10% più rapido fa emergere una campagna attiva.
• Copertura: quali reparti, ruoli o regioni sono in ritardo.

La metrica più utile spesso non è il tasso di clic ma il tasso di segnalazione, perché un personale che segnala in fretta dà al vostro SOC il segnale che serve per contenere un attacco reale in pochi minuti.

Impostare bene il design del programma

Prima la baseline, poi il miglioramento

Lanciate una campagna baseline iniziale a bassa difficoltà per capire da dove partite. Non pubblicate mai la baseline né associatevi nomi: il suo compito è un numero di partenza, non la responsabilità.

Segmentare e randomizzare

Inviate a segmenti rappresentativi lungo una finestra invece di bombardare tutti alle 9:00 di lunedì. Gli invii simultanei scatenano avvisi da corridoio («attenti all'e-mail falsa») che corrompono i dati.

Aumentare la difficoltà nel tempo

Associate le campagne a una scala di difficoltà:

• Facile: generico «consegna del pacco fallita», mittente esterno evidente.
• Media: strumento interno falsificato (portale HR, iscrizione ai benefit), pretesto plausibile.
• Difficile: esche mirate e contestuali che citano progetti reali, sincronizzate con eventi reali (finestre di iscrizione, periodo delle tasse, una riorganizzazione).

Adeguate la difficoltà alla maturità. Esche difficili contro una popolazione non formata producono solo un tasso di clic demoralizzante.

Regole operative che tengono intatta la fiducia

• Non punire mai i clic. I programmi punitivi insegnano a nascondere gli errori e a non segnalare. Premiate invece la segnalazione.
• Fornire la formazione nel momento didattico. La landing page dopo un clic dev'essere breve, non colpevolizzante e spiegare i segnali specifici.
• Coordinarsi con gli stakeholder. Avvisate SOC/help desk così un picco di segnalazioni non venga scambiato per un incidente reale, e istruite HR/legale sul trattamento dei dati.
• Rispettare i contesti sensibili. Evitate esche che imitano tagli di stipendio, bonus o lutti reali: causano danni veri e contraccolpi.

Misurare ciò che conta

Seguite le tendenze, non i numeri singoli:

Tasso di segnalazione = segnalati / consegnati
Tasso di clic         = cliccati / consegnati
Tasso di compromissione = credenziali inviate / consegnati
Rapporto di resilienza = segnalatori / cliccatori   (obiettivo: > 1 e in crescita)
Mediana del tempo per segnalare
% di cliccatori ripetuti  (stessi utenti tra le campagne)

Un programma sano mostra il tasso di segnalazione che sale e il tempo per segnalare che cala trimestre dopo trimestre, con i cliccatori ripetuti seguiti in modo mirato invece di una riformazione generalizzata.

Una nota sulla misurazione tecnica

Attenzione ai numeri gonfiati da strumenti di sicurezza che pre-cliccano i link (sandbox di URL, riscrittori di link, scanner di sicurezza della posta). Mettete in allowlist il vostro mittente e la vostra infrastruttura di simulazione in questi sistemi, oppure filtrate i loro user-agent e IP sorgente, così uno scanner non venga registrato come un «clic».

Una semplice cadenza trimestrale

1. Pianificare — scegliere tema, livello di difficoltà e segmenti bersaglio.
2. Inviare — scaglionato su più giorni.
3. Formare — contenuti just-in-time per chi clicca; riconoscimento per chi segnala.
4. Riferire — tendenze alla dirigenza, azione mirata sui segmenti in ritardo.
5. Iterare — alzare la difficoltà man mano che la resilienza migliora.

Trattate le simulazioni come prove antincendio, non come esami. Il punto è una risposta più rapida, più calma e più preparata — non una lista di colpevoli.

Come aiuta GottaPhish

Gestite male un programma di simulazione — scenari incoerenti, nessuna misurazione, nessun seguito — ed eroderete la fiducia senza imparare nulla. GottaPhish e il suo team di esperti gestiscono l'intero ciclo per voi: simulazioni personalizzate dall'IA che scalano da baseline facili a esche mirate e consapevoli del contesto, invio scaglionato, formazione just-in-time nel momento del clic e cruscotti che seguono tasso di segnalazione, tempo per segnalare, rapporto di resilienza e cliccatori ripetuti per segmento. I nostri esperti lavorano al vostro fianco per disegnare scenari, impostare e distribuire le campagne (compresa la MFA resistente al phishing quando l'esposizione delle credenziali è il rischio reale) e interpretare i risultati, così ogni giro migliora il comportamento in modo misurabile invece di produrre solo numeri.