Raport Pistachio: sam odsetek kliknięć słabo mierzy odporność firmy na phishing

Firmy, które oceniają testy phishingowe wyłącznie po tym, jak często pracownicy klikają w symulowane wiadomości, mogą przeoczyć ważniejsze wskaźniki. Tak wynika z raportu Pistachio Phishing Behaviour Report 2026. Objął 648 organizacji z pełnym rocznym zapisem i 123 692 użytkowników w okresie od 1 czerwca 2025 do 31 maja 2026. Według autorów odporność lepiej opisują trzy zachowania razem: kliknięcie, podanie danych logowania i zgłoszenie wiadomości.

W analizie 354 962 symulacji odsetek kliknięć i podanych danych logowania rósł przez pierwsze sześć miesięcy programu, a później spadał. Zgłoszenia zachowywały się podobnie. Po sześciu miesiącach użytkownik dostawał średnio 3,5 symulacji, wobec 2,6 po trzech i 2,8 po dwunastu miesiącach, a 50,4% testów oznaczono jako trudne. Poszczególne etapy porównują częściowo różne grupy firm i osób.

Dla firmy prowadzącej takie testy wzrost kliknięć w pierwszych miesiącach nie musi oznaczać, że zespół słabnie. Może wynikać z trudniejszych i częstszych prób. Obok kliknięć liczy się to, ile osób podało dane logowania i ile zgłosiło podejrzaną wiadomość.