Как за месяц отучить сотрудников кликать по фишингу: программа по неделям и метрики

Люди и фишинг · 19.07.2026 · обновлено 13.10.2026 · 12 мин чтения · Команда НПП РЕКОРД

Можно купить лучший файрвол, но один клик бухгалтера по «письму из налоговой» обнулит всё. Хорошая новость: человеческий фактор тренируется, и результат измеряется в процентах. Разбираем на данных KnowBe4 и Verizon, почему люди кликают, программу на первый месяц по неделям, какие метрики смотреть и почему наказания делают только хуже.

Коротко. Человеческий фактор участвует примерно в 60% взломов, а фишинг — один из самых частых первых шагов атаки. Лечится это не разовой лекцией, а регулярными тренировками: учебные фишинговые рассылки, короткие уроки по допущенной ошибке и простая кнопка «сообщить о подозрительном письме». По данным KnowBe4, доля сотрудников, которые кликают по фишингу, падает с 33,1% до 4,1% за год, а заметный эффект виден уже через три месяца. Наказывать за клики нельзя — люди перестают сообщать.

Можно купить лучший межсетевой экран и антивирус, но один клик по «письму из налоговой» или «счёту от поставщика» обнулит всё. Причём кликает обычно не разгильдяй, а нормальный сотрудник, которого просто никто не учил: письмо выглядит правдоподобно, пришло в разгар рабочего дня и требует срочности. Хорошая новость в том, что эта уязвимость тренируется, а результат можно измерить.

• ≈60% — взломов связаны с человеческим фактором
• <60 сек — медианное время, за которое человек попадается на фишинг (клик и ввод данных)
• $4,8 млн — средняя стоимость инцидента, начавшегося с фишинга
• 4,1% — кликают после года тренировок (вместо 33,1% до обучения)

Источник: Verizon DBIR 2024–2025; IBM Cost of a Data Breach 2025; KnowBe4 Phishing by Industry Benchmarking 2025

Фишинговое письмо притворяется своим, чтобы вы кликнули или ввели пароль

Почему люди кликают

Фишинг эксплуатирует не глупость, а нормальные рабочие реакции. По данным Verizon, медианное время от получения фишингового письма до клика — секунды, а до ввода данных — меньше минуты. Человек не успевает задуматься, потому что письмо давит на одну из привычных кнопок:

• Срочность: «оплатите до 18:00», «аккаунт будет заблокирован через час».
• Авторитет: письмо или сообщение в мессенджере «от директора», «из налоговой», «от банка».
• Рутина: «счёт на оплату», «акт сверки», «документы по доставке» — то, что человек видит каждый день.
• Любопытство и выгода: «премии сотрудникам», «изменения в графике отпусков».

Отдельная растущая угроза — сообщения в мессенджерах от имени руководителя: «срочно, не могу говорить, переведи поставщику» или «тебе позвонят из полиции, сделай, что скажут». Обучение должно охватывать не только почту.

Что работает, а что нет

Доля сотрудников, кликающих на учебный фишинг

• До обучения: 33,1%
• Через 3 месяца: ≈20%
• Через 12 месяцев: 4,1%

Источник: KnowBe4 Phishing by Industry Benchmarking 2025 (67,7 млн симуляций у 14,5 млн сотрудников)

Программа на первый месяц

Месяц — это не «научили навсегда», а запуск процесса, после которого эффект закрепляется ежемесячными тренировками.

1. Неделя 1. Подготовка и замер. Согласуйте программу с руководством и предупредите сотрудников, что будут учебные рассылки — без указания дат. Включите кнопку или адрес «сообщить о подозрительном письме». Проведите первую учебную рассылку на типовой сценарий («счёт на оплату», «письмо из налоговой») — это ваша отправная точка.
2. Неделя 2. Короткие уроки. Каждый, кто кликнул или ввёл данные, сразу получает урок на 3–5 минут именно по своей ошибке. Всем остальным — короткая памятка с примерами из первой рассылки.
3. Неделя 3. Вторая рассылка, сложнее. Сценарии под конкретные отделы: бухгалтерии — «акт сверки от поставщика», отделу продаж — «заявка от клиента», всем — «сообщение от директора». Отдельно — проверка реакции на сообщения в мессенджерах.
4. Неделя 4. Метрики и обратная связь. Сравните результаты двух рассылок, публично отметьте отделы и людей, которые чаще всего сообщали о подозрительных письмах, и утвердите график ежемесячных тренировок.

Какие метрики смотреть

Совет. Главная метрика — не «ноль кликов», а доля и скорость сообщений. Ноль кликов недостижим, а вот если о настоящем фишинге первые сотрудники сообщают через пять минут, атаку успевают остановить для всех остальных.

Почему нельзя наказывать

Штрафы и публичное порицание за клик по учебному письму дают обратный эффект: люди начинают скрывать ошибки. Сотрудник, который кликнул по настоящему фишингу и побоялся сказать, — худший сценарий, потому что атака развивается незаметно. Правильная культура — «сообщил — молодец», даже если сначала кликнул.

Важно. Не делайте учебные рассылки, которые вызывают реальную тревогу: «вас увольняют», «задержка зарплаты», «болезнь родственника». Они подрывают доверие к руководству и программе сильнее, чем учат.

Технические меры, которые страхуют людей

• Двухфакторная аутентификация на почте, VPN и важных сервисах: даже если пароль ввели на поддельной странице, без второго фактора он бесполезен.
• Настройки SPF, DKIM и DMARC для домена компании — они затрудняют рассылку писем от вашего имени.
• Пометка «внешний отправитель» на письмах из-за пределов компании.
• Фильтрация почты и проверка вложений в изолированной среде.
• Правило для платежей: любые изменения реквизитов и срочные переводы подтверждаются звонком по известному номеру, а не ответом на письмо или сообщение.

Сотрудники — не самое слабое звено, а самый дешёвый рубеж защиты. Регулярная тренировка за месяц превращает «кликают все» в «сообщают многие», а через год доля кликающих падает в разы.

Теги: фишинг, сотрудники, обучение, социальная инженерия, учебные рассылки, человеческий фактор