Фишинговые симуляции и Security Awareness: почему показатель кликов не показывает эффективность обучения
Изображение: OpenAI
Компания разослала сотрудникам учебный фишинг. Письмо получили 10 тысяч человек, по ссылке перешли 600. Click rate составил 6%.
Через полгода провели новую симуляцию. Кликнули 300 сотрудников, показатель снизился до 3%.
На слайде такая динамика выглядит убедительно: число кликов сократилось вдвое. Но делать из этого вывод, что сотрудники стали вдвое лучше распознавать фишинг, нельзя.
В первой рассылке могло быть письмо о зарплате от знакомого сервиса с правдоподобным отправителем. Во второй могли использовать сообщение с ошибками, странным доменом и легендой, которая никак не связана с работой получателя. Сравнивать такие кампании только по проценту кликов некорректно.
Для Security Awareness click rate показывает конкретное действие: сколько получателей взаимодействовали с приманкой. Проблема начинается тогда, когда эту цифру используют как самостоятельную оценку качества обучения. В таком случае отчёт может отражать не только поведение сотрудников, но и то, насколько сложным оказался сам сценарий.
Почему одинаковый процент может означать разный риск
Представим две компании.
В первой бухгалтеру приходит письмо от реального поставщика. Тема связана с текущим проектом, используется знакомая терминология, а страница по ссылке похожа на корпоративный сервис. По ссылке переходят 5% сотрудников.
Во второй компании сотрудники получают письмо от неизвестной организации о неожиданном выигрыше. Отправитель выглядит подозрительно, тема не связана с работой, ссылка ведёт на незнакомый домен. Click rate также составляет 5%.
Цифры одинаковые. Условия атаки разные.
В первом случае результат показывает, как сотрудники реагируют на сценарий, который похож на реальную рабочую переписку. Во втором возникает другой вопрос: почему сотрудники взаимодействуют с настолько слабой приманкой?
Именно поэтому NIST разработал Phish Scale, метод оценки сложности обнаружения фишингового письма. Он учитывает признаки самого сообщения и рабочий контекст получателя. Письмо с просьбой посмотреть резюме кандидата будет выглядеть естественно для рекрутера и значительно менее ожидаемо для системного администратора. То же относится к письму о проблеме с репозиторием для разработчика и бухгалтера.
В сентябре 2026 года NIST опубликовал результаты исследования, проведённого вместе с командой информационной безопасности Walmart. Исследователи изучили поведение более 50 тысяч сотрудников, проверив 26 признаков фишинга, объединённых в пять групп. В кампании click rate составил 7,22%, report rate, то есть доля сообщений о подозрительном письме, — 16,81%. Предварительные результаты дополнительного опроса также не выявили различий в кликах между отдельными типами признаков.
Даже такая большая выборка не превращает 7,22% в универсальную оценку защищённости персонала. NIST прямо использует Phish Scale как способ добавить контекст к click rate и report rate, поскольку результаты симуляций зависят от сложности письма и соответствия сценария получателю.
Нулевой click rate тоже может ввести ИБ-команду в заблуждение
Допустим, после очередной симуляции на ссылку нажали 0,7% сотрудников. На первый взгляд показатель выглядит хорошо.
Но в письме были очевидные признаки подделки, использовалась непривычная тема, а похожую легенду сотрудники уже видели несколько месяцев назад. В таком сценарии низкий click rate может говорить о том, что учебная атака оказалась слишком простой.
Здесь возникает проблема KPI. Если задача ИБ-команды сводится к тому, чтобы каждый квартал снижать долю кликов, есть соблазн упростить сценарии, чаще повторять знакомые легенды или использовать признаки, которые сотрудники уже научились искать именно в учебных письмах.
Так можно получить красивый график и при этом почти ничего не узнать о поведении людей перед реальной атакой.
Поэтому click rate лучше рассматривать вместе с характеристиками самой симуляции. В StopPhish, например, при оценке учебной атаки мы учитываем не только рабочий контекст получателя, но и количество подозрительных признаков в письме. Среди них могут быть поддельный отправитель или ссылка, ошибки, непривычное оформление, неизвестный отправитель, который представляется сотрудником организации.
Такая детализация нужна для одного: понимать, что именно измерила кампания.
Для SOC может быть важнее не сам клик, а то, что произошло после него
В исследовании NIST и Walmart 16,81% сотрудников сообщили о подозрительном письме против 7,22%, которые перешли по ссылке.
Report rate стоит анализировать отдельно. Человек мог не кликнуть, потому что сразу распознал фишинг. А мог просто не открыть письмо. В обоих случаях click rate будет одинаковым.
С сообщением в ИБ ситуация другая. Если сотрудник распознал подозрительное письмо и передал его в SOC или через предусмотренный канал, организация получила дополнительный сигнал об атаке.
Но и report rate нельзя воспринимать как универсальную оценку. Если сотрудник понял, что письмо подозрительное, но не знает, куда его отправить, проблема уже находится в процессе реагирования. То же происходит, когда функция Report Phishing спрятана в интерфейсе почтового клиента и для отправки сообщения приходится долго искать нужную кнопку.
Поэтому имеет смысл смотреть ещё на одну метрику, время до первого сообщения о фишинге.
Предположим, click rate почти не изменился: 5% против 4%. При этом раньше первое сообщение о подозрительной рассылке приходило через 25 минут, а теперь через три.
Для SOC эти 22 минуты могут быть критичнее одного процентного пункта. За это время можно заблокировать домен, удалить письмо из остальных ящиков и проверить учётные записи сотрудников, которые уже успели перейти по ссылке или передать данные.
В этот момент Security Awareness становится частью процесса обнаружения инцидентов. Сотрудник фактически выступает дополнительным источником телеметрии, только сигнал поступает через человека.
Какие показатели стоит держать в отчёте
От click rate отказываться не нужно. Он показывает, сколько получателей взаимодействовали с учебной приманкой. Но рядом стоит держать показатели, которые объясняют этот результат.
| Что измеряем | Что можно понять |
| Переходы по ссылке или запуск небезопасного содержимого | Сколько сотрудников взаимодействовали с приманкой |
| Передача учётных данных | Сколько человек дошли до более опасного действия |
| Сообщения о подозрительном письме | Сколько сотрудников запустили процесс проверки |
| Время до первого сообщения | Как быстро ИБ получает сигнал от сотрудников |
| Повторение одного типа ошибки | Есть ли устойчивый проблемный сценарий у конкретной группы |
| Сложность симуляции | Насколько корректно сравнивать кампанию с предыдущими |
Тогда отчёт отвечает уже не на один вопрос «сколько людей кликнуло?», а на несколько более практичных.
Например, сотрудники по-прежнему переходят по ссылкам, но почти перестали вводить пароли. Финансовый отдел стабильно ошибается на письмах с изменением платёжных реквизитов. Или click rate почти не меняется, зато сообщения о подозрительных письмах начинают приходить в пять раз быстрее.
Для ИБ это уже материал для принятия решений: где менять сценарий обучения, какой процесс нужно доработать и где сохраняется конкретный риск.
Поэтому в отчёте к результату кампании стоит добавлять хотя бы несколько параметров:
- кому предназначалась легенда и насколько она соответствовала реальной работе этой группы;
- насколько сложно было заметить подделку;
- сколько людей только перешли по ссылке, а сколько дошли до передачи данных;
- сколько сотрудников сообщили о письме и через какое время пришёл первый сигнал;
- повторяется ли один тип ошибки у одной и той же группы.
Тогда отчёт становится не таким красивым, зато полезным.
«Click rate снизился с 7% до 4%» хорошо помещается на одном слайде.
«Click rate почти не изменился, но финансовый отдел стал в четыре раза быстрее сообщать о письмах с подменой реквизитов и вдвое реже вводит учётные данные» требует больше места, зато показывает, что именно происходит с риском.
Если компания годами смотрит только на линию click rate, она рискует измерять не устойчивость сотрудников к фишингу, а их способность узнавать собственные учебные атаки.
