Klik er ikke nok: Ny research udfordrer phishingtræning

For dem, der er kritiske over for phishingstræning som parameter for måling af awareness-graden hos de ansatte i en organisation er der nu hjælp at hente. For mens klikraten har i årevis været den mest anvendte målestok for phishingtræning, tyder nye forskningsresultater, at den fortæller langt mindre om en organisations modstandsdygtighed end mange sikkerhedsansvarlige antager. 

Det skriver Security Week.

Det er det norske sikkerhedsfirma Pistachio, der har analyseret resultaterne fra 2,47 millioner simulerede phishingangreb sendt til mere end 123.000 medarbejdere i over 1.200 organisationer mellem juni 2025 og maj 2026. Konklusionen er klar: Hvis organisationer vil forstå deres reelle phishingrisiko, bør de fokusere mindre på klik og mere på, hvad der sker bagefter.

Det afgørende sker efter klikket

Pistachios analyse vurderede tre adfærdsmønstre: klik på phishinglinks, afgivelse af legitimationsoplysninger og indrapportering af mistænkelige beskeder.

Ifølge undersøgelsen er et klik i sig selv ikke nødvendigvis et sikkerhedsproblem. Risikoen opstår først, når brugeren afgiver adgangsoplysninger eller andre følsomme data. Samtidig kan en bruger, der klikker på et link, stadig nå at genkende angrebet og undlade at aflevere oplysninger.

Forskerne argumenterer derfor for, at organisationer risikerer at få et misvisende billede af deres sikkerhedsniveau, hvis succes eller fiasko alene måles på klikrater.

Pistachios administrerende direktør Joe Jones beskriver en lav klikrate som en potentiel falsk tryghed. Det afgørende er, om medarbejderen stopper angrebet, rapporterer det eller ender med at kompromittere sine legitimationsoplysninger.

IT-folk klarer sig ikke nødvendigvis bedst

Undersøgelsen viser også betydelige forskelle mellem både brancher og medarbejdergrupper.

Finanssektoren klarede sig samlet bedst med lave klikrater, færre lækkede legitimationsoplysninger og højere rapporteringsgrad end andre sektorer.

Mere overraskende var resultaterne for tekniske medarbejdere. Omkring 30 procent af ansatte inden for softwareudvikling og godt 28 procent af IT-medarbejdere klikkede mindst én gang på en simuleret phishingmail i løbet af perioden.

Samtidig varierede resultaterne markant mellem forskellige faggrupper. Designmedarbejdere havde de laveste klikrater, mens medarbejdere inden for bygge- og ejendomssektoren lå højest.

Resultaterne udfordrer forestillingen om, at teknisk viden automatisk giver bedre beskyttelse mod phishing.

Rapportering er en overset succesparameter

Et andet centralt fund er betydningen af medarbejdernes villighed til at rapportere mistænkelige beskeder.

Ved begyndelsen af træningsforløbet rapporterede flere brugere phishingforsøg, end der klikkede på dem. Alligevel lækkede 1,57 procent af brugerne legitimationsoplysninger under de første simulationer. I en organisation med 500 medarbejdere svarer det statistisk til omkring otte personer.

Efter et års løbende træning rapporterede medarbejderne næsten dobbelt så mange mistænkelige beskeder, som de klikkede på. Ifølge Pistachio peger det på, at vedvarende træning kan styrke medarbejdernes årvågenhed og ikke blot reducere antallet af klik.

Træning virker, men ikke med det samme

Undersøgelsen indeholder også en påmindelse til organisationer, der forventer hurtige resultater.

Data viser, at både klikrater og læk af legitimationsoplysninger faktisk steg i de første seks måneder af træningsforløbet, før udviklingen vendte. Det tyder på, at enkeltstående kampagner eller kortvarige træningsforløb ikke nødvendigvis giver et retvisende billede af effekten.

Pistachios phishingsimulationer blev genereret af virksomhedens AI-baserede platform, som tilpassede indhold og sværhedsgrad efter både medarbejdernes jobfunktion og tidligere reaktioner på testkampagner.

Netop denne personalisering kan være med til at forklare undersøgelsens omfang og detaljeringsgrad. Ifølge virksomheden ville den tilsvarende analyse have taget årtier at gennemføre manuelt.

Mere nuancerede målepunkter

Rapportens hovedbudskab er, at phishingtræning bør vurderes ud fra flere parametre end blot klik.

Hvis målet er at reducere den operationelle risiko, er det vigtigere at vide, hvor mange medarbejdere der afgiver legitimationsoplysninger, hvor hurtigt mistænkelige beskeder bliver rapporteret, og hvordan disse tal udvikler sig over tid.

For sikkerhedsansvarlige betyder det, at traditionelle klikrater kan være nyttige, men kun som ét datapunkt blandt flere. Den virkelige indikator for modstandsdygtighed findes i medarbejdernes samlede adfærd, når phishingmailen lander i indbakken.