Sprawdź odporność na phishing
i ataki socjotechniczne
Kontrolowane kampanie phishingowe, vishing, smishing, BEC i fizyczne testy socjotechniczne — realistycznie mierzą odporność Twoich pracowników i procesów. Zgodność z NIS2, DORA, ISO 27001 i KNF.
Wszystkie sposoby, w jakie atakujący próbują oszukać Twoich pracowników
Od klasycznego phishingu mailowego po deepfake vishing i quishing — VIPentest symuluje każdy wektor, którym posługują się dziś realni atakujący. Każdy scenariusz mapowany jest na konkretną technikę MITRE ATT&CK.
Mass Phishing (email)
Realistyczne kampanie mailowe do całej organizacji — fałszywe powiadomienia M365, Google Workspace, banków, kurierów i HR. Mierzymy click rate, submit rate i time-to-report.
Spear Phishing i Whaling
Targetowane ataki na CFO, CEO, dział finansowy, HR i administratorów. Pełen OSINT, personalizacja w oparciu o LinkedIn, kalendarz i ostatnią aktywność medialną.
Vishing (telefon)
Symulowane połączenia na helpdesk, recepcję, finanse i sprzedaż. Pretekst dostawcy, audytora, pracownika IT. Również AI voice cloning dla ataków deepfake na zarząd.
Smishing i Komunikatory
SMS, WhatsApp, Signal, Microsoft Teams. Fałszywe powiadomienia banku, kuriera InPost/DHL, prośby o weryfikację MFA — z rotującymi numerami i shortenerami.
Business Email Compromise
CEO Fraud, fake invoice, change-of-bank-account. Wymuszenie przelewu lub zmiany danych płatności. Testy procedur Four Eyes i callback approval w finansach.
Fizyczna inżynieria społeczna
Tailgating, USB drop, podszywanie się pod serwis sprzątający, kuriera, audytora. Testy polityki badge, escortingu gości i mechanizmów kontroli dostępu.
Quishing (QR codes)
Fałszywe kody QR umieszczane w przestrzeni biurowej, parkingach, drukowanej korespondencji i emailach. Bypass większości email security gateways i URL scannerów.
MFA Fatigue i AiTM
Push bombing, Adversary-in-the-Middle z Evilginx2, kradzież cookie sesji. Demonstracja, że samo MFA nie wystarczy bez phishing-resistant FIDO2/WebAuthn.
Pretexting
Konstrukcja wiarygodnego scenariusza i postaci. Telefon „z banku centralnego”, mail od „nowego dostawcy chmury”, wiadomość od „kolegi z innego oddziału” z prośbą o pilne działanie.
Co dokładnie testujemy w kampanii socjotechnicznej
Pełen scope realizowany zgodnie z metodyką PTES Social Engineering, mapowany na techniki MITRE ATT&CK Initial Access (TA0001) oraz Reconnaissance (TA0043). Każdy z poniższych modułów można uruchomić osobno lub jako spójną kampanię blended.
Kontrolowane, realistyczne kampanie mailowe wysyłane z dedykowanej infrastruktury VIPentest. Klonowanie marek Microsoft 365, Google Workspace, polskich banków (PKO, mBank, ING, Pekao, Santander), kurierów (InPost, DHL, UPS) oraz aplikacji wewnętrznych klienta. Bypass filtrów antyspamowych przy zachowaniu pełnej legalności i audit trail.
- Klonowanie portali logowania: M365, Google, Okta, Azure AD, OneLogin, ADFS, intranet klienta — pixel-perfect kopia z poprawnym certyfikatem TLS
- Bypass SEG: Weryfikacja, jak realnie pracuje Microsoft Defender, Proofpoint, Mimecast, Barracuda. Identyfikacja, które typy phishy przechodzą
- Tracking pełnego funnelu: Open rate, click rate, submit rate, MFA bypass rate, otwarcia załączników, time-to-first-click, time-to-first-report
- Realne payloady: Dokumenty z makrami w sandboxie, OneNote / ISO / HTML smuggling, AiTM przez Evilginx2 (z autoryzacją)
- Wielojęzyczność: Polski (kluczowy), angielski, niemiecki, ukraiński — dla organizacji wielokulturowych
- Realne brandowanie: Domeny typosquatted, IDN homograph, dedykowane certyfikaty Let's Encrypt z OCSP stapling
Wyspecjalizowane kampanie przeciwko CEO, CFO, członkom zarządu, CISO oraz osobom o krytycznym dostępie. Symulacja zaawansowanego threat actora (APT) — dni rekonesansu, godziny researchu na osobę, precyzyjny pretext. Whaling ma zazwyczaj 5–10× wyższy success rate niż masowy phishing, dlatego wymaga osobnego programu szkoleń dla kadry C-level.
- Deep OSINT: LinkedIn, X, kalendarz konferencji, podcasty, panele eksperckie, sprawozdania finansowe, wycieki danych
- Konstrukcja pretextu: Inwestor, regulator, dziennikarz branżowy, headhunter, organizator wydarzenia, klient strategiczny
- Vector blended: Połączenie LinkedIn message + email + telefon + spotkanie online — kilkutygodniowy build-up zaufania
- Deepfake voice samples: Trening modelu na publicznych wystąpieniach prezesa i symulacja vishingu CFO (za zgodą)
- Calendar phishing: Fałszywe zaproszenia Google Calendar / Outlook z embedded links
- Executive coaching: Indywidualny debriefing 1-na-1 z każdym członkiem zarządu, który dał się złapać
Symulowane ataki telefoniczne kierowane do helpdesku IT, recepcji, działów finansowych, sprzedaży oraz infolinii klienta. Najczęściej zaniedbany wektor, mimo że to właśnie telefon do helpdesku jest klasyczną drogą do resetu hasła konta administracyjnego (Twitter 2020, MGM Resorts 2023, Cisco 2022).
- Helpdesk reset hasła: Próba zmuszenia agenta do resetu hasła konta admin / VIP poprzez urgent pretext
- MFA enrollment bypass: Wymuszenie dodania "nowego" urządzenia 2FA do konta ofiary
- Information harvest: Subtelne wyciąganie informacji z recepcji, sprzedaży, finansów — schemat organizacji, struktura, kontakty
- CallerID spoofing: Wyświetlanie wewnętrznego numeru organizacji lub numeru kontrahenta (legalnie, z zgodą)
- AI Voice Cloning: Symulacja deepfake CFO/CEO żądającego pilnego przelewu (osobny moduł, pełna zgoda prawna)
- Audit trail: Każda rozmowa nagrana (z zgodą uczestnika kampanii — administratora), pełen transkrypt w raporcie
Komunikatory są dziś znacznie słabiej chronione niż email. Smishing potrafi mieć 5–10× wyższy click rate niż phishing mailowy, ponieważ ofiara nie ma do dyspozycji nagłówków, hover preview, ani sandboxa. Atakujący masowo migrują na SMS, WhatsApp i Teams.
- SMS kampanie: Bramy SMS z rotującymi numerami (PL, UK, DE), shortenery URL, geo-fencing dostarczania
- WhatsApp Business: Konto firmowe z weryfikacją, profilem dostawcy/banku, multimedia jako bait
- Signal i Telegram: Phishing 1-on-1 z udawanym recruiterem, project managerem zewnętrznym, partnerem biznesowym
- Microsoft Teams External: Wykorzystanie konta z innej tenant w celu omijania filtrów (Storm-0324, Storm-0539 actors)
- Push notification spam: Wymuszenie błędnej akceptacji MFA przez zalanie pracownika powiadomieniami
- Dynamic URL rotation: Linki regenerujące się po wykryciu skanera, cloaking content per region/UA
BEC to w 2024-2026 najkosztowniejsza kategoria cyberprzestępczości — średnia strata 137 000 USD na incydent (FBI IC3). Atakujący podszywa się pod prezesa, CFO, dostawcę lub partnera w celu wymuszenia przelewu lub zmiany danych konta. Testujemy zarówno wektor techniczny (spoofing), jak i proceduralny (Four Eyes, callback).
- CEO Fraud: Mail/SMS od "prezesa" podczas jego wyjazdu — pilna prośba o przelew "poufnej transakcji"
- Change of bank account: Fałszywy mail dostawcy o zmianie konta przelewu na fakturach
- Fake invoice: Wysłanie fałszywej faktury podczas znanego okresu rozliczeniowego
- Payroll diversion: Wniosek "pracownika" do HR o zmianę numeru konta do wynagrodzenia
- Conversation hijacking: Wstrzyknięcie wiadomości w istniejący wątek rozmowy z dostawcą (po wcześniejszej kompromitacji)
- Audyt procedur: Weryfikacja Four Eyes, callback approval, verbal verification dla kwot > threshold
Fizyczna obecność w siedzibie klienta to często najszybsza droga do exfiltracji danych. Testujemy wszystkie warstwy fizycznego bezpieczeństwa — od recepcji, przez badge, escorting gości, aż po polityki czystego biurka i fizycznego dostępu do serwerowni.
- Tailgating: Próba wejścia za pracownikiem do strefy chronionej bez badge — pretext "zapomniałem karty", "jestem z serwisu"
- USB drop: Pozostawienie brandowanych pendrive'ów (z trackowanymi dokumentami HTA / LNK) na parkingu, w recepcji, kuchni
- Pretexting on-site: Podszywanie się pod serwis sprzątający, kuriera, audytora ISO, technika klimatyzacji
- Shoulder surfing: Próba podejrzenia haseł, ekranów z poufnymi danymi w open-space, kawiarniach, lotniskach
- Clean desk audit: Weryfikacja, czy w przestrzeniach biurowych nie pozostają hasła na karteczkach, dokumenty z PII, klucze
- Bypass badge access: Klonowanie kart RFID 125 kHz / 13.56 MHz, testy NFC, lockpicking podstawowych zamków
Threat landscape ewoluuje co kwartał. VIPentest regularnie aktualizuje portfolio scenariuszy o najnowsze techniki obserwowane w realnych atakach na klientów w UE i USA. W 2025-2026 dominują nowe wektory, na które klasyczne szkolenia nie odpowiadają.
- Quishing: Kody QR w drukowanej korespondencji, na parkingach, w mailach — bypass SEG i URL scannerów
- ClickFix / FileFix: Paste-to-run social engineering — komunikat "naciśnij Win+R i wklej" na fałszywej stronie
- Browser-in-the-Browser (BitB): Fałszywe okna SSO renderowane w iframe wewnątrz prawdziwej strony
- Callback Phishing (TOAD): Email bez linku z prośbą o telefon do callcenter — łączy email z vishingiem
- AiTM phishing kits: Evilginx2, Tycoon 2FA, Mamba 2FA — realne demo bypassu MFA i kradzieży cookies
- Deepfake video: Spotkania Teams/Zoom z deepfake CFO/CEO (przypadek Arup Group 2024 — strata 25M USD)
Sama kampania to tylko pomiar — bez programu szkoleniowego klikalność wraca do poziomu wyjściowego w ciągu 4-6 tygodni. VIPentest dostarcza kompleksowy, ciągły program security awareness zgodny z ISO/IEC 27001 Annex A.6.3, NIS2 oraz wymogami DORA.
- Just-in-time training: Pracownik, który kliknął, w ciągu sekund trafia na 90-sekundowy mikrolearning analizujący konkretnie ten scenariusz
- Mikrolearning kwartalny: 5–7 minutowe kursy w PL/EN dystrybuowane via email, intranet, Microsoft Viva Learning, SAP Litmos
- Role-based training: Osobne ścieżki dla zarządu, finansów, HR, helpdesk, deweloperów, sprzedaży
- Gamifikacja: Leaderboards działowe (anonimowe), badge za poprawne zgłoszenia, kwartalne nagrody
- Executive sessions: Dedykowane warsztaty dla zarządu — deepfake, BEC, OSINT na własną osobę
- Dashboard postępów: Real-time metryki dla CISO, mapa ryzyka per dział, trend 12-miesięczny, eksport do raportów compliance
Jak przebiega kampania krok po kroku
Sześcioetapowy proces zgodny z PTES Social Engineering. Każdy etap kończy się check-pointem z osobą wyznaczoną po stronie klienta — pełna kontrola, brak niespodzianek.
Scoping i Rules of Engagement Dzień 1-3
Warsztat scopingowy z CISO i sponsorami biznesowymi. Ustalamy cele kampanii, dozwolone wektory (email/vishing/smishing/fizyczny), listę wyłączeń (pracownicy chorzy, w ciąży, na urlopie, działy wrażliwe), kanały eskalacji, osobę kontaktową w sytuacjach awaryjnych. Podpisanie SoW, NDA i Letter of Authorization.
OSINT i Reconnaissance Dzień 4-7
Pełny rekonesans z otwartych źródeł — LinkedIn, strona firmowa, wycieki danych (Have I Been Pwned, BreachForums), formaty adresów email, rekordy DNS, technologie wdrożone (SPF/DKIM/DMARC, M365 vs Google, EDR), aktywność medialna kadry, ostatnie konferencje, struktura organizacyjna. Buduje to fundament dla realistycznych pretextów.
Projektowanie scenariuszy Dzień 8-10
Konstruujemy 3–5 realistycznych pretextów dopasowanych do kontekstu organizacji — dostawca chmury, urząd skarbowy, kurier, partner biznesowy, IT helpdesk. Tworzymy landing pages, klonujemy marki, kupujemy dedykowane domeny (typosquatting), konfigurujemy infrastrukturę z poprawnym TLS, SPF i DMARC dla domen ataku.
Uruchomienie i monitoring Dzień 11-17
Wysyłka w oknach dopasowanych do strefy czasowej i rytmu organizacji — zazwyczaj wtorek-czwartek, 9:30 i 14:00. Real-time dashboard śledzący opens, kliki, submitted credentials, otwarcia załączników, time-to-report. Pełna gotowość do natychmiastowego zatrzymania kampanii, jeśli wystąpi nieprzewidziana sytuacja.
Eskalacja kontrolowana Dzień 18-20
W zakresie uzgodnionym — wykorzystujemy zdobyte poświadczenia do logowania do OWA, M365, VPN. Weryfikacja MFA bypass przez AiTM, exfiltracja przykładowych plików z OneDrive/SharePoint, próba lateral movement w środowisku testowym. Wszystko z aktywnym monitoringiem klienta i pełnym audit trail.
Raport, debriefing, szkolenia Dzień 21+
Dostarczamy Executive Summary z metrykami, mapę wyników per dział (bez nazwisk), szczegółowy walkthrough scenariuszy z screenshotami, rekomendacje techniczne (DMARC, MFA, SEG hardening, polityki), live debriefing z zarządem oraz uruchomienie just-in-time training dla pracowników, którzy popełnili błąd. Po 90 dniach — opcjonalna kampania kontrolna z 30% zniżką.
Testy socjotechniczne wymagane przez regulacje PL i UE
Programy security awareness i testy odporności na phishing są dziś obowiązkowe lub silnie rekomendowane przez kluczowe regulacje obowiązujące w Polsce i Unii Europejskiej.
Najczęściej zadawane pytania
Odpowiedzi na kluczowe pytania, które otrzymujemy od CISO, dyrektorów IT i zarządów rozważających program testów socjotechnicznych.
Testy socjotechniczne (social engineering testing) to kontrolowane symulacje ataków wykorzystujących manipulację psychologiczną, a nie luki techniczne. W przeciwieństwie do pentestów aplikacji czy infrastruktury, celem nie jest exploit kodu, lecz weryfikacja odporności ludzi i procesów — czy pracownik kliknie podejrzany link, ujawni hasło przez telefon, wpuści obcego do strefy chronionej.
Według raportu Verizon DBIR 2024 ponad 68% naruszeń bezpieczeństwa zaczyna się od kompromitacji człowieka — phishing, pretexting, BEC lub błąd użytkownika. Test socjotechniczny dostarcza realnych metryk klikalności, czasu zgłoszenia incydentu (time-to-report), skuteczności procesów weryfikacji oraz dojrzałości programu security awareness.
VIPentest prowadzi kampanie w pełnym spektrum wektorów socjotechnicznych: phishing email (masowy i targetowany), spear phishing i whaling, vishing (telefoniczna inżynieria społeczna), smishing (SMS i komunikatory), BEC i CEO Fraud, pretexting i fizyczna inżynieria społeczna (tailgating, USB drop), quishing (kody QR), watering hole. Każdy wektor można uruchomić osobno lub w wielokanałowej kampanii blended.
Standardowa, jednorazowa kampania phishingowa zajmuje 2–3 tygodnie od kick-offu do raportu końcowego. Tydzień 1 — scoping, OSINT, projektowanie scenariuszy i infrastruktury. Tydzień 2 — wysyłka i monitoring. Tydzień 3 — analiza, raport, debriefing i szkolenia. Liczba pracowników nie wpływa istotnie na koszt — możemy testować zespoły od 20 osób (mały software house) do 10 000+ (grupa bankowa).
Rekomendowanym modelem jest program ciągły z kwartalnymi kampaniami i mikrolearningiem — taki model trwa 12 miesięcy i pozwala mierzyć trend poprawy odporności (od 25–35% klikalności na starcie do <5% po 4 cyklach).
Tak — testy socjotechniczne są w pełni legalne, gdy przeprowadza je upoważniona przez organizację firma na podstawie pisemnej zgody (Rules of Engagement). VIPentest przed każdą kampanią podpisuje SoW, NDA oraz Letter of Authorization, w którym uzgadniamy dozwolone wektory, listę wyłączeń (pracownicy chorzy, w ciąży, działy wrażliwe), kanały eskalacji oraz procedurę przerwania.
Stosujemy zasadę „no naming and shaming” — raport pokazuje statystyki zagregowane, nigdy nie wymienia konkretnych imion w wynikach przekazywanych zarządowi. Indywidualne wyniki służą wyłącznie do skierowania pracownika na szkolenie. Test jest zgodny z RODO (uzasadniony interes administratora — art. 6 ust. 1 lit. f RODO), Kodeksem Pracy oraz wewnętrznymi politykami pracodawcy.
Testy socjotechniczne są obowiązkowe lub silnie rekomendowane przez liczne regulacje: NIS2 (Dyrektywa UE 2022/2555) — szkolenia awareness dla podmiotów kluczowych i ważnych. DORA (Rozporządzenie UE 2022/2554) — sektor finansowy, TLPT. KNF Rekomendacja D — banki, regularne testy świadomości. ISO/IEC 27001:2022 (Annex A.6.3) — program awareness. PCI DSS 4.0 (req. 12.6) — programy świadomości dla dostępu do danych kart. RODO (art. 32) — środki techniczne i organizacyjne. HIPAA Security Rule — security awareness training. Wiele cyberpolis ubezpieczeniowych również wymaga rocznych kampanii phishingowych.
Raport zawiera komplet metryk operacyjnych i strategicznych: click rate, submit rate, open rate załącznika, report rate (kluczowy wskaźnik dojrzałości), time-to-first-click, time-to-first-report, wyniki w podziale na działy/lokalizacje/role, skuteczność technicznych mechanizmów obronnych (SPF/DKIM/DMARC, Safe Links, Defender), MFA bypass success rate oraz Executive Summary z ryzykiem biznesowym i roadmapą programu awareness na 12 miesięcy. Raport dostarczany jest po polsku i angielsku, w wersji executive i technical.
Korzystamy z mieszanki narzędzi profesjonalnych i autorskich, dostosowanych do skali kampanii: GoPhish i Evilginx2 (open-source, w pełni kontrolowane), King Phisher, Modlishka (reverse proxy do bypass MFA — wyłącznie z autoryzacją), autorskie szablony, dedykowane infrastruktury C2 oraz domeny typosquatting. Do vishingu — VoIP z legalnym spoofingiem CallerID, Twilio. Do smishing — bramy SMS z rotacją numerów. Klonowanie portali — Social-Engineer Toolkit (SET), HTTrack oraz autorskie templaty M365, Google Workspace i polskich banków.
Koszt zależy od zakresu i wektora:
- Kampania email (do 500 pracowników, jeden scenariusz): 12 000–22 000 PLN
- Email z OSINT i 2–3 scenariusze (do 1500 pracowników): 25 000–45 000 PLN
- Blended (email + vishing + smishing) dla średniej firmy: 45 000–80 000 PLN
- APT-style (spear phishing kadry + vishing helpdesku + fizyczny + lateral): 80 000–180 000 PLN
- Program ciągły 12 miesięcy (4 kampanie + mikrolearning + dashboard): 60 000–150 000 PLN/rok
Każda wycena obejmuje pełen OSINT, dedykowaną infrastrukturę, raport PL/EN, debriefing zarządu, szkolenia post-test, 30 dni wsparcia oraz powtórzenie kontrolne po 90 dniach z 30% zniżką.
Średnia globalna klikalność dla organizacji bez wcześniejszych szkoleń to 27–34% (KnowBe4 2024, Proofpoint State of the Phish 2024). Po pierwszym roku programu — 13–18%, po drugim 6–10%, po trzecim <5%. W bankach, fintech i tech dojrzałe organizacje osiągają 2–4%.
Ważniejsza od klikalności jest jednak Report Rate — odsetek pracowników, którzy aktywnie zgłosili phishing (cel: >70%). Spear phishing zawsze daje wyższą klikalność (60–80% u nieprzeszkolonych) — to nie jest porażka programu, to natura wyspecjalizowanego ataku.
Ochrona przed phishingiem to wielowarstwowa strategia:
- Email Authentication: SPF (-all), DKIM 2048-bit, DMARC reject z RUA/RUF, BIMI
- Secure Email Gateway: Microsoft Defender for Office 365, Proofpoint TAP, Mimecast
- Endpoint: EDR (CrowdStrike, SentinelOne, Defender), DNS filtering (Umbrella, Cloudflare Gateway)
- Tożsamość: Phishing-resistant MFA (FIDO2/WebAuthn/passkeys), Conditional Access, blokada legacy auth
- Ludzie: Program awareness z kwartalnymi kampaniami, mikrolearning, przycisk Report Phish
- Procesy: Callback approval dla zmian danych płatności, Four Eyes, playbook IR dla phishing
Cała architektura zgodna z MITRE D3FEND i NIST CSF 2.0.
Pojedyncza kampania bez programu szkoleniowego daje marginalny, krótkotrwały spadek klikalności (efekt "wow" znika po 4–6 tygodniach). Trwała poprawa wymaga ciągłego programu — kwartalnych kampanii z rosnącą trudnością, mikrolearningu, kampanii edukacyjnych pomiędzy testami oraz wsparcia kultury bezpieczeństwa od kadry zarządzającej.
Dane VIPentest z programów 12-miesięcznych: średni spadek klikalności o 65–80%, wzrost report rate z 8% do 72%, skrócenie time-to-report z 47 minut do 4 minut. Najwyższą skuteczność daje model „Just-in-time training” — 3–4× skuteczniejszy niż jedno roczne szkolenie compliance.
Tak — VIPentest aktualizuje portfolio scenariuszy zgodnie z aktualnym threat landscape. W 2026 standardowy zakres obejmuje:
- AI Voice Cloning / Deepfake Vishing — klonowanie głosu prezesa/CFO (T1656)
- MFA Fatigue / Push Bombing — zalewanie pracownika prośbami MFA (T1621)
- Adversary-in-the-Middle (AiTM) — Evilginx2, bypass MFA, kradzież cookies sesji
- Quishing — kody QR w przestrzeni biurowej, parkingach, emailach
- Callback Phishing (TOAD) — emaile bez linków zmuszające do oddzwonienia
- Microsoft Teams External phishing — wykorzystanie kont z innej tenant
- Browser-in-the-Browser (BitB) — fałszywe okna SSO w iframe
- ClickFix / FileFix — paste-to-run social engineering
Gotów sprawdzić odporność swojego zespołu?
Skontaktuj się i otrzymaj bezpłatną konsultację scopingową. Nasi eksperci pomogą dobrać optymalny zakres kampanii phishingowej i programu security awareness dla Twojej organizacji.
