Średni wskaźnik kliknięć w symulowane wiadomości phishingowe wynosi w Polsce 3,4% – wynika z badania firmy Nimblr. To najlepszy wynik spośród wszystkich 10 europejskich krajów objętych analizą. Nie oznacza to jednak, że Polacy są całkiem odporni na ataki wykorzystujące ten mechanizm. Badanie pokazuje, że gdy fałszywe wiadomości przypominają codzienną komunikację służbową, ich skuteczność wyraźnie rośnie.
Według danych z najnowszego raportu CERT Polska tylko w lutym 2026 roku odnotowano w Polsce 18,5 tys. incydentów cyberbezpieczeństwa, z czego 30% stanowił phishing. W porównaniu z analogicznym miesiącem 2025 r. liczba incydentów w lutym 2026 r. zwiększyła się o 68%.
Mail z HR, wiadomość na LinkedIn, oferta iPhone’a – w to klikają Polacy
Nimblr przeanalizował 1714 scenariuszy phishingowych, które wysłano około 11 mln razy do użytkowników w 10 krajach europejskich. Polska osiągnęła najniższy średni wskaźnik kliknięć (3,4%), podczas gdy najwyższy odnotowano w Estonii (6,1%).
Największą skuteczność wśród polskich użytkowników miały scenariusze nawiązujące do codziennych sytuacji w pracy – przede wszystkim komunikaty przypominające wiadomości z działu HR, np. dotyczące urlopów. Silnie działały także treści bazujące na ciekawości i pozornie niewielkim ryzyku, jak choćby fałszywe oferty sprzedaży iPhone’ów.
Co działa w innych krajach? Od benefitów po karty podarunkowe
W krajach nordyckich i bałtyckich szczególnie wysokie wskaźniki kliknięć osiągały maile z działów kadr/HR, podobnie jak miało to miejsce w Polsce. Komunikaty te dotyczyły m.in. wynagrodzeń oraz benefitów pracowniczych. Wskaźnik kliknięć dla tego typu wiadomości często przekraczał 20%, podczas gdy w Polsce było to 12%. Równolegle dużą skuteczność notowały maile naśladujące komunikację systemową, takie jak fałszywe powiadomienia z elektronicznego kalendarza.
W Wielkiej Brytanii najwyższe wskaźniki kliknięć osiągały natomiast scenariusze bazujące na kontekście sezonowym – np. wiadomości związane z kartami podarunkowymi w okresie świątecznym. W czołówce znalazły się jednak także typowe maile pracownicze, takie jak ankiety z działu HR.
Klikamy w to, co usypia naszą czujność
Z raportu Verizon Data Breach Investigations wynika, że phishing odpowiada za 57% incydentów socjotechnicznych, polegających na manipulowaniu zachowaniem użytkownika, a nie na przełamywaniu zabezpieczeń technicznych. Ataki phishingowe projektowane są tak, by wywołać określoną reakcję użytkownika. Wykorzystują silne bodźce emocjonalne, takie jak presja czasu, stres czy ciekawość, a także autorytet nadawcy.
− Równie dobrze działają wiadomości, które wpisują się w codzienny rytm pracy. Wiarygodnie naśladują procesy w firmie i w ten sposób usypiają czujność odbiorcy. Dodatkowo skuteczności takich prób sprzyja pośpiech, zmęczenie i wielozadaniowość – zwłaszcza gdy wiadomości są odczytywane na urządzeniach mobilnych, gdzie trudniej dokładnie sprawdzić adres nadawcy czy link − tłumaczy Magdalena Baraniewska, Channel Sales Executive w Nimblr.
Lokalny język, większe zaufanie
Analiza Nimblr zwraca uwagę nie tylko na efektywność konkretnych scenariuszy, ale również na język, za pomocą którego przygotowano fałszywą komunikację. Użytkownicy stosunkowo rzadko zwracają uwagę na wiadomości phishingowe napisane po angielsku − odnotowują one najniższy wskaźnik kliknięć. Znacznie częściej reagują natomiast na fałszywe wiadomości w języku lokalnym.
Takie komunikaty wydają się odbiorcom bardziej autentyczne i lepiej wpisują się w codzienny kontekst pracy. Widać to również w danych dla Polski, gdzie najwyższe wskaźniki kliknięć osiągały scenariusze przygotowane po polsku.
Regularne szkolenia realnie obniżają skuteczność phishingu
Dane z raportu Verizon Data Breach Investigations Report wskazują, że średni wskaźnik kliknięć w symulowane kampanie phishingowe w przedsiębiorstwach prowadzących szkolenia z cyberbezpieczeństwa wynosi zaledwie 1,5%. Ponadto, pracownicy, którzy przeszli trening w ciągu ostatnich 30 dni, są nawet czterokrotnie bardziej skłonni zgłaszać podejrzane wiadomości. To potwierdza, że regularność treningów ma bezpośrednie przełożenie na poziom odporności firmy na cyfrowe zagrożenia.
− Skuteczna prewencja przed cyberzagrożeniami musi bazować na ciągłych treningach. W praktyce oznacza to konieczność regularnego testowania użytkowników poprzez symulacje ataków oraz udzielania im natychmiastowej informacji zwrotnej w przypadku popełnienia błędu − na przykład w formie krótkich wskazówek pokazujących, które elementy fałszywej wiadomości powinny wzbudzić podejrzenie i jaka reakcja byłaby właściwa. Takie podejście − buduje trwałą odporność firmy – wyjaśnia Joanna Stawicka, Channel Sales Executive w Nimblr.
O badaniu
Badanie zostało przeprowadzone z wykorzystaniem danych z symulacji phishingowych realizowanych przez Nimblr w 2025 roku w 10 krajach europejskich: Danii, Estonii, Finlandii, Łotwie, Litwie, Holandii, Norwegii, Polsce, Szwecji i Wielkiej Brytanii. Analiza objęła 1714 scenariuszy wysłanych co najmniej 100 razy, co przełożyło się na ok. 11 mln wysyłek i ok. 420 tys. kliknięć. Na tej podstawie określono średnie wskaźniki kliknięć oraz najskuteczniejsze scenariusze phishingowe w poszczególnych krajach.
Wojciech Boczoń
