01
Zakres i zgody
Z zarządem lub upoważnioną osobą ustalamy cele, kanały, grupy, scenariusze, wyłączenia, zasady danych i komunikacji. Wyznaczamy kontakt awaryjny oraz warunki przerwania testu lub eskalacji.
Social engineering
Testy socjotechniczne
Sprawdzamy, jak firma reaguje na kontrolowane próby wyłudzenia danych, pieniędzy lub dostępu. Uzgadniamy kanały, scenariusze i granice testu, a potem oceniamy decyzje, zgłoszenia i reakcję IT. Wyniki służą poprawie zabezpieczeń i procedur, nie piętnowaniu pracowników.
Zaufali nam
Firmy i instytucje, dla których liczy się stabilne IT.
Sprawdź decyzje, nie tylko kliknięcia
Test jest przydatny tam, gdzie jedna prośba może uruchomić przelew, zmianę rachunku, reset hasła, instalację programu lub ujawnienie danych. Zakres dobieramy do branży, procesów i wcześniejszych incydentów, także przy pracy zdalnej, hybrydowej i z dostawcami. Możemy objąć wybrane role, działy, lokalizacje lub całą organizację. Sprawdzamy zarówno zachowanie użytkowników, jak i ochronę poczty, weryfikację rozmówcy oraz gotowość helpdesku i zespołu bezpieczeństwa.
Redukcja ryzyka Sprawdź decyzje, nie tylko kliknięcia
Co zrobić z wynikami testu
Wnioski mogą prowadzić do szkoleń, zmian technicznych lub usprawnienia obsługi incydentów. Zakres tych prac uzgadniamy oddzielnie.
Ochrona poczty
Filtrowanie wiadomości, sprawdzanie domen nadawców oraz obsługa kwarantanny. Zmiany dobieramy do ustaleń z kampanii.Program SAT
Cykliczne krótkie szkolenia, symulacje i porównywanie wyników. To program rozwijania świadomości, nie pojedynczy test.Ochrona logowania MFA
Dobór dodatkowych metod potwierdzania logowania i zasad odzyskiwania dostępu. Uwzględniamy ryzyka ujawnione w scenariuszach.Obsługa incydentów SOC
Ocena zgłoszeń, zachowanie materiałów do analizy i eskalacja do właściwych osób w ramach uzgodnionej obsługi SOC/SIEM/SOAR.ISO 27001 · TÜV NORD Polska
System zarządzania bezpieczeństwem informacji Virtline jest certyfikowany przez TÜV NORD Polska według PN-EN ISO/IEC 27001:2023-08. Zakres i ważność sprawdzisz w opublikowanym dokumencie. Certyfikat dotyczy systemu zarządzania Virtline, nie zgodności firmy poddawanej testowi.
Zobacz certyfikat VirtlineJak przebiega test socjotechniczny
Nie wysyłamy wiadomości ani nie rozpoczynamy rozmów przed zatwierdzeniem zasad. Terminy i intensywność kampanii dobieramy do pracy firmy.
02
Przygotowanie
Analizujemy publiczne informacje o firmie w uzgodnionych granicach prywatności. Przygotowujemy scenariusze, kontrolowane strony docelowe i pomiar zdarzeń bez zbierania prawdziwych haseł. Ustalamy także reakcję po udanej interakcji testowej.
03
Kontrolowana kampania
Realizujemy zatwierdzone wiadomości i rozmowy. Obserwujemy reakcje użytkowników, zabezpieczeń oraz IT; sprawdzamy przekazywanie zgłoszeń. Nieprzewidziany wpływ na pracę firmy rozpatrujemy według uzgodnionych zasad zatrzymania i eskalacji.
04
Omówienie i dalsze kroki
Przekazujemy raport, omawiamy wnioski z zarządem i IT oraz przygotowujemy komunikację dla zespołów bez piętnowania osób. Uzgadniamy działania, odpowiedzialność i sposób porównania wyników po poprawkach.
Zakres praktyczny
Co otrzymujesz po teście
Raport rozdziela obserwacje dotyczące ludzi, zabezpieczeń i procedur. Wynik odnosi się do sprawdzonych scenariuszy; nie potwierdza odporności na każde oszustwo.
Zatwierdzony zakres, zgody, wyłączenia, przebieg kampanii i najważniejsze ryzyka. Wskazujemy decyzje właścicieli procesów oraz ograniczenia pomiaru, zamiast sprowadzać ocenę firmy do odsetka kliknięć.
Doręczenia, kliknięcia, symulowane próby wpisania danych, reakcje na załączniki, przekazania wiadomości, zgłoszenia i ich czas. Uzgodnione zestawienia według ról lub grup pomagają wskazać powtarzające się ryzyka bez publicznego wskazywania osób.
Działanie skrzynki bezpieczeństwa, przycisku zgłoszenia, helpdesku, przełożonych i SOC. Opisujemy kompletność zgłoszeń, zachowanie materiałów, ocenę podejrzenia, czas eskalacji i informację zwrotną dla użytkownika oraz obserwacje dotyczące filtrów, ostrzeżeń i kwarantanny.
Priorytety dla MFA, poczty, weryfikacji płatności i dostawców, resetu dostępu, zgłaszania incydentów i komunikacji kryzysowej. Przekazujemy tematy szkoleń, materiały, checklisty dla ról wysokiego ryzyka i plan ponownej próby; rozdzielamy pilne działania od dalszych prac.
Kanały i scenariusze
Dobieramy e-maile phishingowe, SMS-y (smishing), komunikatory, kody QR i rozmowy telefoniczne (vishing). Scenariusze mogą obejmować fałszywe faktury, załączniki, zaproszenia, alerty Microsoft 365, skrócone linki, zmianę danych lub reset dostępu. Sprawdzamy podszywanie się pod klienta, dostawcę, serwis, helpdesk albo dział wewnętrzny, w tym prośby o kody i wielokrotne żądania zatwierdzenia MFA. Finanse, HR, zarząd, sprzedaż, obsługa klienta, recepcja, administratorzy i właściciele systemów wymagają różnych scenariuszy. Dobór wynika z ryzyka i wcześniejszych szkoleń, a nie z założenia, że każda kampania obejmie wszystkie kanały. Scenariusze dotyczące MFA wymagają kont testowych lub uzgodnionej symulacji, bez pozyskiwania rzeczywistych danych logowania pracowników.
Pytania o testy socjotechniczne
Jak ustalacie zgody i ochronę danych?
+
Umowa i zgoda na scenariusz nie zastępują oceny zgodności z właściwymi przepisami. Przed startem firma z udziałem osób odpowiedzialnych za sprawy prawne i ochronę danych ustala podstawy oraz warunki przetwarzania. Uzgadniamy niezbędne dane, dostęp do wyników, czas przechowywania i anonimizację zestawień. Nie zbieramy prawdziwych haseł. Termin, zakres informacji dla pracowników i komunikację po teście ustalamy z firmą; nie zakładamy, że każdy test musi być niezapowiedziany.
Czym test różni się od szkoleń i SAT?
+
Test sprawdza uzgodnione zachowania, kanały i reakcję w konkretnych scenariuszach. Szkolenie uczy i pozwala przećwiczyć zasady, a SAT łączy powtarzane pomiary, krótkie moduły i utrwalanie wiedzy. Kampania może być częścią SAT albo osobną weryfikacją po incydencie lub szkoleniu. Omówienie wyników i plan nauki nie oznaczają automatycznie zamówienia całego programu szkoleniowego.
Jak porównujecie wyniki i wykorzystujecie raport?
+
Kliknięcia zestawiamy ze zgłoszeniami, ich szybkością i jakością reakcji. Przy kolejnej kampanii uwzględniamy porównywalność grup i scenariuszy; w uzgodnionej ocenie programu także ukończenie szkoleń i incydenty wykryte dzięki zgłoszeniom. Zakres, zgody, wyniki i działania mogą wspierać przeglądy NIS2, ISO 27001, DORA, KSB 315 oraz audyty klientów, jeśli są dla nich istotne. Nie są samodzielnym potwierdzeniem zgodności ani dowodem wykrywania wszystkich prób oszustwa.
Czy pomagacie wdrożyć poprawki?
+
Tak, po uzgodnieniu osobnego zakresu. Możemy pomóc z MFA, procedurami płatności i resetu dostępu, obsługą zgłoszeń, szkoleniami oraz ponownym testem. Dla poczty analizujemy m.in. Microsoft 365 i Defender, filtry, kwarantannę oraz SPF, DKIM i DMARC, czyli mechanizmy uwierzytelniania domen używanych przy wysyłce. Nie zastępują one analizy treści ani ostrożności użytkowników. Zmiany dopasowujemy do środowiska, ustaleń kampanii i dostępnych funkcji.
Omów scenariusze i granice
Opisz liczbę użytkowników, branżę, role, lokalizacje i obecne kanały zgłaszania. Wskaż cel testu, dozwolone kanały i ważne wyłączenia. Nie przesyłaj haseł ani danych pracowników; sposób przekazania potrzebnych informacji uzgodnimy przed pracami.
Omów test socjotechniczny