Decalex: Angajaţii fac cursuri de securitate cibernetică, dar tot ei deschid uşa hackerilor. Unde greşesc companiile

Companiile îşi instruiesc angajaţii pentru a recunoaşte şi evita atacurile cibernetice, iar rata de finalizare a cursurilor obligatorii poate depăşi 95%, conform unui comunicat de presă remis redacţiei. Cu toate acestea, factorul uman continuă să joace un rol important în breşele de securitate. Problema nu este doar dacă angajaţii au trecut printr-un astfel de training, ci dacă ştiu cum să reacţioneze într-o situaţie reală, atunci când, de exemplu, primesc un apel aparent legitim şi li se cer date, acces la anumite sisteme sau ocolirea unor proceduri de securitate, potrivit comunicatului de presă.

Datele SANS Institute arată că organizaţiile care aplică programe obligatorii de instruire în securitate cibernetică ajung, în medie, la rate de finalizare de 90%-95%. O participare ridicată demonstrează însă în primul rând respectarea cerinţelor de conformitate şi nu garantează automat schimbarea comportamentului angajaţilor în faţa unui atac real, conform comunicatului de presă.

Diferenţa devine mai importantă în condiţiile în care atacatorii îşi schimbă metodele. Potrivit Verizon Data Breach Investigations Report 2026, factorul uman este prezent în 62% dintre breşele analizate. În acelaşi timp, 41% dintre breşele care implică inginerie socială folosesc deja alte canale decât e-mailul, se mai arată în comunicatul de presă.

Astfel, angajatul nu mai trebuie să recunoască doar un e-mail de phishing. Atacul poate veni prin telefon, printr-un presupus coleg, furnizor sau reprezentant IT şi poate exploata tocmai presiunea de a rezolva rapid o situaţie, potrivit comunicatului de presă.

Unul dintre cele mai cunoscute exemple este atacul asupra MGM Resorts International. Atacatorii au folosit informaţii disponibile pe LinkedIn şi un apel către serviciul de asistenţă IT pentru a obţine acces la sistemele companiei. Incidentul a produs perturbări majore în operaţiunile cazinourilor din Las Vegas şi pierderi estimate la peste 100 de milioane de dolari, conform comunicatului de presă.

Un tipar asemănător a apărut în 2025 în cazul Qantas, unde un centru de contact externalizat a fost vizat prin inginerie socială, incidentul ducând la compromiterea datelor a milioane de clienţi, se mai arată în comunicatul de presă.

Datele Mandiant M-Trends 2026 indică aceeaşi schimbare de strategie a atacatorilor: atacurile prin voce (• vishing• ) au devenit unul dintre vectorii importanţi de acces iniţial, în timp ce ponderea phishingului clasic prin e-mail a scăzut, potrivit comunicatului de presă.

România: atacurile cresc, dar conformitatea nu este suficientă

Şi România se confruntă cu o intensificare a ameninţărilor. Directoratul Naţional de Securitate Cibernetică a raportat pentru 2024 o creştere de 40,2% a fraudelor informatice şi de 286,8% a atacurilor malware faţă de anul precedent, conform comunicatului de presă.

În paralel, cadrul legislativ a devenit mai strict, inclusiv prin transpunerea directivei NIS2. Reglementările obligă organizaţiile vizate să acorde mai multă atenţie managementului riscului şi raportării incidentelor, însă conformitatea nu poate anticipa fiecare reacţie a unui angajat, se mai arată în comunicatul de presă.

Cele mai expuse sunt tocmai rolurile în care oamenii trebuie, prin natura meseriei, să răspundă solicitărilor venite din exterior: help desk, recrutare, contabilitate, trezorerie sau asistenţă pentru conducere. Riscul poate creşte şi în perioadele de tranziţie - schimbări de sisteme, fuziuni sau perioade foarte aglomerate - când o solicitare neobişnuită poate părea mai uşor legitimă, conform comunicatului de presă.

„Reglementările NIS2 şi DORA au adus un beneficiu real, prin faptul că au instituit raportarea obligatorie a incidentelor şi creează, pentru prima dată, un istoric verificabil. Dar un raport de conformitate depus la termen nu spune nimic despre ce va face un angajat concret atunci când telefonul sună şi cineva, foarte convingător, pretinde că are nevoie de ajutor imediat. Acolo se decide, de fapt, dacă o organizaţie rezistă sau ajunge în comunicatul de presă al săptămânii următoare”, explică Cristiana Deca, expert în guvernanţă cibernetică, CEO şi cofondator Decalex, potrivit comunicatului de presă.

În opinia sa, companiile trebuie să treacă de la simpla bifare a cursurilor la exerciţii practice care reproduc situaţiile în care pot ajunge angajaţii: inclusiv apeluri telefonice şi solicitări urgente. În paralel, procedurile de verificare trebuie să funcţioneze independent de canalul prin care vine cererea, conform comunicatului de presă.

În securitatea cibernetică, diferenţa nu o mai face doar procentul angajaţilor care au terminat un curs, ci felul în care aceştia reacţionează în minutele în care un atac pare o solicitare perfect legitimă, se mai arată în comunicatul de presă.