Companiile îşi instruiesc angajaţii pentru a recunoaşte şi evita atacurile cibernetice, iar rata de finalizare a cursurilor obligatorii poate depăşi 95%. Cu toate acestea, factorul uman continuă să joace un rol important în breşele de securitate. Problema nu este doar dacă angajaţii au trecut printr-un astfel de training, ci dacă ştiu cum să reacţioneze într-o situaţie reală, atunci când, de exemplu, primesc un apel aparent legitim şi li se cer date, acces la anumite sisteme sau ocolirea unor proceduri de securitate.

Datele SANS Institute arată că organizaţiile care aplică programe obligatorii de instruire în securitate cibernetică ajung, în medie, la rate de finalizare de 90%-95%. O participare ridicată demonstrează însă în primul rând respectarea cerinţelor de conformitate şi nu garantează automat schimbarea comportamentului angajaţilor în faţa unui atac real.

Diferenţa devine mai importantă în condiţiile în care atacatorii îşi schimbă metodele. Potrivit Verizon Data Breach Investigations Report 2026, factorul uman este prezent în 62% dintre breşele analizate. În acelaşi timp, 41% dintre breşele care implică inginerie socială folosesc deja alte canale decât e-mailul.

Astfel, angajatul nu mai trebuie să recunoască doar un e-mail de phishing. Atacul poate veni prin telefon, printr-un presupus coleg, furnizor sau reprezentant IT şi poate exploata tocmai presiunea de a rezolva rapid o situaţie.

Unul dintre cele mai cunoscute exemple este atacul asupra MGM Resorts International. Atacatorii au folosit informaţii disponibile pe LinkedIn şi un apel către serviciul de asistenţă IT pentru a obţine acces la sistemele companiei. Incidentul a produs perturbări majore în operaţiunile cazinourilor din Las Vegas şi pierderi estimate la peste 100 de milioane de dolari.

Un tipar asemănător a apărut în 2025 în cazul Qantas, unde un centru de contact externalizat a fost vizat prin inginerie socială, incidentul ducând la compromiterea datelor a milioane de clienţi.

Datele Mandiant M-Trends 2026 indică aceeaşi schimbare de strategie a atacatorilor: atacurile prin voce (vishing) au devenit unul dintre vectorii importanţi de acces iniţial, în timp ce ponderea phishingului clasic prin e-mail a scăzut.

România: atacurile cresc, dar conformitatea nu este suficientă

Şi România se confruntă cu o intensificare a ameninţărilor. Directoratul Naţional de Securitate Cibernetică a raportat pentru 2024 o creştere de 40,2% a fraudelor informatice şi de 286,8% a atacurilor malware faţă de anul precedent.

În paralel, cadrul legislativ a devenit mai strict, inclusiv prin transpunerea directivei NIS2. Reglementările obligă organizaţiile vizate să acorde mai multă atenţie managementului riscului şi raportării incidentelor, însă conformitatea nu poate anticipa fiecare reacţie a unui angajat.

Cele mai expuse sunt tocmai rolurile în care oamenii trebuie, prin natura meseriei, să răspundă solicitărilor venite din exterior: help desk, recrutare, contabilitate, trezorerie sau asistenţă pentru conducere. Riscul poate creşte şi în perioadele de tranziţie – schimbări de sisteme, fuziuni sau perioade foarte aglomerate – când o solicitare neobişnuită poate părea mai uşor legitimă.

„Reglementările NIS2 şi DORA au adus un beneficiu real, prin faptul că au instituit raportarea obligatorie a incidentelor şi creează, pentru prima dată, un istoric verificabil. Dar un raport de conformitate depus la termen nu spune nimic despre ce va face un angajat concret atunci când telefonul sună şi cineva, foarte convingător, pretinde că are nevoie de ajutor imediat. Acolo se decide, de fapt, dacă o organizaţie rezistă sau ajunge în comunicatul de presă al săptămânii următoare”, explică Cristiana Deca, expert în guvernanţă cibernetică, CEO şi cofondator Decalex.

În opinia sa, companiile trebuie să treacă de la simpla bifare a cursurilor la exerciţii practice care reproduc situaţiile în care pot ajunge angajaţii: inclusiv apeluri telefonice şi solicitări urgente. În paralel, procedurile de verificare trebuie să funcţioneze independent de canalul prin care vine cererea.

În securitatea cibernetică, diferenţa nu o mai face doar procentul angajaţilor care au terminat un curs, ci felul în care aceştia reacţionează în minutele în care un atac pare o solicitare perfect legitimă.