Polacy klikają w phishing najrzadziej w Europie, ale tracą czujność przy HR i ofertach

Średni wskaźnik kliknięć w symulowane kampanie phishingowe w Polsce wynosi 3,4% i jest najniższy wśród 10 badanych krajów europejskich, wynika z analizy Nimblr. Dane pokazują jednak, że skuteczność ataków rośnie znacząco, gdy fałszywe wiadomości naśladują codzienną komunikację firmową, zwłaszcza komunikaty z działów HR oraz pozornie atrakcyjne oferty.

Wspomniana analiza obejmowała 1714 scenariuszy phishingowych wysłanych około 11 mln razy do użytkowników w 10 krajach Europy. Średni wskaźnik kliknięć wyniósł nad Wisłą 3,4%, podczas gdy najwyższy odnotowano w Estonii, gdzie sięgnął 6,1%.

Największą skuteczność w Polsce miały wiadomości odwołujące się do codziennych sytuacji zawodowych. Szczególnie często użytkownicy reagowali na komunikaty przypominające wiadomości z działów HR, dotyczące m.in. urlopów czy spraw organizacyjnych. Skuteczne okazywały się także fałszywe oferty sprzedaży iPhone’ów oraz inne komunikaty bazujące na ciekawości i pozornie niskim ryzyku.

Co ciekawe, w krajach nordyckich i bałtyckich podobne scenariusze osiągały jeszcze wyższe wyniki. Fałszywe wiadomości dotyczące wynagrodzeń i benefitów pracowniczych często przekraczały tam 20% kliknięć, podczas gdy w Polsce wskaźnik ten wyniósł 12%. W Wielkiej Brytanii największą skuteczność osiągały natomiast kampanie sezonowe, m.in. związane z kartami podarunkowymi w okresie świątecznym.

Phishing coraz skuteczniej udaje codzienną komunikację

Eksperci zwracają uwagę, że współczesny phishing coraz rzadziej opiera się wyłącznie na technicznych sztuczkach, a coraz częściej wykorzystuje rutynę i automatyczne reakcje użytkowników.

„Równie dobrze działają wiadomości, które wpisują się w codzienny rytm pracy. Wiarygodnie naśladują procesy w firmie i w ten sposób usypiają czujność odbiorcy. Dodatkowo skuteczności takich prób sprzyja pośpiech, zmęczenie i wielozadaniowość – zwłaszcza gdy wiadomości są odczytywane na urządzeniach mobilnych, gdzie trudniej dokładnie sprawdzić adres nadawcy czy link” − tłumaczy Magdalena Baraniewska, Channel Sales Executive w Nimblr.

Raport wskazuje również, że użytkownicy znacznie częściej ufają wiadomościom przygotowanym w lokalnym języku. Phishingowe maile po angielsku osiągały najniższe wskaźniki kliknięć, natomiast scenariusze przygotowane po polsku należały do najskuteczniejszych.

Cyberoszuści wyprzedzają tempo budowania odporności firm

Skala zagrożenia pozostaje wysoka. Według danych CERT Polska, tylko w lutym 2026 roku odnotowano 18,5 tys. incydentów cyberbezpieczeństwa, z czego 30% stanowił phishing. Oznacza to wzrost liczby incydentów o 68% względem analogicznego okresu 2025 roku.

Dodatkowo raport Verizon Data Breach Investigations wskazuje, że phishing odpowiada za 57% incydentów socjotechnicznych. Jednocześnie firmy regularnie szkolące pracowników z cyberbezpieczeństwa notują średni wskaźnik kliknięć na poziomie zaledwie 1,5%. Osoby, które przeszły trening w ciągu ostatnich 30 dni, są nawet czterokrotnie bardziej skłonne zgłaszać podejrzane wiadomości.

„Skuteczna prewencja przed cyberzagrożeniami musi bazować na ciągłych treningach. Regularne symulacje phishingu i szybka informacja zwrotna po błędach realnie budują odporność organizacji” – podsumowuje Joanna Stawicka, Channel Sales Executive w Nimblr.