Rata de finalizare a cursurilor obligatorii de securitate cibernetică urmate de către angajați depășește 95%, însă în continuare factorul uman este prezent în 62% dintre breșele analizate, reiese dintr-o analiză de specialitate, publicată marți.
Datele SANS Institute arată că organizațiile care aplică programe obligatorii de instruire în securitate cibernetică ajung, în medie, la rate de finalizare de 90% – 95%, dar în același timp, potrivit Verizon Data Breach Investigations Report 2026, factorul uman este prezent în 62% dintre breșele analizate. În același timp, 41% dintre breșele de securitate care implică inginerie socială folosesc deja alte canale decât e-mailul.
‘Astfel, angajatul nu mai trebuie să recunoască doar un e-mail de phishing. Atacul poate veni prin telefon, printr-un presupus coleg, furnizor sau reprezentant IT și poate exploata tocmai presiunea de a rezolva rapid o situație. Unul dintre cele mai cunoscute exemple este atacul asupra MGM Resorts International. Atacatorii au folosit informații disponibile pe LinkedIn și un apel către serviciul de asistență IT pentru a obține acces la sistemele companiei. Incidentul a produs perturbări majore în operațiunile cazinourilor din Las Vegas și pierderi estimate la peste 100 de milioane de dolari. Un tipar asemănător a apărut în 2025 în cazul Qantas, unde un centru de contact externalizat a fost vizat prin inginerie socială, incidentul ducând la compromiterea datelor a milioane de clienți’, se menționează în cercetare.
Conform Mandiant M-Trends 2026, atacurile prin voce (vishing) au devenit unul dintre vectorii importanți de acces inițial, în timp ce ponderea phishingului clasic prin e-mail a scăzut.
Pe plan local, Directoratul Național de Securitate Cibernetică (DNSC) a raportat, pentru anul 2024, o creștere cu 40,2% a fraudelor informatice, respectiv cu 286,8% a atacurilor malware, în comparație cu anul precedent.
‘În paralel, cadrul legislativ a devenit mai strict, inclusiv prin transpunerea directivei NIS2. Reglementările obligă organizațiile vizate să acorde mai multă atenție managementului riscului și raportării incidentelor, însă conformitatea nu poate anticipa fiecare reacție a unui angajat. Cele mai expuse sunt tocmai rolurile în care oamenii trebuie, prin natura meseriei, să răspundă solicitărilor venite din exterior: help desk, recrutare, contabilitate, trezorerie sau asistență pentru conducere. Riscul poate crește și în perioadele de tranziție – schimbări de sisteme, fuziuni sau perioade foarte aglomerate – când o solicitare neobișnuită poate părea mai ușor legitimă’, sunt de părere specialiștii.
În opinia Cristianei Deca, expert în guvernanță cibernetică, reglementările NIS2 și DORA au adus un beneficiu real, prin faptul că au instituit raportarea obligatorie a incidentelor și creează, pentru prima dată, un istoric verificabil.
‘Companiile trebuie să treacă de la simpla bifare a cursurilor la exerciții practice care reproduc situațiile în care pot ajunge angajații: inclusiv apeluri telefonice și solicitări urgente. În paralel, procedurile de verificare trebuie să funcționeze independent de canalul prin care vine cererea. În securitatea cibernetică, diferența nu o mai face doar procentul angajaților care au terminat un curs, ci felul în care aceștia reacționează în minutele în care un atac pare o solicitare perfect legitimă’, afirmă Deca, în concluziile analizei citate.
