המייל המדומה עסק במדיניות החופשות של הארגון. לא בסיסמה שנחסמה, לא בחשבון בנק ולא בפרס יוצא דופן. עדכון מהסוג שעובדים עשויים לצפות לקבל ממקום העבודה. 30.8% מהנמענים לחצו על הקישור.
בהודעה מדומה אחרת, שביקשה לעדכן סיסמת Outlook, שיעור הלחיצה היה 1.82%. שתי ההודעות השתייכו לאותו ניסוי. המרחק בין התוצאות שלהן היה אחד הפרטים המעניינים בו.
הניסוי נערך ב־UC San Diego Health במהלך 2023, והמחקר עליו הוצג ב־2025 בכנס IEEE Symposium on Security and Privacy. כמעט עשרים אלף עובדים השתתפו בשמונה חודשי סימולציות, שבהן נעשה שימוש בעשרה פיתיונות שונים. החוקרים בחנו הדרכות שניתנו בעקבות לחיצה על הודעה מדומה, וניתחו גם את הקשר בין מועד השלמת ההדרכה השנתית לבין ביצועי העובדים.
להדרכות האלה יש היגיון מוכר: ככל שאנשים יכירו טוב יותר את סימני ההתחזות, כך יוכלו להימנע ממנה. הדרכה שוטפת מקבלת מקום גם בתפיסת האבטחה המוצגת במגזין הסייבר של ישראל פיגא, לצד אמצעי הגנה נוספים. הניסוי האמריקאי ניסה לברר כמה מההיגיון הזה מתורגם להבדל שאפשר למדוד.
המייל על החופשות הציב קושי כבר בתחילת הבירור. אם הודעות שונות משיגות תוצאות שונות כל כך, כיצד יודעים שהעובדים השתפרו, ולא פשוט קיבלו הפעם פיתיון פחות משכנע?
עשר שניות על המסך
בחלק מקבוצות הניסוי, לחיצה על הקישור הובילה לתוכן לימודי. זהו הרגע שעליו נשענת ההדרכה המשובצת: העובד כבר פגש דוגמה מוחשית, וההסבר מגיע כשהאירוע עדיין טרי.
אלא שהימצאותו של חומר לימודי על המסך אינה מבטיחה שמישהו יקרא אותו. לפי הודעת האוניברסיטה על המחקר, כשלושה רבעים מהמפגשים עם ההדרכה המשובצת נמשכו דקה לכל היותר, וכשליש הסתיימו בסגירה מיידית של העמוד.
אלה נתונים על המפגש בין תוכן לעובדים בתוך יום עבודה. אפשר להשקיע בבחירת הדוגמה, בניסוח ההסבר ובעיצוב העמוד, ובכל זאת לפגוש משתמש שמעוניין בעיקר לחזור למה שעשה לפני הלחיצה.
המחקר אינו מאפשר לדעת מה עבר בראשו של כל עובד שסגר את ההדרכה. ייתכן שהמסר היה מוכר לו, ייתכן שמיהר, וייתכן שלא התעניין. מה שאפשר לראות הוא שהזדמנות ללמידה נפתחה, ולעיתים קרובות נסגרה במהירות.
גם מועד ההדרכה השנתית לא סיפק הסבר מובהק להבדלים בתוצאות. עובדים שהשלימו אותה לאחרונה לא הראו יתרון מובהק על פני מי שהשלימו אותה מוקדם יותר. זו אינה השוואה בין עובדים שקיבלו הדרכה לבין עובדים שמעולם לא הודרכו; היא בוחנת אם הקרבה בזמן להדרכה נקשרה לביצועים טובים יותר.
בנקודה הזאת הסיפור נעשה פחות נוח לכותרות מוחלטות. אין הצדקה להכריז שאנשים אינם מסוגלים ללמוד לזהות פישינג. יש סיבה לבחון בזהירות את האופן שבו ההדרכה מגיעה אליהם, ואת מה שמצפים שיקרה בעקבותיה.
ההודעה השמינית
בחודש הראשון לחצו 9.7% מהעובדים על קישור מדומה. עד סוף שמונת חודשי הניסוי, 56% לחצו לפחות פעם אחת. זהו נתון מצטבר: הוא אינו אומר ששיעור הלחיצה החודשי זינק ל־56%, או שהעובדים נעשו פחות זהירים מחודש לחודש. הוא אומר שככל שנוספו הודעות, נוספו גם אנשים שפגשו פיתיון שעליו לחצו.
ההבדל חשוב במיוחד כשמנסים לחלק את העובדים לשתי קבוצות קבועות: מי שמזהים הונאות ומי שנופלים בהן. הימנעות מלחיצה בתרגיל מסוים אינה מספרת לבדה כיצד יגיב אותו אדם להודעה אחרת. גם עצם אי־הלחיצה אינו מגלה אם העובד זיהה את ההתחזות, לא התעניין בנושא או כלל לא התעכב על המייל.
לניסוי היו גבולות ברורים. הוא נערך בארגון בריאות אחד, והכישלון הוגדר כלחיצה על קישור. לא נבדק אם העובד היה ממשיך ומוסר סיסמה, ולא נמדד השיפור במהירות הדיווח על הודעות חשודות. לחיצה בסימולציה אינה זהה לפריצה לחשבון.
ועדיין, בסיום המחקר נותר פרט שקשה להתעלם ממנו: מאות עובדים שנמנעו מלחיצה בשבע סימולציות קודמות לחצו בשמינית. ההצלחה שלהם בתרגילים הקודמים הייתה אמיתית. היא פשוט לא ניבאה את כל מה שבא אחריה.
