61 % zaposlenih brez vodstvene vloge ni usposobljenih za grožnje UI

QA je 2. oktobra 2026 objavil izsledke ankete TLF med 1.000 zaposlenimi, izvedene 24. septembra: 61 % sodelujočih brez vodstvene vloge je navedlo, da v zadnjih 12 mesecih niso prejeli usposabljanja o kibernetskih grožnjah, podprtih z umetno inteligenco (UI), med vsemi anketiranimi v Združenem kraljestvu pa je bil ta delež 39 %. Za zaposlene, ki prejmejo sumljivo sporočilo ali zahtevo, je ključno predvsem, ali znajo zahtevo ustaviti, preveriti po neodvisni poti in prijaviti.

Kot navaja poročilo CXM o isti raziskavi, je namensko usposabljanje prejelo 8 % zaposlenih brez vodstvene vloge in 48 % lastnikov oziroma partnerjev podjetij; Jo Bishenden, vodja učenja pri QA, je vrzel opisala kot “a skills challenge as much as a cybersecurity challenge”. Zgolj 9 % prve skupine je zelo prepričanih, da bi prepoznali lažno elektronsko sporočilo, ustvarjeno z UI; med lastniki in partnerji je takih 48 %.

Vrzel v usposabljanju ni merilo dejanske odpornosti

Odgovori povedo, kakšno izobraževanje so zaposleni prejeli in kako ocenjujejo svojo sposobnost prepoznavanja prevare. Raziskava jih ni preizkusila z lažnimi sporočili, zato iz deležev ni mogoče izračunati, koliko napadov bi v resnici uspelo. Pokaže pa, da se priprava med delovnimi ravnmi močno razlikuje prav pri skupini, ki pri običajnem delu pogosto sprejema sporočila, klice in prošnje drugih.

Pomembno je ločiti odsotnost vsakega usposabljanja od odsotnosti namenskega usposabljanja. Splošno opozorilo, da obstajajo lažna elektronska sporočila, zaposlenemu še ne pove, kaj storiti, ko prejme navidezno rutinsko prošnjo za ponastavitev dostopa ali spremembo plačilnih podatkov. Pri takšni zahtevi je odločilno poznavanje običajnega postopka: kdo jo lahko odobri, po kateri poti jo je mogoče potrditi in kam gre obvestilo o sumu.

Vaja mora zajeti verodostojno zahtevo in odziv

Minimalen program za zaposlene brez vodstvene vloge bi zato začel s primeri iz njihovih nalog, ne s seznamom slovničnih napak v sporočilih. Uporaben scenarij je domnevno sporočilo sodelavca, ki zahteva spremembo podatkov, ali klic domnevne podpore, ki prosi za ponastavitev dostopa. To sta predloga za vajo, ne primera napadov na podjetja iz ankete. Sporočilo naj bo dovolj prepričljivo, da udeleženec ne more sklepati zgolj iz njegovega tona ali urejene oblike.

Udeleženec mora nato izbrati dejanje. Pri zahtevi za plačilo lahko preveri po kontaktu, ki ga organizacija uporablja že od prej, namesto da pokliče številko iz novega sporočila. Pri klicu o dostopu lahko sledi uveljavljenemu postopku preverjanja identitete, tudi če se klicatelj predstavi kot sodelavec in priganja. Vaja je uspešna, kadar pokaže, da zaposleni zna ustaviti nenavadno zahtevo brez ugibanja, ali je glas oziroma besedilo ustvarila UI.

Enako pomemben je trenutek po morebitni napaki. Če zaposleni opazi sum šele po kliku ali po posredovanju podatka, mora vedeti, komu to takoj sporočiti in katere okoliščine navesti. Vaja, ki se konča pri vprašanju, ali je prevaro prepoznal pred klikom, spregleda del odziva, ki varnostni ekipi omogoči omejitev škode. Zaposlenemu mora biti tudi jasno, da zgodnja prijava šteje več kot prikrivanje napake.

Pravilo mora povedati, kdaj preveriti in komu prijaviti

Pravila so uporabna, kadar jih je mogoče izvesti sredi delovnega dne. Organizacija naj določi, katere zahteve se brez dodatnega preverjanja ne izvajajo, katera že potrjena telefonska številka ali druga pot je na voljo in kdo sprejme prijavo sumljivega sporočila. Enaka navodila morajo veljati za elektronsko pošto in glasovni klic, če oba lahko sprožita spremembo dostopa ali nakazila. Zaposleni naj že vnaprej ve, kdo sme tak postopek ustaviti.

Smernice britanskega NCSC priporočajo, da se pomembne zahteve iz elektronske pošte preverijo z drugo vrsto komunikacije, da je prijava preprosta in da zaposleni zaradi klika ni kaznovan. Opozarjajo tudi, da nobena simulacija ne more naučiti ljudi prepoznati vseh poskusov lažnega predstavljanja. Zato sama vaja ne nadomesti filtriranja sporočil, zaščite računov in pripravljenega odziva na incident.

Pravilo o uporabi UI naj pove, katere podatke je dovoljeno vnesti v orodja in kdo jih sme uporabljati. Pravilo za odziv na sumljivo zahtevo pa naj določi, kako zaposleni preveri pristnost prejetega navodila. Če organizacija oba namena združi v splošno opozorilo, ostane odločitev o ustavitvi zahtevnega postopka prepuščena posamezniku. Kratko pravilo z znanim kontaktom in jasnim prejemnikom prijave je v trenutku suma uporabnejše od dolgega seznama možnih prevar.

Uspeh pokaže odločitev med vajo

Udeležba na tečaju je podatek o dosegu programa, ne o ravnanju ob lažni zahtevi. Pri vajah je smiselno opazovati, ali zaposleni uporabi neodvisno preverjanje, ali izbere dogovorjeno pot prijave in ali poroča tudi po tem, ko je že nekaj storil. S tem je mogoče zaznati tudi napako v samem postopku: zaposleni morda posumi pravilno, vendar ne najde potrjenega kontakta ali ne ve, kdo sme zadržati plačilo.

Za slovenske organizacije britanski deleži niso ocena domačega stanja. Lahko pa usmerijo preverjanje v skupino, ki jo splošno izobraževanje zlahka spregleda, ter v dejanja, ki jih je mogoče opazovati. Če zaposleni ob prepričljivi zahtevi pozna neodvisno pot potrditve in varen način prijave, se varnost ne opira na njegovo sposobnost, da iz samega sporočila zanesljivo prepozna uporabo UI.

Preberite tudi:

• Glasba CC BY ni brez pogojev: opis videa potrebuje štiri podatke