Nella security facciamo una cosa curiosa: diamo il voto più alto a chi ha studiato per l’interrogazione e poi ci stupiamo che vada nel panico durante l’esame, quello vero.

Un dipendente non clicca su un’e-mail di phishing simulata e il report mensile registra “Success”. Tre settimane dopo, lo stesso dipendente riceve una vera richiesta di bonifico urgente da un finto fornitore e invia i soldi. Infatti, il vero phishing è come un esame a scuola: l’attacco vero arriva il giorno in cui non hai studiato.

E il click-rate su un phishing simulato misura una sola cosa: se, in quel momento, quella persona ricordava la regola “non devi cliccare sui link sospetti”. Cioè, misura la memoria dichiarativa, non il comportamento sotto pressione.

Dal riconoscimento alla capacità di reagire

Il problema è che gli attacchi non aspettano che il dipendente sia riposato, concentrato e senza scadenze. Arrivano a fine giornata, durante una chiusura di bilancio o mentre gestisce tre urgenze contemporaneamente.

È proprio qui che Daniel Kahneman colloca la differenza tra Sistema 1 e Sistema 2: il primo è il pensiero rapido e automatico, che risponde d’istinto; il secondo è il pensiero lento e deliberato, che verifica prima di agire (Kahneman, Thinking, Fast and Slow, 2011). Un test di phishing simulato, condotto in un momento neutro, osserva soprattutto il secondo. Un attacco ben costruito prova a intercettare il primo.

Il dato di settore più recente conferma quanto questo fattore pesi: secondo il Verizon Data Breach Investigations Report 2025, circa il 60% delle violazioni confermate coinvolge un “elemento umano“: errore, manipolazione o uso improprio. Non è un dato che condanna le persone, ma indica dove la difesa tende a essere più esposta.

I programmi di simulazione funzionano nel senso stretto in cui li misuriamo. KnowBe4, uno dei principali fornitori di simulazioni di phishing, riporta nel suo 2025 Phishing by Industry Benchmarking Report un tasso medio globale di “phish-prone percentage” del 33,1% prima della formazione, con una riduzione dell’86% dopo 12 mesi di simulazioni ripetute (KnowBe4, comunicato del 13 maggio 2025). È un miglioramento misurato rispetto al comportamento osservato nelle campagne simulate.

Tuttavia, è un miglioramento riferito a una metrica limitata. Un tasso di clic più basso indica che le persone riconoscono meglio i pattern noti del phishing simulato. Non dice se, di fronte a una richiesta urgente e plausibile proveniente da un canale mai testato, come una chiamata, un messaggio vocale deepfake o una comunicazione interna apparentemente legittima, sanno fermarsi.

È la differenza tra allenare il riconoscimento di uno schema e allenare un riflesso di verifica. Il primo si allena ripetendo casi simili. Il secondo si allena solo simulando la pressione, non solo il contenuto dell’e-mail.

Un caso per capire la dinamica

Un solo esempio basta a renderlo visibile. L’e-mail della simulazione può chiedere di aggiornare la password e arrivare in una mattina tranquilla. La richiesta che causa il danno può invece arrivare alle 18.12, quando un fornitore conosciuto e legittimo segnala che l’IBAN è cambiato e che il pagamento deve essere effettuato entro la giornata.

Il contenuto non deve più essere sofisticato: gli basta entrare in un flusso di lavoro già funzionante. In quel momento la persona non sceglie soltanto se cliccare: sceglie se interrompere una consegna (nella sua testa, è una consegna vera e legittima), chiamare qualcuno, aprire una procedura che forse non conosce o fare ciò che le sembra più rapido.

Quindi, l’allenamento non dovrebbe limitarsi a insegnare come si presenta un messaggio sospetto. Dovrebbe rendere familiare una sequenza breve: fermarsi quando la richiesta riguarda denaro, credenziali o dati; verificare da un contatto già noto; segnalare senza dover formulare una diagnosi.

È una sequenza utile anche quando il messaggio è legittimo, perché una verifica corretta non comporta danni. Al contrario, evita che l’urgenza e il contesto scelgano al posto della persona.

Non esiste, a oggi, uno standard di settore consolidato per KPI comportamentali alternativi al click-rate: Gartner, SANS e NIST non li definiscono in questi termini. Quella che segue è quindi una proposta metodologica dell’autore, non uno standard riconosciuto. Al Board va presentata con questa distinzione, perché evidenza, ipotesi e scelta di misurazione non sono la stessa cosa.

Il tempo di segnalazione è il primo. Non riportare soltanto la popolazione aziendale che “ha cliccato o no”, ma anche il tempo trascorso tra la ricezione di un tentativo sospetto, simulato o intercettato nel lavoro quotidiano, e la sua segnalazione al canale corretto.

Un’organizzazione in cui le persone segnalano in tre minuti ha un sistema di difesa diverso da una in cui nessuno segnala mai, anche se il clic-rate è identico.

Il tasso di verifica out-of-band è il secondo. Su un campione di richieste ad alto rischio (bonifici, cambi di credenziali, richieste attribuite a dirigenti) quante volte viene attivata una verifica su un canale indipendente prima di agire?

Questo KPI non misura se la persona ha individuato l’inganno, ma se ha applicato la procedura di controllo. È il punto decisivo, perché la procedura non richiede di riconoscere l’inganno nell’istante in cui arriva.

Il tasso di escalation corretto è il terzo. Quante segnalazioni di anomalie arrivano al team giusto, nei tempi giusti, senza che la persona debba prima convincersi da sola che “forse è davvero un problema”? Misura la fiducia nel canale di segnalazione, non la sola vigilanza individuale.

Le implicazioni per il CISO

Per il CISO questo cambia anche il modo di usare una simulazione. Non serve pubblicare il nome di chi ha sbagliato né produrre un grafico da presentare al manager del singolo reparto.

Serve osservare la catena: quanto tempo passa prima della segnalazione, cosa accade dopo, chi prende in carico il caso e se la persona riceve un riscontro. Una simulazione diventa così una prova del percorso di difesa e consente di correggere un passaggio prima che un attaccante lo trovi per primo.

Nessuna di queste tre metriche sostituisce il clic-rate come segnale di addestramento per il riconoscimento. Lo affiancano e spostano l’attenzione da “quanti errori individuali” a “come regge il processo quando qualcuno sbaglia”. È questa la domanda che interessa a chi deve rispondere di un incidente.

Un CISO che presenta solo il clic-rate in calo sta raccontando una storia di igiene, non ancora di tenuta del sistema.

Aggiungere anche una di queste metriche modifica la conversazione: non più “quanto sono bravi i dipendenti a non cliccare”, ma “quanto velocemente il sistema intercetta una segnalazione e quanto spesso la verifica prevista si attiva comunque”. È una domanda più impegnativa, ma anche più utile.

Una proposta metodologica

La conclusione non è abbandonare le simulazioni, né dichiarare insufficiente chi le supera: il click-rate può restare nel cruscotto, affiancato da segnali di segnalazione, di verifica e di contenimento, perché la domanda che conta non è soltanto chi abbia riconosciuto l’email, ma se l’azienda ha reso praticabile fermarsi prima dell’azione sensibile.

È proprio questo lavoro di lettura della decisione sotto pressione, ossia ciò che il clic-rate da solo non intercetta mai, a definire il Cybercognitivismo e quindi la proposta metodologica appena proposta[1].

Non è assurdo che gli impiegati prima superino le simulazioni e poi clicchino sul link malevolo: è la conseguenza logica di misurare la cosa sbagliata. Peccato che l’esame arrivi sempre il giorno in cui non hai aperto il libro.

[1] Per saperne di più su queste tematiche, puoi consultare il Manuale CISO Security Manager per la preparazione all’esame CISSP e per la pratica quotidiana, anche per “leggere” correttamente e interpretare i risultati delle simulazioni di phishing in azienda.