Miksi kalastelusimulaatiot eivät toimi?
Kahden vuosikymmenen ajan työntekijöille on lähetelty ennalta ilmoittamatta kalastelusimulaatiotestejä sähköpostiin, ja klikkaajia ohjattu koulutussivuille. Ajatuksena on ollut, että virheestä kiinni jääminen johtaisi käyttäytymisen muutokseen. Tätä on nyt testattu laajasti vertaisarvioiduissa tutkimuksissa, mutta tieteellinen näyttö kalastelusimulaatioiden toimivuudesta on jäänyt heikoksi.
Kalasteluun lankeamisessa on kyse tarkkaavaisuudesta, ei tiedonpuutteesta
Lain, Jost, Matetic, Kostiainen ja Capkun (ETH Zürich, ACM CCS 2024) tutkivat, mitkä kalastelusimulaation yhteydessä annettavan koulutuksen osat todella parantavat tuloksia. Hyöty syntyy lähes kokonaan toistuvien simulaatioiden muistuttavasta vaikutuksesta, ei itse simulaatiosta tai koulutussivun tietosisällöstä: useimmat osallistujat eivät lukeneet koulutusmateriaalia, mutta heidän tuloksensa paranivat silti koulutussivun näkemisen jälkeen. Pelkkä seurauksista varoittava sähköposti toimi yhtä hyvin kuin koko simulaatio.
Kun työntekijöiltä kysyttiin, miksi he lankesivat simulaatioihin, he mainitsivat sähköpostien määrän ja kiireen. Toistuvasti simulaatioihin langenneille määrätty pakollinen koulutus ei tuonut lisähyötyä. Tutkijat pohtivat, pitäisikö simulaatiot korvata ennakkoon ilmoitetuilla muistutuksilla, jotka kannustavat samaan tarkkaavaisuuteen ilman harhauttamista tai liiallisen itsevarmuuden riskiä.
”En vain kiinnittänyt asiaan huomiota enkä selannut alemmas.”Tutkimukseen osallistunut [P26] (suomennos)
Klikkauksen jälkeen annettava koulutus voi pahentaa tilannetta
Suuressa organisaatiossa tehdyssä pitkittäistutkimuksessa Lain ym. (ETH Zürich, IEEE Security & Privacy 2022) havaitsivat, että simuloidun kalasteluviestin linkkiä klikanneet ja sen jälkeen koulutussivulle ohjatut työntekijät klikkasivat myöhemmin kalasteluviestien linkkejä useammin kuin ne, joille koulutussivua ei näytetty. Kyselyvastaukset selittävät ilmiötä: sivu tulkittiin merkiksi siitä, että organisaation turvatoimiin voi luottaa eikä vaaraa klikkaamisesta ole.
”Kalastelusimulaatioihin liitetty koulutus ei nykyisessä, alalla yleisesti käytetyssä muodossaan ole tehokasta. Sillä voi itse asiassa olla haitallisia sivuvaikutuksia.”Lain, Jost, Matetic, Kostiainen & Capkun, 2022 (suomennos)
Laskeva klikkausprosentti ei tarkoita, että koulutus toimii
Rozema ja Davis (Purduen yliopisto, ACM Web Conference 2026) havaitsivat, ettei kalastelusimulaatiokoulutus parantanut kalastelun tunnistamista merkittävästi. Sen sijaan viestin tunnistamisen vaikeus ennusti vahvasti klikkausprosenttia (click rate). Mittari kertoo siis lähinnä siitä, kuinka laadukas simuloitu viesti oli.
Klikkausprosentit laskevat ajan myötä myös siksi, että työntekijät oppivat tunnistamaan tutun palveluntarjoajan simulaatiopohjia. Tällaisten toistuvien kaavojen tunnistaminen ei suojaa oikeilta hyökkääjiltä, jotka eivät noudata samoja kaavoja. Lisäksi palveluntarjoajalla on kaupallinen kannustin näyttää paranevia lukuja, vaikka syynä olisikin vain alustan tutuksi tuleminen.
Yllätyspaloharjoitukset ovat historiaa. Miksi kalastelutestit tehdään yhä yllätyksenä?
Vuonna 2024 julkaistussa Google Security Blog -kirjoituksessa Googlen tietoturvatiimi kertoi, miksi Google ei järjestä henkilöstölleen yllätyksenä tulevia kalastelutestejä.
Weidhaas, von Preuschen ja Distler tarkastelivat Aalto-yliopistossa vuonna 2026 tehdyssä tutkimuksessa 41 työntekijän toimintaa ja havaitsivat kiinnostavan ilmiön: useat työntekijät epäilivät aiheellisesti viestiä kalasteluksi mutta klikkasivat silti sen linkkiä. He pelkäsivät, että väärä hälytys antaisi heistä huonon kuvan työpaikalla. Havainto viittaa siihen, että kalastelusimulaatiot voivat heikentää psykologista turvallisuutta ja että työntekijät voivat olla entistä alttiimpia kalasteluhyökkäyksille organisaatioissa, joissa psykologinen turvallisuus on heikko. Psykologinen turvallisuus ei ole vain pehmeä HR käsite. Googlen sisäisessä Project Aristotle -tutkimuksessa se osoittautui tiimin suorituskyvyn vahvimmaksi yksittäiseksi ennustajaksi — tärkeämmäksi kuin yksilöiden lahjakkuus tai käytettävissä olevat resurssit.
Simulaatioiden teho heikkenee samalla kun kustannukset kasvavat
Tekoälyllä personalisoitu kalastelu murentaa koko perinteisen kalastelusimulaatiomallin pohjan. Simulaatioviestit rakentuvat havaittavien varoitusmerkkien varaan, joita työntekijöitä opetetaan tunnistamaan: kirjoitusvirheet, epäilyttävät verkko-osoitteet, ristiriitaiset lähettäjätiedot ja poikkeava muotoilu.
Tekoälyllä tehdyistä hyökkäysviesteistä nämä merkit puuttuvat yhä useammin. Viestit voivat tulla uskottavalla hetkellä, olla kielellisesti virheettömiä ja näyttää täsmälleen aidoilta. Jos ratkaisuna on, että työntekijän on joka kerta keskeytettävä työnsä ja tarkistettava asia kollegalta, simulaatioiden kustannukset moninkertaistuvat. Sähköpostiviestien harjoittelu ei myöskään enää riitä.