--- title: The Science Behind CyberCoach description: Why phishing simulations fail — and what works instead. Research from ETH Zurich, Purdue, and Google informs CyberCoach's approach to security training. image: https://www.cybercoach.com/hubfs/cybercoach%20science%20behind%20why%20phishing%20sims%20fail.png --- [![CyberCoach Full Logo with Bot Icon](https://www.cybercoach.com/hubfs/CyberCoach_Full_Logo_Black-2.svg)](https://www.cybercoach.com?hsLang=sv) - [Svenska](https://www.cybercoach.com/sv/science-behind-cybercoach) - [English](https://www.cybercoach.com/science-behind-cybercoach) - [Español](https://www.cybercoach.com/es/programas-de-formacion-personalizadas-para-cada-rol) - [Français](https://www.cybercoach.com/fr/science-behind-cybercoach) - [Suomi](https://www.cybercoach.com/fi/science-behind-cybercoach) - PRODUKT ## CyberCoach i korthet CyberCoach är en banbrytande app för säkerhetsmedvetenhetsträning för Teams, Slack eller webbläsaren. ### [Vetenskapen bakom CyberCoach Varför traditionella nätfiskesimuleringar inte fungerar, enligt kollegialt granskad forskning från ETH Zürich.](https://www.cybercoach.com/sv/science-behind-cybercoach) ### [Är nätfiskesimuleringar lagliga enligt GDPR? 9 steg som GDPR kräver innan du nätfiskar dina medarbetare – och en ny simuleringsmetod som inte kräver något av dem.](https://www.cybercoach.com/sv/legal-basis-phishing-simulation?hsLang=sv) ### [Prissättning Flexibla planer, även månadsvis.](https://www.cybercoach.com/pricing?hsLang=sv) ### [Blogg De senaste insikterna inom säkerhetsmedvetenhet och nyheter om CyberCoach.](https://blog.cybercoach.com?hsLang=sv) ### [Kundberättelser Läs mer om hur CyberCoach har hjälpt organisationer inom olika branscher att modernisera sitt tillvägagångssätt för säkerhetsutbildning.](https://www.cybercoach.com/customer-stories?hsLang=sv) ### [OT Security -utbildning Målinriktad utbildning för anställda som arbetar med OT-teknik.](https://www.cybercoach.com/ot-security-training?hsLang=sv) - [AI SECURITY](https://www.cybercoach.com/ai-security-training?hsLang=sv) ## [AI Security -utbildning Det mest omfattande AI-säkerhets- och efterlevnadsutbildnings-biblioteket på marknaden.](https://www.cybercoach.com/ai-security-training?hsLang=sv) ### [AI Security -utbildning Varför välja CyberCoach för dina behov av AI-säkerhetsutbildning?](https://www.cybercoach.com/ai-security-training?hsLang=sv) ### [Utbildningskrav enligt EU:s AI-förordning: Vad behöver ni faktiskt göra? Utbildning i AI-kompetens har varit obligatorisk sedan februari 2025.](https://www.cybercoach.com/sv/eu-ai-act-training-requirements?hsLang=sv) - [FÖR UTVECKLARE](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=sv) ## [FÖR UTVECKLARE Gå bortom OWASP Top10 och utbilda tekniska roller i det som verkligen räknas.](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=sv) ### [Säker Utvecklingsutbildning Uppfyll ISO/IEC 27001 eller SOC 2-krav för säkra utvecklingsmetoder med rak på sak-utbildning för dina utvecklare och andra tekniska roller, direkt i Microsoft Teams eller Slack.](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=sv) - [FÖRETAG](https://www.cybercoach.com/about-us?hsLang=sv) ## [Om oss Vi växer och blir det mest mångsidiga cybersäkerhetsföretaget på planeten.](https://www.cybercoach.com/about-us?hsLang=sv) ### [Om oss Träffa vårt internationell team.](https://www.cybercoach.com/about-us?hsLang=sv) ### [Kontakt Kom i kontakt.](https://www.cybercoach.com/contact-us?hsLang=sv) ### [Karriärer Vi anställer.](https://www.cybercoach.com/careers?hsLang=sv) ### [Bli partner Läs mer om vårt partnerprogram.](https://www.cybercoach.com/partnerships?hsLang=sv) - [Svenska](https://www.cybercoach.com/sv/science-behind-cybercoach) - [English](https://www.cybercoach.com/science-behind-cybercoach) - [Español](https://www.cybercoach.com/es/programas-de-formacion-personalizadas-para-cada-rol) - [Français](https://www.cybercoach.com/fr/science-behind-cybercoach) - [Suomi](https://www.cybercoach.com/fi/science-behind-cybercoach) [FREE TRIAL](https://www.cybercoach.com/free-trial?hsLang=sv) [BOKA DEMO](https://meetings-eu1.hubspot.com/maria-bique/cybercoach-demo?uuid=88959d26-2ff7-4dd0-8ebd-dd43eb31443e)   Forskningsläget ## Varför traditionella phishing-simuleringar inte fungerar I två decennier har organisationer skickat oväntade phishing-mejl till sina medarbetare, registrerat vilka som klickar och sedan skickat dem vidare till en utbildningssida. Antagandet är att konsekvensen leder till en varaktig beteendeförändring. Nu har metoden testats i stor skala – och forskningsresultaten ger konsekvent svagt stöd för antagandet. ![CyberCoach-märken för phishing-utmaningar](https://www.cybercoach.com/hubfs/science%20behind%20cybercoach.png) [01 Uppmärksamhet, inte kunskap](https://www.cybercoach.com/sv/science-behind-cybercoach#f1) [02 Misslyckanden lär inte](https://www.cybercoach.com/sv/science-behind-cybercoach#f2) [03 Mätvärden kan manipuleras](https://www.cybercoach.com/sv/science-behind-cybercoach#f3) [04 Psykologisk trygghet](https://www.cybercoach.com/sv/science-behind-cybercoach#f4) [05 AI gör det svårare](https://www.cybercoach.com/sv/science-behind-cybercoach#f5) 01 Det är ett uppmärksamhetsproblem ### Sårbarhet för phishing handlar om uppmärksamhet, inte brist på kunskap 4,554 studerade medarbetare 3 kampanjer på 6 veckor 0 nytta av obligatorisk repetitionsutbildning Lain, Jost, Matetic, Kostiainen och Capkun (ETH Zürich, ACM CCS 2024) undersökte vilka delar av integrerad phishing-utbildning som faktiskt leder till förbättring. Resultaten pekade på att effekten nästan helt kom från den påminnelse som själva övningen gav, snarare än från utbildningsinnehållet: de flesta deltagare läste aldrig utbildningsmaterialet men förbättrades ändå efter att ha sett sidan. Enbart avskräckande åtgärder, i form av ett mejl som beskrev konsekvensen, fungerade lika bra som den fullständiga integrerade utbildningen. När medarbetarna fick frågan varför de hade gått på simuleringarna angav de hög mejlvolym och tidspress, inte brist på kunskap. Obligatorisk utbildning för personer som misslyckades flera gånger gav ingen ytterligare nytta. Studien väcker därför frågan om metoden borde ersättas med förannonserade påminnelser som ger samma påminnelseeffekt utan vilseledande eller risk för falsk trygghet. > "Jag var helt enkelt inte uppmärksam och tittade inte längre ner."Studiedeltagare \[P26\] 02 Misslyckanden lär inte ### Utbildning direkt efter ett misslyckande kan göra saken värre 14,733 deltagare under 15 månader 43% uppgav att utbildningssidan fick dem att känna sig trygga 40% upplevde att organisationen skyddade dem I en longitudinell studie vid en stor organisation fann Lain et al. (ETH Zürich, IEEE Security & Privacy 2022) att medarbetare som skickades vidare till en kontextuell utbildningssida efter att ha misslyckats med ett simulerat phishing-mejl senare klickade på *fler* phishing-mejl än de som aldrig såg sidan. Enkäterna ger en möjlig förklaring: sidan uppfattades som en bekräftelse på trygghet, inte som instruktion. > "Integrerad phishing-utbildning, så som den vanligtvis används i branschen i dag, är inte effektiv och kan faktiskt ge negativa bieffekter."Lain, Jost, Matetic, Kostiainen & Capkun, 2022 03 Mätvärden kan manipuleras ### Sjunkande klickfrekvens betyder inte att utbildningen fungerar 12,511 studerade medarbetare 7% klickfrekvens på enkla beten 15% klickfrekvens på svåra beten Rozema och Davis (Purdue University, ACM Web Conference 2026) fann att varken föreläsningsbaserad eller interaktiv phishing-utbildning gav meningsfulla förbättringar i förmågan att upptäcka phishing. Däremot hade attackens svårighetsgrad en stark koppling till klickfrekvensen. Mätvärdet tycks därför i stor utsträckning mäta hur svårt månadens phishing-bete var. Klickfrekvensen kan också sjunka över tid när medarbetarna lär sig känna igen visuella mönster, avsändarnamn och scenariotyper som den aktuella leverantören brukar använda. Den typen av mönsterigenkänning skyddar inte nödvändigtvis mot verkliga angripare, som inte följer samma spelbok. Dessutom är leverantören som genomför simuleringarna samma part som mäter resultaten. Det skapar ett kommersiellt incitament att visa förbättrade siffror, utan en oberoende kontroll av vad som faktiskt driver förändringen. 04 Psykologisk trygghet spelar roll ### Oannonserade brandövningar hör till det förflutna. Varför genomför vi fortfarande oannonserade phishing-tester? Googles säkerhetsteam har kommit till en liknande slutsats ur ett organisatoriskt perspektiv. I ett inlägg på Google Security Blog från 2024 förklarade teamet varför Google inte genomför oväntade interna phishing-tester. Medarbetare känner sig lurade Förtroendet mellan medarbetare och säkerhetsteam skadas Inga belägg för att framgångsrika phishing-incidenter minskar Google Security Blog, 2024 En studie från Aalto-universitetet 2026 av Weidhaas, von Preuschen och Distler undersökte 41 medarbetare och observerade ett intressant mönster: flera personer som misstänkte att meddelandet var phishing klickade ändå, eftersom de var rädda för att ett falskt alarm skulle få dem att framstå i dålig dager på jobbet. Resultatet pekar på möjligheten att phishing-simuleringar inte bara kan påverka den psykologiska tryggheten negativt, utan även att medarbetare i organisationer där den psykologiska tryggheten är låg kan vara mer benägna att falla för phishing-attacker. Psykologisk trygghet är inte bara ett mjukt HR-begrepp. Googles interna Project Aristotle-studie identifierade psykologisk trygghet som den starkaste enskilda faktorn bakom teamprestation, före individuell talang och resurser. 05 AI gör det bara svårare ### Simuleringarna blir mindre effektiva samtidigt som de blir dyrare Rozema och Davis varnar också för att AI-genererad phishing håller på att försvaga själva grunden för klickfrekvensmodellen. Simuleringar bygger på synliga kännetecken som utbildade medarbetare lär sig upptäcka: stavfel, misstänkta webbadresser, avvikande avsändarnamn och ovanlig formatering. Stavfel Misstänkta webbadresser Avvikande avsändare Ovanlig formatering AI-genererade attacker saknar i allt högre grad dessa kännetecken. Moderna AI-drivna attacker kan vara kontextuellt relevanta, grammatiskt felfria och visuellt mycket svåra att skilja från legitima mejl. Om lösningen är att medarbetaren ska stanna upp och verifiera med en kollega varje gång, ökar samtidigt kostnaden för arbetssättet kraftigt.   Den dolda kostnaden ## Två kostnader som klickfrekvensen aldrig visar Utöver frågan om effektivitet pekar forskningen på två återkommande bieffekter av simulerade phishing-kampanjer. 01 ### Övertro på säkerheten En betydande andel medarbetare tolkar utbildningssidan som ett tecken på att företagets säkerhetssystem fångar upp verkliga hot, snarare än som en utbildning. Avsedd effekt ↑ Vaksamhet kring mejlinkorgen Observerad effekt ↑ Tilliten till mejlinkorgen En särskild form av övertro som uppstår när själva övningen missförstås. Lain et al., 2022 & 2024 02 ### Försvagat förtroende En kostnad finns med i budgeten. Tre andra betalas ändå. Medarbetarnas förtroende inte budgeterad Organisationskultur inte budgeterad Resursfördelning inte budgeterad Direkt implementeringskostnad på fakturan Studien identifierade betydande dolda kostnader utöver de direkta implementeringskostnaderna. Brünken, Buckmann, Hielscher & Sasse — USENIX Security, 2023   What actually works ## Three things the evidence supports Security awareness training is not useless. The findings point consistently toward what does work. 01 ### Reminders beat knowledge transfer Content that teaches a lesson ↓ Regular, credible reminders where real threats arrive The nudging component of simulations produces measurable effects even when the content itself is not read. Lain et al., 2024 02 ### Psychological safety enables honesty Named, visible to managers, remedial training ↓ Anonymous, no audience, no consequence Belief in your own ability to perform a behaviour is one of the strongest predictors of whether you will sustain it. Fear of being caught suppresses honest engagement. Bandura — self-efficacy 03 ### Attacks are multi-channel Email — simulated SMS Teams LinkedIn QR codes Voice calls Extending simulation to every channel would mean monitoring employees across their whole working life. The answer is practice, not surveillance: practice recognizing diverse tactics in one safe and motivating environment. Simulation covers one many channels   CyberCoachs metod ## Dialog, inte en utbildningssida Dialogisk pedagogik: förståelse byggs genom att resonera, inte genom att bara klicka sig vidare. Steg 01 ### Ett realistiskt scenario Direkt i verktyget de redan använder – Teams, Slack eller webbläsaren. Steg 02 ### De svarar med egna ord De resonerar själva i stället för att bara klicka sig igenom en sida. Steg 03 ### Direkt och personlig återkoppling I rätt sammanhang, medan scenariot fortfarande är färskt i minnet. Steg 04 ### Relevant analys och rapportering Godkända genomföranden registreras så att ni kan dokumentera regelefterlevnad – hur en enskild person svarade registreras aldrig. Fungerar med pseudonyma identifierare från Slack eller Microsoft UUID. Anonymt som standard – individuella svar är aldrig synliga för chefer Påminnelser där de verkliga hoten dyker upp, inte i en separat portal Ingen social kostnad för att svara fel ### Få notiser om de senaste insikterna inom säkerhetsmedvetenhet **Expertips**: Håll dig informerad med kuraterat innehåll, expertutlåtanden och fallstudier som är relevanta för din organisations strategi för säkerhetsmedvetenhet. **Specialerbjudanden:** Tillgång till CyberCoach rabatter och early bird-erbjudanden. **Håll dig uppdaterad:** Få de senaste insikterna och uppdateringarna om säkerhetstrender, hot och bästa praxis direkt till din inbox. ![cybercoach\_logo\_white.svg.2023\_03\_15\_16\_58\_04.0](https://www.cybercoach.com/hubfs/cybercoach_logo_white.svg.2023_03_15_16_58_04.0.svg) ### Produkt - [För utvecklare](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=sv) - [AI Security](https://www.cybercoach.com/ai-security-training?hsLang=sv) - [Social Påverkan](https://www.cybercoach.com/social-impact?hsLang=sv) - [Hantera prenumeration](https://billing.stripe.com/p/login/28o4jRclF4gab1C6oo) - [FAQ](https://www.cybercoach.com/faq?hsLang=sv) ### Kontakt - [Partner Program](https://www.cybercoach.com/partnerships?hsLang=sv) - [Karriärer](https://www.cybercoach.com/careers?hsLang=sv) - [För Media](https://www.cybercoach.com/media?hsLang=sv) - [Kontakt](https://www.cybercoach.com/contact-us?hsLang=sv) ### Legal - [Privacy](https://www.cybercoach.com/cybercoach-website-privacy?hsLang=sv) - [Allmänna villkor](https://www.cybercoach.com/sv/general-terms?hsLang=sv) ### Företag - [Om oss](https://www.cybercoach.com/about-us?hsLang=sv) - [Evenemang](https://www.cybercoach.com/events?hsLang=sv) - [Blogg](https://blog.cybercoach.com?hsLang=sv) - [ESG Policy](https://www.cybercoach.com/esg-policy?hsLang=sv) © 2025 CyberCoach Alla rättigheter förbehållna ```json { "@context" : "https://schema.org", "@id" : "https://www.cybercoach.com/#organization", "@type" : "Organization", "foundingDate" : "2019", "legalName" : "Cult Security", "logo" : "https://www.cybercoach.com/hubfs/CyberCoach_Full_Logo_Black-2.svg", "name" : "CyberCoach", "sameAs" : [ "https://www.linkedin.com/company/cult-security", "https://x.com/cybercoachUS", "https://www.instagram.com/cybercoachus/", "https://www.youtube.com/@CyberCoachOfficial" ], "url" : "https://www.cybercoach.com/" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://www.cybercoach.com/#software", "@type" : "SoftwareApplication", "applicationCategory" : "BusinessApplication", "applicationSubCategory" : "Security awareness and AI skills training", "availableLanguage" : [ "English", "Spanish", "Portuguese (Brazil)", "Portuguese (Portugal)", "French", "Dutch", "German", "Swedish", "Finnish" ], "description" : "CyberCoach is a role-based security awareness, privacy and AI skills training platform that runs as a conversational app inside Microsoft Teams, Slack or a web browser. Employees practice AI skills and responding to social engineering in short, psychologically safe scenario-based sessions. Learning is anonymous while successful completions are recorded per user so the organization can evidence training completion for compliance. CyberCoach can also run on pseudonymous identifiers such as Slack or Microsoft UUIDs, with no personal data shared with CyberCoach.", "featureList" : [ "Conversational phishing and social engineering challenges", "Role-based training programs for technical and non-technical roles", "AI security and AI use training", "Secure coding training for developers", "OT security training", "Custom content creation", "Compliance assessments (ISO/IEC 27001, GDPR, AI compliance)", "Anonymous learning with per-user completion records for compliance", "Optional pseudonymous deployment using Slack or Microsoft UUIDs" ], "name" : "CyberCoach", "offers" : [ { "@type" : "Offer", "description" : "Cover the basics.", "name" : "Starter", "price" : "49", "priceCurrency" : "EUR" }, { "@type" : "Offer", "description" : "Broad topic coverage, custom content, hosted kick-off.", "name" : "Advanced", "price" : "159", "priceCurrency" : "EUR" }, { "@type" : "Offer", "description" : "Full coverage, 24/7 AI chat, compliance assessments, hosted kick-off.", "name" : "Complete", "price" : "179", "priceCurrency" : "EUR" } ], "operatingSystem" : "Microsoft Teams, Slack, Web browser, iOS, Android", "publisher" : { "@id" : "https://www.cybercoach.com/#organization" }, "url" : "https://www.cybercoach.com/" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://www.cybercoach.com/#faq", "@type" : "FAQPage", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "CyberCoach is a security awareness, privacy and AI skills training platform that runs inside Microsoft Teams, Slack or a web browser. Employees practice role-based skills such as responding to social engineering, ethical and productive use of AI and even secure coding skills in short conversational scenarios. Learning is anonymous, while successful completions are stored so the organization can evidence training completion for compliance frameworks such as ISO/IEC 27001 and SOC 2." }, "name" : "What is CyberCoach?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Yes, but not by sending deceptive emails to employees. CyberCoach uses conversational phishing challenges in which employees practice recognizing and responding to social engineering scenarios in Teams, Slack or the browser. Peer-reviewed research, including Lain et al. (ETH Zurich, 2022 and 2024), finds that traditional email-based simulated phishing does not reduce risk and can increase misplaced trust in the inbox." }, "name" : "Does CyberCoach do phishing tests?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "No. Learning is anonymous: how an employee answered a training scenario is never visible to managers or administrators. What is recorded is successful completion, so the organization can evidence who has completed required training for compliance purposes. This is privacy by design: the sensitive part of the interaction stays private, and only the completion fact is retained." }, "name" : "Are individual employee answers visible to managers?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Yes. CyberCoach can be deployed using pseudonymous identifiers, such as Slack or Microsoft UUIDs, so no personal data is shared with CyberCoach. Compliance reporting still works: the mapping between a UUID and a real person is resolved only for authenticated and authorized administrators within the customer's own organization." }, "name" : "Can CyberCoach be used without sharing personal data?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "CyberCoach supports security awareness and secure development training requirements under ISO/IEC 27001 and SOC 2, and includes assessments covering ISO 27001, GDPR and AI compliance on the Complete plan." }, "name" : "Which compliance requirements does CyberCoach support?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "CyberCoach is available in English, Spanish, Portuguese (Brazil), Portuguese (Portugal), Polish, French, Dutch, German, Swedish, Norwegian, Danish and Finnish, with more languages in development." }, "name" : "Which languages does CyberCoach support?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Plans start at 49 EUR per month for Starter, 159 EUR per month for Advanced and 179 EUR per month for Complete, available monthly or yearly, including through the Microsoft Azure Marketplace." }, "name" : "How much does CyberCoach cost?" } ] } ```