Platforma human risk management
PhishGun – platforma do symulacji phishingu i szkoleń security awareness
Większość incydentów zaczyna się od człowieka, nie od otwartego portu. PhishGun wysyła Twoim pracownikom realistyczny, ale całkowicie nieszkodliwy phishing. Po ryzykownym kliknięciu od razu otwiera krótkie szkolenie, jeszcze zanim emocje opadną, i daje liczbę, którą można położyć na stole przed zarządem.
Platformę zbudował zespół Haxoris z tego, co nasi etyczni hakerzy widzą w prawdziwych testach socjotechnicznych. Scenariusze piszemy pod konkretny rynek – nie tłumaczymy ich.
PhishGun tworzy i prowadzi Haxoris. Sam produkt znajdziesz pod adresem phishgun.com.
W skrócie
Co robi PhishGun
PhishGun prowadzi kontrolowane kampanie phishingowe wśród pracowników i mierzy, co dzieje się dalej: kto otworzył wiadomość, kto kliknął, kto wpisał dane i – to liczba, której większość programów w ogóle nie zbiera – kto zgłosił.
Na kliknięciu większość narzędzi kończy pracę. Dla nas to początek: otwiera się krótka lekcja, która pokazuje, po czym tę wiadomość dało się rozpoznać – i to w jedynym momencie, kiedy pracownik na pewno uważa.
Zostaje z tego mierzalny trend w każdym zespole zamiast certyfikatu ukończenia – i komplet zapisów, które audytor przyjmie jako dowód, że szkolenia świadomościowe faktycznie się odbyły, niezależnie od tego, czy sprawdza zgodność z dyrektywą NIS2, normą ISO/IEC 27001 czy rozporządzeniem DORA.
Liczba opisująca ryzyko po stronie ludzi, pokazana w trendzie, i dowody na to, co się zmieniło – do postawienia przed zarządem albo regulatorem.
Użytkownicy zaciągnięci z Microsoft 365 lub Google Workspace i kampanie, które same pilnują tempa wysyłki. Żadnego nowego katalogu do utrzymania.
Datowane, imienne zapisy działań świadomościowych – dokładnie to, o co pyta audytor, kiedy sama polityka mu nie wystarcza.
Funkcje i korzyści
Cztery rzeczy, które platforma naprawdę robi
To nie biblioteka szkoleń z quizem doklejonym na końcu. Każda z tych funkcji istnieje dlatego, że zmienia liczbę, którą zmierzysz kwartał później.
Symulacje phishingowe dobrane do odbiorcy
Kampanie dzielone według działu, poziomu ryzyka, języka i kontekstu biznesowego: faktura do księgowości, prośba o kod MFA do zespołu inżynierskiego. Nie jeden szablon wysłany do wszystkich we wtorek rano.
Szkolenie w chwili kliknięcia
Po ryzykownym kliknięciu otwiera się krótka lekcja, która nazywa sygnały ostrzegawcze z tej wiadomości: nazwa nadawcy niepasująca do domeny, presja czasu, link prowadzący gdzie indziej. Wiedza wchodzi wtedy, kiedy błąd jest jeszcze świeży, a innego takiego momentu nie ma.
Zgłoszenie jednym kliknięciem
Pracownik zgłasza podejrzaną wiadomość prosto z klienta poczty. Cisza zamienia się w mierzalny sygnał. Osoby, które nie dały się nabrać, dostają potwierdzenie, że zrobiły dobrze, a zespół bezpieczeństwa szybciej dowiaduje się o prawdziwym ataku.
Analityka, która się broni
Click rate, report rate, ukończone szkolenia, powtarzalność błędów i postęp kampanii, w podziale na zespoły i w czasie. Wynikiem jest trend; sam click rate z jednej kampanii mówi niewiele.
Biblioteka szablonów
Szablony pisane pod konkretny rynek
Przynęta działa tylko wtedy, kiedy pasuje do otoczenia. W bibliotece znajdziesz nadawców, od których pracownicy naprawdę dostają pocztę: lokalne marki, takie jak Slovenská pošta, Finančná správa, Tatra banka, VÚB, Packeta czy Alza, obok globalnych, które widzi każdy zespół – Microsoft, Google, Atlassian, Zoom.
Każdy szablon ma etykietę mówiącą, po co powstał – dane logowania, dane karty, dane osobowe – i czy podszywa się pod publiczną markę, czy pod coś wewnętrznego. Dzięki temu kampanię da się wycelować w jedno konkretne ryzyko zamiast liczyć, że ogólna przynęta gdzieś trafi.
Raportowanie
Cały lejek, nie sam click rate
Wysłane, otwarte, kliknięte, wypełnione – z odsiewem na każdym kroku. Sam click rate zasłania liczbę, która znaczy najwięcej: ilu ludzi poszło dalej i faktycznie coś wpisało.
To ten ostatni procent warto pokazać zarządowi, bo najbliżej oddaje to, z czym wyszedłby prawdziwy atakujący.
Zacznij od jednej bezpłatnej kampanii
Jedna kampania wystarczy, żeby sprawdzić, czy to realny problem: własni pracownicy, własne liczby, żadnych zobowiązań.
- Weź na start jeden dział – nie musisz importować całego katalogu.
- Wybierz gotowy scenariusz albo dopasuj go do przynęty, która krąży teraz po branży.
- Po zakończeniu dostajesz click rate, report rate i podział wyników na zespoły.
Jak to działa
Pięć kroków od pustego konta do trendu, który da się raportować
Pierwsza kampania zajmuje jedno popołudnie. Każda kolejna to ta sama pętla, tylko na krótszym cyklu.
Podłącz użytkowników
Zaciągnij zespoły z Microsoft 365 lub Google Workspace albo wgraj listę. Pogrupuj ludzi według działu, stanowiska lub profilu ryzyka, żeby kampanię dało się wycelować, a nie rozesłać na oślep.
Wybierz scenariusz
Sięgnij po gotowy szablon – faktura, awizo kurierskie, komunikat HR, prośba o kod MFA, wewnętrzne zgłoszenie do IT – albo dopasuj go do przynęty, która krąży po branży w tym kwartale.
Uruchom bezpiecznie
Zabezpieczenia kampanii, ograniczanie tempa wysyłki i kontrolowane strony docelowe sprawiają, że symulacja nie zakłóca pracy firmy ani nie podnosi alarmu we własnych systemach detekcji. Okno czasowe i zakres ustalamy, zanim cokolwiek wyjdzie.
Przeszkol w chwili kliknięcia
Kto kliknie, dostaje krótką lekcję. Kto zgłosi, dostaje potwierdzenie zamiast ciszy – i dopiero to zamienia przycisk zgłoszenia z funkcji w nawyk.
Pokaż trend
Click rate, report rate i ukończone szkolenia w podziale na zespoły, śledzone przez kolejne kampanie. To trafia do zarządu i tym samym zestawem odpowiadasz audytorowi, który pyta, czym udokumentowane są szkolenia świadomościowe.
Ocena ryzyka pracownika
Wynik dla każdej osoby i powód, który za nim stoi
Każdy pracownik ma wynik zbudowany z tego, co naprawdę zrobił w kolejnych kampaniach – dał się nabrać, zgłosił, zignorował – a nie z quizu na końcu prezentacji.
Rozbicie ekspozycji pokazuje, jakie wektory ataku i jakie cele atakującego sprawdzono już u danej osoby. Niski wynik nigdy nie jest zagadką, a przy wysokim od razu widać konkretną lukę do zamknięcia.
Możliwości
Co obejmuje platforma
PhishGun działa jako platforma hostowana, osobno od projektów doradczych Haxoris i z własną subskrypcją.
| Obszar | Co dostajesz |
|---|---|
| Kampanie | Lokalne szablony wiadomości, kontrolowane strony docelowe, kierowanie według działu, poziomu ryzyka, języka i kontekstu biznesowego, ograniczanie tempa wysyłki i zabezpieczenia kampanii |
| Szkolenia | Szkolenie uruchamiane ryzykownym kliknięciem, wyjaśnienie sygnałów ostrzegawczych z konkretnej wiadomości, śledzenie ukończenia dla każdej osoby |
| Przycisk zgłoszenia | Zgłoszenie podejrzanej wiadomości jednym kliknięciem z klienta poczty pracownika, potwierdzenie dla trafnych zgłoszeń, pomiar report rate |
| Użytkownicy i administracja | Import użytkowników z Microsoft 365 lub Google Workspace, grupowanie według zespołu, działu i profilu ryzyka |
| Analityka | Click rate, report rate, ukończone szkolenia, powtarzalność błędów i postęp kampanii, dla kampanii i dla zespołu |
| Dowody dla audytu | Zapisy działań świadomościowych, które można przedstawić przy audycie zgodności z dyrektywą NIS2, normą ISO/IEC 27001 i rozporządzeniem DORA |
Aktualne plany, limity i cennik znajdziesz na stronie cennika PhishGun.
Kontekst regulacyjny
Dlaczego szkolenia świadomościowe to dziś obowiązek
Trzy europejskie regulacje wpisują security awareness wprost w wymagania, zamiast zostawiać je dobrym chęciom. W każdej z nich ciężar leży po stronie dowodów, a nie polityki, która stwierdza, że szkolenia istnieją.
NIS2
Art. 20 ust. 2 wymaga, żeby członkowie organów zarządzających odbywali szkolenia i zachęcali do regularnych szkoleń pracowników. Art. 21 ust. 2 lit. g wymienia podstawowe zasady cyberhigieny i szkolenia z cyberbezpieczeństwa wśród minimalnych środków. Wykazać to można cyklicznymi symulacjami i datowanymi zapisami ukończenia. W Polsce dyrektywę wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r. Testy penetracyjne zgodne z NIS2.
ISO/IEC 27001
Zabezpieczenie 6.3 z Załącznika A wymaga świadomości, edukacji i szkoleń dopasowanych do roli i regularnie aktualizowanych. Audytor prosi o imienne dowody rozłożone w czasie, a jednorazowa prezentacja wdrożeniowa ich nie da. Testy penetracyjne dla normy ISO 27001.
DORA
Art. 13 ust. 6 nakazuje podmiotom finansowym prowadzić programy podnoszenia świadomości w zakresie bezpieczeństwa ICT i szkolenia z cyfrowej odporności operacyjnej jako moduły obowiązkowe – wprost dla kadry kierowniczej wyższego szczebla, nie tylko dla zespołów technicznych.
Kiedy platforma, a kiedy projekt z zespołem Haxoris
Odpowiadają na inne pytania i większość firm potrzebuje jednego i drugiego. Testy socjotechniczne to projekt zamknięty w czasie: nasi etyczni hakerzy budują preteksty pod konkretną organizację, prowadzą phishing, vishing i smishing w uzgodnionym zakresie i raportują, jak daleko zaszedł zdeterminowany atakujący.
PhishGun to program, który toczy się między takimi projektami – ciągle, samodzielnie i po to, żeby ruszyć poziom bazowy, a nie udowodnić jedną ścieżkę włamania.
W praktyce:
- Najpierw testy, potem platforma – projekt pokazuje, które preteksty naprawdę działają na ludziach w konkretnej firmie; z nich robią się scenariusze warte powtarzania.
- Platforma dla trendu – click rate i report rate zespół po zespole, kwartał po kwartale, to metryka, która pokazuje, że program działa.
- Szkolenie tam, gdzie liczby pokazują lukę – zobacz szkolenia z cyberbezpieczeństwa prowadzone na podstawie wyników własnych kampanii.
- Test kontrolny na koniec – powtórzony test w przeszkolonej organizacji to uczciwy sprawdzian, czy liczba faktycznie drgnęła.
Najczęstsze pytania
01 Czy PhishGun to produkt Haxoris?
Tak. PhishGun budujemy i prowadzimy sami, a scenariusze pochodzą od tego samego zespołu, który realizuje nasze testy socjotechniczne. Platforma ma własną stronę i własną subskrypcję pod adresem phishgun.com, bo to produkt, a nie usługa doradcza – ale nasz własny, a nie odsprzedawany.
02 Czym różni się od naszych testów socjotechnicznych?
Testy socjotechniczne to projekt: preteksty szyte pod firmę, phishing plus vishing i smishing, prowadzone przez naszych pentesterów w uzgodnionym zakresie i zakończone raportem, jak daleko zaszedł atakujący i dlaczego. PhishGun prowadzisz sam, w trybie ciągłym, żeby między takimi projektami podnosić poziom bazowy. Testy pokazują, co działa na pracowników. Platforma jest narzędziem, którym to naprawiasz i którym pokazujesz, że naprawiłeś.
03 Czy symulowane wiadomości można bezpiecznie wysyłać do pracowników?
Tak – symulacja ma zmierzyć reakcję, a nie cokolwiek przejąć. Nie ma w niej szkodliwego oprogramowania ani żadnego payloadu. Kampanie działają z zabezpieczeniami i ograniczonym tempem wysyłki, żeby nie zakłócać pracy firmy, a zakres, okno czasowe i to, co dokładnie jest zapisywane, ustalamy przed wysłaniem pierwszej wiadomości.
04 W jakich językach dostępne są scenariusze?
Po słowacku, czesku i angielsku. Scenariusze piszemy pod dany rynek, a nie tłumaczymy maszynowo, i to waży więcej, niż brzmi: przynętę, która czyta się jak tłumaczenie, pracownik rozpozna z niewłaściwego powodu, a kampania zmierzy wtedy jego wyczucie językowe zamiast czujności na phishing.
05 Czy trzeba zaimportować cały katalog, żeby zacząć?
Nie. Zacznij od jednego działu. Użytkowników można zaciągnąć z Microsoft 365 lub Google Workspace albo wgrać listą, a zakres poszerzysz, kiedy zobaczysz wyniki pierwszej kampanii.
06 Czy samo wdrożenie PhishGun daje zgodność z NIS2, ISO 27001 lub DORA?
Żadne narzędzie nie daje organizacji zgodności, a dostawcę, który twierdzi inaczej, warto traktować podejrzliwie. PhishGun dostarcza dowód na jeden konkretny obowiązek z każdej z tych regulacji: że szkolenia świadomościowe się odbywają, docierają do właściwych osób łącznie z kierownictwem i powtarzają się. To jedno zabezpieczenie wśród wielu, tyle że akurat to bardzo trudno udokumentować inaczej.
