Trei din patru angajați din UE spun că au întâlnit amenințări cibernetice la serviciu

Trei din patru angajați din Uniunea Europeană spun că au întâlnit în ultimele șase luni mesaje, linkuri sau alte situații suspecte legate de securitatea cibernetică la serviciu, potrivit Flash Eurobarometer 576 publicat de Comisia Europeană. Phishing-ul este forma cel mai frecvent raportată, cu 39% dintre respondenți indicând mesaje sau site-uri frauduloase concepute pentru obținerea datelor ori accesului neautorizat. Rezultatele descriu experiențele declarate de angajați și nu înseamnă că 75% dintre aceștia au fost victimele unui atac reușit sau că organizațiile lor au suferit breșe de securitate confirmate.

Cele mai multe incidente declarate se bazează pe tehnici care încearcă să determine utilizatorul să facă singur primul pas necesar atacatorului. În cazul phishing-ului, acesta poate fi deschiderea unui link, accesarea unei pagini false, descărcarea unui fișier sau introducerea datelor de autentificare într-un formular care imită un serviciu legitim. În sondaj, 39% dintre angajați raportează astfel de tentative, în timp ce alte categorii includ încercări de obținere a datelor personale, compromiterea parolelor, malware și fraude care utilizează inteligența artificială. Categoriile nu sunt exclusive, astfel încât procentele nu trebuie însumate pentru a calcula un număr total de incidente.

Datele arată că recunoașterea teoretică a riscului este mai răspândită decât aplicarea consecventă a măsurilor de protecție. Dintre angajații care utilizează sisteme și instrumente digitale la serviciu, 76% consideră riscantă accesarea unui link fără verificarea expeditorului, 74% spun același lucru despre folosirea aceleiași parole pentru conturile personale și profesionale, iar 69% identifică drept risc distribuirea pe rețelele sociale a informațiilor legate de muncă.

Comportamentul declarat zilnic este mai puțin riguros. Deși 72% spun că pot identifica mesaje suspecte, numai 54% declară că verifică expeditorul înainte de a deschide un link, iar 50% spun că își blochează întotdeauna computerul atunci când se îndepărtează de postul de lucru. Diferența dintre cunoașterea unei reguli și aplicarea sa este unul dintre principalele rezultate pe care Comisia le evidențiază în interpretarea sondajului.

Vârsta apare și ea ca factor în comportamentul declarat. Comisia spune că atât conștientizarea riscurilor, cât și unele practici de igienă cibernetică tind să crească odată cu vârsta, ceea ce indică o nevoie mai mare de formare țintită pentru angajații mai tineri, în special pentru categoria 15–24 de ani. Sondajul nu trebuie însă interpretat ca un test tehnic care demonstrează că angajații mai în vârstă detectează efectiv mai bine atacurile, deoarece răspunsurile măsoară în principal percepții și comportamente auto-raportate.

Aceeași precauție este necesară pentru inteligența artificială. Numai 48% dintre respondenți spun că ar putea recunoaște un videoclip fals generat cu AI. Aceasta este o autoevaluare a capacității proprii, nu rezultatul unui test în care participanții au trebuit să identifice materiale autentice și sintetice, astfel încât procentul nu poate fi interpretat ca rata reală de detectare a deepfake-urilor în rândul forței de muncă europene.

În același timp, 83% dintre angajați consideră că potențialele consecințe ale unui atac cibernetic sunt grave. Diferența dintre această percepție ridicată a riscului și nivelul mai redus al unor comportamente preventive sugerează că simpla conștientizare a pericolului nu garantează adoptarea rutinelor de securitate, una dintre concluziile centrale prezentate de Comisie odată cu publicarea Eurobarometrului.

Formarea profesională este una dintre zonele în care rezultatele indică o acoperire încă incompletă. Șase din zece angajați spun că au participat la o formă de instruire privind securitatea cibernetică în ultimele 12 luni, iar participarea este mai redusă în organizațiile mici. În același timp, 85% declară că sunt interesați să își îmbunătățească abilitățile, ceea ce arată că lipsa interesului nu este principala barieră identificată de respondenți. Aproximativ 26% indică lipsa timpului drept principalul obstacol.

Comisia mai arată că doar aproximativ jumătate dintre organizații au implementate, potrivit răspunsurilor angajaților, unele dintre măsurile importante de securitate analizate în sondaj, iar aproximativ încă un sfert intenționează să le introducă. Aceste valori trebuie tratate ca percepții ale persoanelor intervievate asupra organizațiilor în care lucrează, nu ca un audit tehnic independent al sistemelor de securitate ale companiilor și instituțiilor europene.

Un alt rezultat necesită o interpretare atentă. Doar 18% dintre respondenți spun că, din câte cunosc, organizația lor nu a avut niciun incident cibernetic. Din această cifră nu rezultă că restul de 82% lucrează în organizații care au suferit breșe confirmate. Un angajat poate fi expus unui mesaj de phishing sau unei tentative blocate înainte ca aceasta să devină incident de securitate, iar formularea „din câte cunosc” introduce și o limită evidentă privind informațiile de care angajatul dispune.

Flash Eurobarometer 576 a fost realizat online între 27 aprilie și 8 mai pe 25.747 de persoane din toate cele 27 de state membre și a întrebat despre experiențele din cele șase luni anterioare. Acest lucru înseamnă că datele descriu o perioadă anterioară publicării din 30 septembrie și trebuie interpretate în contextul metodologiei de sondaj, nu ca o măsurătoare în timp real a numărului de atacuri care au loc în prezent în UE.

Materialele disponibile pentru această știre nu includ fișa națională detaliată a României. Din acest motiv, procentele europene nu pot fi atribuite angajaților români și nu permit afirmații privind poziția României față de alte state membre. O comparație națională ar necesita raportul complet, ponderarea, chestionarul și rezultatele defalcate pe țări.

Publicarea sondajului coincide cu începutul European Cybersecurity Month, campania anuală susținută de Comisia Europeană și Agenția Uniunii Europene pentru Securitate Cibernetică, ENISA. Campania urmărește să transforme conștientizarea amenințărilor în practici de securitate, iar ENISA pune accent pe comportamente precum verificarea mesajelor și linkurilor, raportarea incidentelor și dezvoltarea competențelor.

Contextul european este mai larg decât instruirea individuală. NIS2 stabilește obligații de gestionare a riscurilor și raportare pentru entități din sectoare critice și importante, Cyber Resilience Act introduce cerințe de securitate pentru produse cu elemente digitale, iar ENISA coordonează activități de pregătire și formare. Eurobarometrul nu măsoară însă conformitatea organizațiilor cu aceste acte și nu poate fi folosit pentru a deduce că o anumită proporție de companii încalcă legislația UE.

Rezultatul principal este, astfel, mai degrabă unul despre expunerea cotidiană și comportamentul uman decât despre numărul de breșe reușite. Mesajele suspecte și tentativele de fraudă au devenit o experiență obișnuită pentru o mare parte a forței de muncă europene, iar datele Comisiei indică faptul că diferența dintre a recunoaște existența riscului și a aplica permanent măsuri simple de protecție rămâne una dintre vulnerabilitățile importante ale securității la locul de muncă.