در دنیای امنیت سایبری، آنچه دیروز کارآمد بود، لزوماً امروز نیز کارایی ندارد. با ظهور هوش مصنوعی مولد (Generative AI)، تکنیک‌های سنتی فیشینگ (Phishing) که کارمندان بر اساس آن‌ها آموزش می‌دیدند، در حال از اعتبار افتادن هستند. مهاجمان اکنون از هوش مصنوعی برای تولید پیام‌های بسیار متقاعدکننده، شخصی‌سازی شده و بدون غلط‌های املایی یا ساختاری استفاده می‌کنند.
گزارش‌های اخیر نشان می‌دهند که ابعاد این تهدید بسیار جدی است. طبق تحقیقات، حدود ۷۵ درصد از کیت‌های فیشینگ (Phishing Kits) موجود در بازارهای دارک‌وب (Dark Web) دارای قابلیت‌های هوش مصنوعی هستند و ۸۲ درصد آن‌ها از ویژگی‌های جعل عمیق (Deepfake) پشتیبانی می‌کنند. این موضوع باعث شده است که نشانه‌های کلاسیک فیشینگ، مانند غلط‌های املایی یا خوش‌آمدگویی‌های عمومی، دیگر معیار قابل اتکایی برای تشخیص حملات نباشند.
بنابراین، تمرکز برنامه‌های آگاهی‌بخشی (Security Awareness) باید از صرفاً «تشخیص» به سمت «تایید و گزارش‌دهی» تغییر کند. اگر کارمندان تنها بر اساس ظاهر پیام قضاوت کنند، در برابر حملاتی که از نام‌های آشنا، بافت تجاری مرتبط و زبان حرفه‌ای استفاده می‌کنند، آسیب‌پذیر خواهند بود. استراتژی جدید باید بر تایید هویت از طریق کانال‌های مورد اعتماد و گزارش سریع موارد مشکوک تاکید داشته باشد.
علاوه بر این، معیارهای سنجش موفقیت در شبیه‌سازی‌ها نیز باید تغییر کنند. نرخ کلیک (Click Rate) به تنهایی معیار مناسبی برای ارزیابی آمادگی سازمان نیست. یک سازمان ممکن است نرخ کلیک مشابهی با سازمان دیگر داشته باشد، اما تفاوت اصلی در نرخ گزارش‌دهی (Reporting Rate) و زمان گزارش‌دهی (Time to Report) نهفته است. توانایی تیم‌های امنیتی (SOC) برای شناسایی سریع یک حمله از طریق گزارش کارمندان، بسیار حیاتی‌تر از صرفاً جلوگیری از کلیک کردن است.
در نهایت، هدف از شبیه‌سازی‌ها نباید تنبیه یا رتبه‌بندی کارمندان باشد، بلکه باید شناسایی نقاط ضعف و بهبود آمادگی عملیاتی (Operational Readiness) باشد. سازمان‌ها باید فرآیندهایی داشته باشند که پس از دریافت یک پیام مشکوک، به سرعت منجر به حذف پیام از صندوق‌های ورودی، مسدودسازی زیرساخت‌های مخرب و بررسی‌های امنیتی شود.
