Definícia a výpočet
Miera kliknutí sa počíta ako počet príjemcov, ktorí klikli, vydelený počtom doručených e-mailov. Nedoručené správy sa z menovateľa vylučujú a každý človek sa počíta len raz, aj keď klikol viackrát. Niektorí dodávatelia používajú širší pojem miera zlyhania, ktorý zahŕňa kliknutie, otvorenie prílohy aj zadanie údajov; pri porovnávaní s benchmarkom si overte, ktorú definíciu benchmark používa.
Samotné kliknutie ešte neznamená škodu. Preto sa vedľa miery kliknutí sleduje miera zadania údajov, teda podiel tých, ktorí na podvodnej stránke vyplnili meno a heslo. Tá býva výrazne nižšia a najlepšie zodpovedá tomu, čo by pri skutočnom útoku držal v rukách páchateľ.
S čím mieru kliknutí porovnať
Najcitovanejší benchmark pochádza zo správy KnowBe4 Phishing by Industry Benchmarking Report 2025, postavenej na 67,7 milióna simulovaných e-mailov v približne 62 400 organizáciách: nezaškolení zamestnanci klikajú v priemere v 33,1 % prípadov celosvetovo, 32,5 % v Európe a 24,6 % vo firmách do 250 zamestnancov. Po roku pravidelných simulácií a školení dosahujú tie isté organizácie priemer pod 5 %.
- Žiadny program školení: 25 až 35 %
- Program v začiatkoch: 10 až 20 %
- Vyspelý program: 5 až 10 %
- Program zameraný na zmenu správania: 2 až 5 %
Pásma vyspelosti vyššie publikuje Hoxhunt z merania naprieč viac než štyrmi miliónmi používateľov. Benchmarky podľa odvetvia a veľkosti firmy spolu so slovenskými dátami NBÚ a SK-CERT nájdete v článku phishing štatistiky 2026.
Čo mieru kliknutí skresľuje
- Náročnosť šablóny: všeobecná návnada s pravopisnými chybami a cielený e-mail v mene dodávateľa dajú u tých istých ľudí úplne iné čísla. Porovnávajte kampane s podobnou náročnosťou.
- Varovanie medzi kolegami: ak e-mail odíde všetkým naraz, prvý, kto ho odhalí, varuje celé poschodie. Rozložené odosielanie udrží meranie poctivé.
- Bezpečnostné nástroje: filtre a sandboxy otvárajú odkazy automaticky a vyrobia kliknutia, ktoré nikto neurobil. Dobrá platforma ich odfiltruje.
- Opakovanie tej istej návnady: druhá kampaň s rovnakou šablónou meria pamäť, nie správanie.
- Malé vzorky: v desaťčlennom tíme znamená jedno kliknutie 10 %. Trend čítajte na úrovni firmy, tímové čísla berte ako orientáciu.
Ako ju čítať spolu s ďalšími metrikami
Phishingová simulácia je lievik: doručenie, otvorenie, kliknutie, zadanie údajov, nahlásenie. Miera kliknutí meria zlyhanie časti ľudí; miera nahlásení meria obranu celej organizácie. Program môže mať stabilnú mieru kliknutí a napriek tomu sa zlepšovať, ak rastie počet a rýchlosť nahlásení.
Ako mieru kliknutí znížiť
- Lekcia hneď po chybe: zamestnanec, ktorý zadal údaje, má v tej chvíli vidieť, čo správu prezradilo. O týždeň neskôr si už nepamätá ani e-mail.
- Pravidelnosť namiesto jednorazového testu: štvrťročné kampane s rôznymi návnadami, ktoré kopírujú druhy phishingu reálne mieriace na vaše odvetvie.
- Cielené scenáre podľa roly: faktúry a zmena bankového spojenia pre financie, zdieľané dokumenty a prihlásenie pre administratívu, výplatné pásky pre všetkých.
- Tlačidlo na nahlásenie jedným klikom a pochvala pre tých, ktorí nahlásia, aby sa kliknutie stalo výnimkou a nahlásenie normou.
- Prihlasovanie odolné voči phishingu, aby ani kliknutie, ktoré sa stane, nemalo pre útočníka hodnotu.
Časté otázky
Aká miera kliknutí je dobrá?
Pod 5 % po roku programu je hodnota, ktorú dosahujú organizácie s pravidelnými simuláciami a školením; 2 až 5 % drží len malá časť programov zameraných na zmenu správania. Dôležitejší než absolútne číslo je však trend: ak miera kliknutí klesá a miera nahlásení rastie pri porovnateľnej náročnosti šablón, program funguje.
Je 30 % na prvom teste zlyhanie?
Nie, je to norma. Priemer nezaškolených zamestnancov je podľa KnowBe4 33,1 % celosvetovo a 24,6 % vo firmách do 250 ľudí, takže tretina kliknutí na prvom teste znamená, že ste nameraný východiskový stav, nie nedbanlivú firmu. Zlyhaním by bolo nameraný stav nevyužiť na školenie a druhú kampaň.
Prečo miera kliknutí stúpla, keď sme zmenili šablónu?
Lebo ste zmenili náročnosť testu, nie správanie ľudí. Cielený e-mail v mene skutočného dodávateľa alebo HR oddelenia klikne výrazne viac ľudí než všeobecnú výhru v lotérii. Porovnávajte kampane s podobnou náročnosťou a trend čítajte po dvojiciach porovnateľných scenárov, inak sa program zdá horší alebo lepší, než je.
Má sa miera kliknutí reportovať podľa mien zamestnancov?
Vedeniu a audítorovi stačia agregované čísla za tímy a trend; menovité zoznamy nepotrebujú a zverejnené „zoznamy hriešnikov“ ničia ochotu nahlasovať. Individuálny výsledok má vidieť len zamestnanec sám v lekcii po chybe a prípadne administrátor programu na priradenie ďalšieho školenia, čo zároveň zodpovedá zásade minimalizácie údajov podľa GDPR.