#gophish

[blue-headline]

Best Phishing Simulation Tools for Small Businesses in 2026

Best Phishing Simulation Tools for Small Businesses in 2026 Phishing got smarter, which means your employee training has to get smarter too. CISA now warns that old clues like bad grammar are weaker than they used to be because AI can make scam messages look polished. That changes the job. Small businesses no longer need generic awareness slides. They need repeatable phishing simulations, fast…

Best Phishing Simulation Tools for Small Businesses in 2026

[prajna-alva]

Gophish Setup Guide: Launching Phishing Campaigns

Phishing Scenario : CASE 1 - Breaking news

Objective: The objective of this phishing campaign is to lure employees into clicking a malicious link disguised as breaking news from the company. The landing page masqueraded as a Gmail sign-in page, prompting users to enter their login credentials. This page was designed to steal users' email account credentials.

Install Gophish framework

Make the required changes in the config.json file

Launch Gophish and our first step would be to set up the sending profile by which we will send out phishing emails. 

Let’s assume that the target company is using Gmail server

(When setting up the sending profile in Gophish using a Gmail account, you have to enable 2FA and give app access to Gophish)

Since our target company is using Gmail server, we will use Gmail email on our phishing campaign so we have set host as smtp.gmail.com:587. After creating the sending profile, we have to test if the sending profile works by sending a test email.

We're using the email address [email protected] as our designated Gmail account for sending phishing emails. Make sure to include the password that was generated when granting Gophish access to this Gmail account. After configuring the sending profile, we can test it by sending a test mail.

This is what the test mail will look like:

Email Template

The next step involves integrating an email template for the phishing campaign. We can opt for a pre-made template, for example, here we use a Breaking News email template, for initial testing. We can incorporate a tracking image within the emails to monitor various engagement metrics, including email opens, clicks, and receipt statuses. It also has an option where we can add a link which will redirect the victim to the landing page. On the landing page we can proceed to request for more valuable information from the user.

Landing Page

In the third step, set up a landing page where targets will be directed after clicking a link in the email. This landing page plays a crucial role in the phishing campaign, as it's where you can capture sensitive information like passwords. Gophish defaults to using http://0.0.0.0:80 for the landing page, but we can customize it to look like a legitimate login page or other enticing content to attract targets. We'll need to specify a redirect page where users will be sent after submitting their credentials.

In the User & Groups section, you'll need to input the email addresses of your targets. Gophish framework requires you to provide the first name, last name, email address, and the rank of each target individual on the user groups page. You can also upload target details from a CSV file stored on your local system using import feature.

Install and set up Ngrok:

Install ngrok via Apt with the following command:

curl -s https://ngrok-agent.s3.amazonaws.com/ngrok.asc \

 | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null && echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \

  | sudo tee /etc/apt/sources.list.d/ngrok.list && sudo apt update && sudo apt install ngrok

Run the following command to add your authtoken to the default ngrok.yml configuration file.

ngrok config add-authtoken 2crm6P5lWlbTm4rwoGqn0QSHhPA_6nf7WmMJFKXVSD2SgBohF

Create an index.html page for the landing page and launch python http server in the port 8001

               • python3 -m http.server 8001

               Note: Verify in the browser if it's actually accessible.

We can also use other login page cloning techniques like built in gophish cloner, or Github projects (we used), Custom or by using third party clones (ex-goclone).

If it's a php file use the following command instead:

               • php -S localhost:8001 -t . 

Launch ngrok :

ngrok http http://localhost:8001/

Use the URL under forwarding and paste it on the Gophish URL section in the campaign page shown below:

Creating Gophish Campaign:

Go to the Campaigns section.

Choose the right email and landing page templates.

Enter the landing page server URL.

Select the target group.

Start the campaign and monitor its progress.

Once we click on the link we are directed to the landing page, where we can enter our credentials.

You can find all the phishing reports related to a specific campaign on the Dashboard in the Gophish framework. Here, you can see details such as sent emails, opened emails, clicked links, submitted data, and any emails reported as phishing by the targets. This page provides a comprehensive overview of the ongoing phishing campaign.

Phishing scenario: Case 2 - Password Reset Campaign

The aim of this phishing campaign is to trick users into divulging their login credentials by pretending to offer account protection in response to a fake mailbox compromise.

Users received an urgent email claiming their mailbox was compromised. They were directed to a phishing landing page disguised as a password reset portal.

Upon clicking the link, Users were redirected to a fake password reset page resembling the email service provider's design, where they were prompted to enter their login credentials.

[fortunatelycraftytimemachine]

Twenty years ago today my life took on a direction and meaning. Love and light, and friends, and music...20 years later and I’m still upside down, thanks Phish! #20yearslater #phishfriends #gophish #bestfriends #trainsong #friendsofinstagram (at Dearborn Heights, Michigan) https://www.instagram.com/p/B0JIE8NAXkq/?igshid=xkla25e9q3r0

[hisigata]

7/1は豆アジングのつもりでいつもの漁港へ。 ライトやグローブやキャップを忘れてテンションちょい⤵︎ ただ魚っ気はある。ちょいちょいあたってくる、針がかりしないくらいちっさいけど。ようやくかけたのは手持ち最小ワーム、アジメバアーミーが標準サイズに見えるくらいの…チーバス。5cm強くらい⁉︎べろべろの豆アジロッドが売り文句のul-6でもようやっと引きを感じられるくらい。 この後、遠投したシュラッグミノーの最初のフォールで海藻を引っ掛けたような感触。試しにロッドを立てつつゆる〜く巻いてみても手応えが変わらない。「やっぱり海藻か〜」と早巻きで回収にかかると、にわかに遠間で割れる水面。「あ、エラ洗い！」と慌ててテンションを保とうとするも後の祭りでした。見た感じギリギリハネサイズのチーバスさんやったのかなテンション。その後は陽も落ちてシュラッグミノーには反応無しorz 日没後潮も風も多少流れていて、常夜灯周りは10cmに満たない魚がワラワラと群れていて反応はあるものの1尾ポロリした後続かない。 いつもはその場所で粘るのですが、大きめサイズが回ってきそうにないので、旧港小岸壁へ移動。底近くスローな誘いであたってきたので、粘ってヒットに持ち込む。上がってきたのは金色でパタパタ動くやつ。手に取ろうと思ったら落ちて砂まみれに。フォルムは…サバ？アジ？色目はアジっぽいけど、このサイズでは体高とかで判断できない。尾部に小離鰭っぽいのが複数あるから小サバかな…。 さらに船道に移動して藻化け寸前のメバルを追加して終了。ようやく10cm以上の魚が釣れました。 なんにせよもうちょっと魚が大きく濃くなってくれないと小場所でのライトゲームはつらいなあ。 #GoPhish #RockSteady #ul6 #SHIMANO #Vanquish1000PGS #スズキ #セイゴ #シーバス #チーバス #サバ #アジ #メバル

[derechodelared]

El elemento humano es la parte más débil de cualquier sistema de seguridad. Puedes tener los mejores sistemas de seguridad del mundo pero, nada puede evitarte que un empleado haga clic dónde no debe. Esto unido a que cada vez los phishings son más elaborados, pone en riesgo tu empresa.

Para que puedas evitar este riesgo, te traémos una herramienta con la que podrás entrenarles para no convertirse en víctimas.

Hablámos de Gophish, una herramienta para la simulación de ataques de phishing y con ella podrás realizar entrenamiento de técnicas de Phishing. Se trata de un sistema de phishing de código abierto destinado a poner a disposición de cualquier persona/empresa/compañia el entrenamiento.

Sus principilaes virtudes son:

Es de código abierto y gratuito.

Esta escrito en el lenguaje de programación Go, por lo que es “descargar y jugar”.

Se encuentra alojado en la red interna de la compañia, evitándo fugas de información.

This slideshow requires JavaScript.

Por si todo esto fuera poco, posee una interfaz muy sencilla y permite que los administradores de sistema automaticen, sin complicación alguna, sus propias simulaciones de phishing.

Una vez descargada, al ejecutarla se inician dos servidores web, una base de datos y un agente en segundo plano, que gestionará el envío de correos electrónicos. Sólamente tienes que programar las campaña y ver cuántos de tus empleados son “pescados”.

Se encuentra disponible para Windows, Linux y OS X.

Más información | Gophish

Gophish, la herramienta para entrenar usuarios contra el Phising. El elemento humano es la parte más débil de cualquier sistema de seguridad. Puedes tener los mejores sistemas de seguridad del mundo pero, nada puede evitarte que un empleado haga clic dónde no debe.

[hisigata]

13日土曜日、朝からbd-1のタイヤ交換をして、昼には池田の1BANへ。 そこで見てしまったのがMajorcraftの型落ちロッド、CROSTAGE T792M。半値での投げ売りだったので、思わず買ってしまいました。メバルプラッギング用の竿が欲しかったんすよね。 さて買ったら試したくなるのが世の常と言うもの。や、bd-1のタイヤ交換後の試乗はまだですが…。ともあれ2週おきに中潮の夜に繰り出しているいつもの泉南の某漁港へ。 日没まで時間があったので、ul-6に軽量ジグヘッドでシャローの小魚と戯れたり。エコギアのミノーSSでさえ食いきれないソゲ(ヒラメの幼魚)がアタックしてきたりするものの、ロッドにさえアタリが出ないような小魚のバイトばかり。ヤリエのアジメバアーミー+アジメバライダーと言う極小の組み合わせにヒットしてきたのはこれまた極小のアナハゼ。これでボウズ逃れができたと言うことで、ここのところ足の遠退いていた小さなサーフに移動。 サーフの小さな突堤からFシステムでミノーSSクリアレッドFlk.を投げ込んでデッドスローでリトリーブ開始したところ「ずんっ！」と重いアタリ、次の瞬間「ぎゅるるるるっ」とドラグが鳴るので(アレやろなあ…)と思いつつアワセを入れると遠くでジャンプするボラ。それに驚いてもう一尾が時間差で跳ねる。その後３０分ほど場所を突堤から河口のゴロタ砂州に移動して格闘。ラインは大量の海藻を刈り取って魚以上の重さがプラスされ、今まで三度ティップが折れているCORTOに必要以上負担をかけぬようロッドに角度をつけすぎぬよう配慮しつつ、RevoMGXのドラグとラインパワーを頼りにファイトしたものの、 ゴロタ河口は遠浅過ぎて、ラインに海藻がのり過ぎて、ボラを河岸にぶりあげることができず敢えなくラインブレイク。困った。着けてたフロートまで持っていかれた…(ボラっちすまん)。夜の部のメインリグなのに…、あと持っているフロートは残浮力がマイナスのやつだけだ。 気を取り直して突堤に戻り再開したものの、フグにワームをかじられたくらいで(フグっちすまん)アタリをとれず。陽が落ちたサーフからいつもの突堤の対岸に移動しながらプラグを中心に打ってゆく。いつもの対岸からメバペンSPを打ち込んですぐにバイト。巻きアワセでフッキング。が、足場の下にある組石のところでバレる。この後テトラワークスのYURAMEKIでも2度フッキングまで持ち込むものの、同じようにバラしてしまう。場所をいつも打ち込む岬の上に移してミノーをとっかえひっかえするもT792Mに鱗付けをするに至らず、「今日はアナハゼだけかあ」と失意に沈みそうになったところでなんとか時合にミノーSS稚魚カラーのストップ&ゴーでメバル中小を二尾、ムラソイ中を一尾、さらに漁港奥のスロープでマッチ箱サイズのメバルを一尾追加。 あとは移動してもアタリが出ず、23時半前には納竿としたのでした。 #SONY #RX100M3 #GOPHISH #ul6 #アナハゼ #アンナハージー #メバル #ムラソイ #メバリング #エコギア ミノーSS #ヤリエ #アジメバアーミー #アジメバライダー

[hisigata]

さて、突堤を下りて水路やらスロープやらをランガン。 陽はまもなく落ちようという時間なのに、控え目に満ちつつある春の大潮の水面は風も少なく凪ぎ切っていた。マズメ時だというのに魚が浮いてきている様子もない。 ただ巻きやらボトムワインドやら試すとコツコツ、プルプルとあたるのだけどどうも再現性がない。これはどうもダートビームでは固すぎかでかすぎと判断してエコギアメバル職人のミノーSS稚魚カラーをul-6にセット。底をとってただ巻き時々ダートくらいで弾いているとヒット。予想通りマッチ箱サイズでした。 この後陽が落ちて、古い漁港にて巻きの釣りをあきらめて、ul-6+16Vanquish1000PGS+1lbフロロ+エコギアアジ職人アジマスト1.6ジグヘッド1.5gでリフト&フォールとかL字とか縦の釣りをしていたところ「モンッ」とした重いアタリ。ゆっくりスイープにアワセをいれると手応えも重い「海草？それとも…」と迷って竿を立てると重く動きだす。大きい！と思った瞬間に船の下に潜り込もうと走りだしドラグが鳴る。竿を煽って巻くと止まる。「切れた⁉」と思ったらまだいる。ここで十分弱らせればよかったのだけど慌ててドラグを2ノッチ絞めると、次に走った瞬間呆気なくラインブレイク。1lbで相手するならもっとじっくりいくべきでしたorz 最初はボラか小チヌか大きなメバルかとも思ったけど、これもアイナメとかだったかも。ul-6くらいベロベロの竿でなければ食い込んでくれなさそうなアタリでした。あ、トラウトタックルの方が良かったのかも。 #SONY #RX100M3 #メバル #エコギア #メバル職人 #ミノーSS #GoPhish #ul6 #RockSteady

[thesecuritysleuth]

Sunday Round up: 7th of February 2016

Here is some Infosec news for the The first week of February, Its a short one this week - working on more original content for you guys :)

Articles:

Gophish – Open-Source Phishing Framework http://www.darknet.org.uk/2016/02/gophish-open-source-phishing-framework/

Hacking Smartphones Running on MediaTek Processors: http://thehackernews.com/2016/02/mediatek-hacking-mobile.html?m=1

Hacker Art: http://www.arthackday.net/

Twitter:

malware-jail#sandbox for semi-automatic #Javascript malware analysis and payload extraction https://t.co/JSQRN7cgXF

— Florian Roth (@Cyb3rOps) January 30, 2016

"Latest Windows 10 May Have a Linux Subsystem Hidden Inside" #infosec #feedly https://t.co/LzegweYwCi

— The Security Sleuth (@Security_Sleuth) February 4, 2016

"Mystery hacker pwns Dridex Trojan botnet... to serve antivirus installer" #infosec #feedly https://t.co/E0QzlDAdb5

— The Security Sleuth (@Security_Sleuth) February 4, 2016

Read last weeks round up here

If you found some other interesting stuff this week feel free to leave a link to it in the comments section.