A maioria dos ataques começa com um e-mail. Uma campanha de phishing controlada mede quem abre, quem clica e quem digita a senha, por departamento, para o treinamento ir exatamente onde o risco está.
O que está incluso
Quem cuida da segurança e quem aprova o orçamento procuram coisas diferentes. Escolha a sua leitura.
Boa parte dos incidentes graves começa com um funcionário clicando em um e-mail. Testar isso de forma controlada mostra o tamanho real do risco.
Palestra genérica não move a agulha. A simulação diz quem cai e em qual área, para o treinamento ir ao ponto e ter como ser comparado depois.
A taxa de clique é um indicador que a diretoria entende e acompanha ao longo do tempo, campanha após campanha.
LGPD, ISO 27001 e PCI DSS exigem programas de conscientização. A campanha gera a evidência de que o fator humano foi testado.
A simulação é montada para o seu contexto. Um projeto pode combinar vários cenários.
O clássico: um e-mail em massa com um link ou anexo que parece legítimo.
Mensagem personalizada para uma pessoa ou área, como o financeiro ou a diretoria.
Página de login idêntica à real para medir quem chega a digitar a senha.
Um arquivo que parece uma nota fiscal ou planilha e monitora quem abre.
Aviso do RH, de TI ou da diretoria, os temas em que as pessoas mais confiam.
Campanhas por QR code ou SMS, conforme o canal que a sua empresa usa.
Resultados típicos de uma simulação de phishing, com o recorte por área.
Taxa de clique geral: 31%
Quase um terço dos funcionários clicou no link do e-mail de teste.
Financeiro: 22% digitaram a senha
Na área de maior risco, mais de um em cada cinco entregou a credencial na página falsa.
Atendimento: 48% de clique
O time com mais volume de e-mail externo foi o que mais caiu.
Diretoria: 1 clique de 9
Grupo pequeno, mas de alto impacto; um clique já justifica treinamento direcionado.
Tempo até o primeiro clique: 2 min
O primeiro clique veio dois minutos após o envio, antes de qualquer alerta.
Recomendação de treinamento emitida por departamento
Definimos os alvos, os cenários e a janela de envio. Contrato e NDA assinados antes de começar.
Montamos os e-mails, as páginas de captura e a infraestrutura da campanha, sem risco para a sua operação.
Enviamos os cenários e medimos quem abre, clica e digita a credencial, por área.
Entregamos o resultado por departamento, o relatório executivo e a recomendação de treinamento.
Rede interna e Active Directory
O que está exposto na internet
Teste autenticado, com acesso de usuário
LLMs, chatbots e agentes
AWS, Azure e Google Cloud
Apps Android e iOS
Campanha que mede o risco humano
Você está nesta página
Se a sua dúvida não estiver aqui, pergunte direto para a equipe.
Enviar uma perguntaNão. O objetivo é medir e treinar, não punir. Os resultados são tratados de forma agregada e confidencial; o foco é a taxa por área, não o nome de quem clicou.
Não. Os domínios, as páginas de captura e os anexos são nossos e monitorados. Nada que roda na campanha compromete os seus sistemas; só medimos o comportamento.
Sim. Esses frameworks exigem conscientização sobre o fator humano. O relatório da campanha é a evidência de que o risco foi testado e medido.
A campanha entrega a recomendação de treinamento por grupo. A execução do treinamento pode ser contratada à parte, pela XPSec Academy, para fechar o ciclo medir e capacitar.
No Continuous a campanha de phishing já vem inclusa uma vez por ano, e no Strategic ela entra como parte da operação de Red Team. Esta página é para quem quer contratar a simulação de forma avulsa ou com mais frequência.
Firewalls não protegem contra manipulação humana. Entenda como ataques de engenharia social funcionam e como campanhas de phishing simulado reduzem esse risco.
Directory listing ligado e histórico de comandos acessível transformaram o servidor de um grupo de phishing em um livro aberto. Entenda o que os logs revelaram e como se defender de ataques AiTM e device code.
Entenda como funciona um teste de invasão, o que ele avalia e por que esperar um incidente para agir pode custar milhões à sua organização.
Conte sobre a sua empresa e o número de pessoas. Em até 24h úteis você recebe escopo, prazo e preço fechados.
Prefere conversar antes? Agende uma reunião ou escreva para info@xpsecsecurity.io.