Uma simulação de phishing envia e-mails falsos, mas inofensivos, para os colaboradores e mede quem clica, quem entrega a senha e quem avisa a equipe de segurança. Este guia explica como montar uma campanha, o que medir e como usar o resultado sem punir ninguém.
Equipe XPSec SecurityAtualizado em 3 min de leitura
A maior parte dos ataques começa numa pessoa. O relatório DBIR 2024 da Verizon, um dos estudos mais citados do setor, aponta que cerca de dois terços das violações envolvem o fator humano: um clique, uma senha digitada no lugar errado, um anexo aberto.
Treinamento em vídeo ajuda pouco sozinho. A simulação mostra como as pessoas reagem de verdade, em quais áreas o risco é maior e se o treinamento está funcionando ao longo do tempo. Para entender por que esse vetor é tão explorado, leia engenharia social: por que seus colaboradores são o vetor mais explorado.
Liderança, RH e jurídico aprovam a campanha, os públicos e os temas proibidos. A equipe de TI libera o envio nos filtros de e-mail para os testes chegarem.
Mensagens plausíveis para a realidade da empresa: aviso de senha expirando, documento compartilhado, boleto, entrega pendente, convite de reunião.
Os e-mails saem em lotes e horários diferentes para evitar que um colega avise o outro e distorça o resultado.
Quem clica vê na hora uma página explicando os sinais que deveria ter notado. É o momento em que a lição mais fica.
Resultados por área, por cenário e comparados com campanhas anteriores, com recomendação de treinamento.
| Métrica | O que mostra | Observação |
|---|---|---|
| Taxa de clique | Quantos abriram o link | A mais citada, mas sozinha diz pouco |
| Envio de credenciais | Quantos digitaram usuário e senha | É o que de fato daria acesso ao atacante |
| Taxa de reporte | Quantos avisaram a segurança | A métrica mais importante: mede a defesa ativa |
| Tempo até o primeiro reporte | Quão rápido a empresa reage | Num ataque real, define quanto estrago dá para evitar |
| Reincidência | Quem cai em mais de uma campanha | Aponta onde concentrar treinamento |
Bons cenários imitam o que atacantes realmente usam contra empresas brasileiras: falso aviso do Microsoft 365, boleto ou nota fiscal, falso alerta do banco, QR code em PDF (o chamado quishing) e falso contato de fornecedor.
A campanha trata dados pessoais dos colaboradores (e-mail, nome, área e o comportamento registrado). A base legal costuma ser o legítimo interesse da empresa em proteger seus sistemas, mas isso exige cuidados: coletar só o necessário, restringir quem vê os resultados individuais, definir por quanto tempo guardar e informar os colaboradores, normalmente na política de segurança.
Senhas digitadas nas páginas falsas nunca devem ser armazenadas. O registro é apenas de que houve o envio.
Uma campanha isolada mostra uma foto. O valor aparece na comparação: a mesma empresa, em campanhas ao longo do ano, com o reporte subindo e o envio de credenciais caindo. Quem está começando costuma partir de uma campanha anual, com resultado por área, e ir aumentando a frequência conforme o programa amadurece.
Se a sua dúvida não estiver aqui, pergunte direto para a equipe.
Enviar uma perguntaSim, quando aprovada pela empresa e feita com cuidado com dados pessoais. Os e-mails partem de infraestrutura controlada e nenhuma senha digitada é armazenada.
Precisam saber que a empresa faz simulações, normalmente pela política de segurança. Data e conteúdo de cada campanha não são anunciados, senão o teste perde o valor.
Varia muito com o cenário. Mais útil que perseguir um número absoluto é acompanhar a evolução: menos credenciais enviadas e mais reportes a cada campanha.
Mostrar na hora o que deixou passar e oferecer um treinamento curto. Punir faz as pessoas esconderem erros, e num ataque real o que você mais quer é que elas avisem.
Firewalls não protegem contra manipulação humana. Entenda como ataques de engenharia social funcionam e como campanhas de phishing simulado reduzem esse risco.
Directory listing ligado e histórico de comandos acessível transformaram o servidor de um grupo de phishing em um livro aberto. Entenda o que os logs revelaram e como se defender de ataques AiTM e device code.
A LGPD exige medidas técnicas de proteção de dados. Entenda como pentests e monitoramento de vazamentos ajudam a demonstrar diligência e evitar sanções.
Conte o que precisa proteger. Em até 24 horas úteis você recebe uma proposta com preço fechado. A primeira conversa não tem custo.
Prefere conversar antes? Agende uma reunião ou escreva para info@xpsecsecurity.io.