Como fazer simulações de phishing sem quebrar a confiança dos colaboradores

Segundo a edição 2026 do Data Breach Investigations Report da Verizon, 62% das violações envolvem o elemento humano. Esse número explica por que a simulação de phishing virou um controle padrão em qualquer programa de segurança sério. Mas ele esconde uma segunda verdade: um programa de simulação mal desenhado pode causar dano real. Ele desgasta a confiança, sufoca os reportes de incidentes e ensina aos colaboradores que a equipe de segurança está tentando pegá-los no erro.

A diferença entre os dois resultados não está na ferramenta, e sim no desenho do programa. Este guia reúne as práticas que separam as simulações que mudam comportamento das que geram ressentimento, com base no que os dados atuais da Verizon, da KnowBe4 e do NIST de fato sustentam.

Por que a simulação funciona quando é bem feita

A evidência a favor de programas de simulação bem desenhados é sólida. O relatório Phishing by Industry Benchmarking 2026 da KnowBe4 se baseia em 42 milhões de e-mails de phishing simulados enviados a 14,8 milhões de usuários em 64.000 organizações. Segundo o relatório, empresas sem treinamento partem de uma taxa de propensão ao phishing de 33,2%: mais ou menos um em cada três colaboradores interage com o e-mail do teste inicial. Com treinamento e simulação combinados, a taxa cai para 20,1% aos noventa dias e para 4,2% aos doze meses.

Damos de propósito as taxas publicadas, e não uma manchete de "redução percentual". Os próprios resumos da KnowBe4 sobre os mesmos dados já trouxeram números de redução diferentes; duas taxas, por outro lado, qualquer pessoa consegue conferir.

O que isso significa para você: o que funciona é a continuidade, não um teste isolado. A simulação deve ser montada como um ciclo de medição e prática, não como um evento anual.

E o resultado mais importante desse ciclo não é o clique, e sim o reporte. Um e-mail de phishing reportado em dois minutos é tempo ganho para a resposta a incidentes. Um e-mail apagado ou clicado em silêncio não traz nada. Toda decisão de desenho deve empurrar em uma única direção: mais reportes, e mais rápidos.

O objetivo de uma simulação de phishing não é pegar ninguém no erro. É fazer com que reportar um e-mail suspeito vire um gesto tão automático quanto bloquear a tela.

No setor financeiro brasileiro, isso também conversa com a regulação. A Resolução CMN nº 4.893/2021 (alterada pela Resolução CMN nº 5.274/2025) prevê, no art. 3º, VI, a, programas de capacitação e de avaliação periódica de pessoal como parte da política de segurança cibernética, e a Resolução BCB nº 85/2021 faz o mesmo para instituições de pagamento. Simulações bem desenhadas são uma das formas mais diretas de dar conteúdo a essa "avaliação periódica". Detalhamos isso na nossa página de serviços financeiros.

Oito princípios para a simulação de phishing

1. Defina o objetivo antes do primeiro envio

"Reduzir cliques" não é um objetivo, é um efeito colateral. Escreva o que você quer mudar de verdade: o tempo até o primeiro reporte, a proporção de colaboradores que reportam em vez de ignorar o e-mail, o número de pessoas que clicam de novo nas equipes de alto risco. Garanta o apoio da diretoria para esses objetivos e para as regras básicas (sem punição, sem expor ninguém). Assim o programa fica protegido quando alguém com cargo alto clicar. E alguém com cargo alto vai clicar.

2. Meça uma linha de base honesta

Dispare a primeira campanha antes de qualquer anúncio ou treinamento, com um modelo de dificuldade média e na empresa inteira. É a única medição neutra que você vai ter, e qualquer melhoria que você defender depois vai se apoiar nela. Resista à tentação de suavizar o primeiro teste para os números ficarem bonitos.

3. Teste todo mês e torne tudo aleatório

O comportamento relaxa com o tempo, e o quadro de pessoal muda. Uma cadência mensal com horários de envio aleatórios, modelos que se alternam e grupos escalonados evita dois erros clássicos: a "temporada de phishing" trimestral que todo mundo aprende a prever e o envio em massa pontual que é descoberto em minutos no grupo de WhatsApp da empresa.

4. Ajuste a dificuldade com intenção

Se todas as simulações forem fáceis de detectar, as suas métricas vão fazer você parecer melhor do que é. Se todas forem spear phishing de alta qualidade, os colaboradores desenvolvem desamparo aprendido. A NIST Phish Scale permite pontuar de forma repetível a dificuldade de cada modelo segundo as pistas que ele contém e o quanto se encaixa no contexto. Assim você mistura níveis de dificuldade de propósito e interpreta as taxas de cliques com justiça: 12% de cliques em um modelo difícil é um resultado melhor do que 4% em um modelo óbvio.

Um exemplo concreto: um aviso da "Entregas Rápidas", uma transportadora fictícia, vindo de entregasrapidas.example e dizendo "falta o seu endereço de entrega", é um modelo fácil: o domínio do remetente, a saudação genérica e a urgência aparecem juntos. A versão do mesmo aviso que coincide com um pedido que o colaborador realmente está esperando e imita um fluxo interno de compras é muito mais difícil. Medir as duas com a mesma régua vai confundir você.

5. Nunca puna um clique

Neste ponto não cabe concessão. Programas que cortam bônus, expõem nomes ou ameaçam demissão de quem falha em uma simulação obtêm sempre o mesmo resultado: os reportes despencam, os colaboradores avisam uns aos outros e a equipe de segurança perde a relação de que mais precisa em um incidente real. Acompanhe as pessoas com treinamento, escale só os padrões persistentes e deixe tudo isso escrito nas regras do programa.

6. Meça o reporte, não só o clique

A taxa de cliques é a métrica de vitrine da simulação. Os números que preveem a resistência real são a taxa de reporte, a relação entre reportes e cliques e o tempo mediano entre a chegada do e-mail e o primeiro reporte. Uma equipe com 8% de cliques e 70% de reportes está muito mais segura do que uma com 3% de cliques em que ninguém reporta nada.

Explicamos como calcular e apresentar essas métricas no nosso artigo sobre métricas de simulação de phishing.

7. Vá além do e-mail

Os atacantes reais já foram. O phishing por voz (vishing), o phishing por SMS (smishing), as iscas com QR code (quishing) e a fadiga de notificações de MFA já são técnicas comuns de acesso inicial. Um programa que só testa e-mail mede o modelo de ameaças de ontem. Inclua cenários de SMS e QR code na rotação e complemente com treinamento baseado em cenários os canais que você não consegue simular com segurança. Acompanhamos a velocidade com que a combinação de canais muda na nossa compilação de estatísticas de engenharia social.

8. Agrupe por risco, não por organograma

O financeiro aprova pagamentos, os assistentes executivos cuidam de agendas e viagens, os administradores de TI têm acessos privilegiados. Cada grupo recebe iscas diferentes e merece cenários diferentes. Programas maduros atribuem a cada colaborador um nível de risco conforme a função, os acessos e o histórico nas simulações, e ajustam dificuldade e frequência a partir disso. O Human Risk Score existe justamente para isso: transforma resultados de simulação dispersos em um sinal de risco por pessoa sobre o qual dá para agir.

Plano de arranque de 90 dias

Dias 1–15: bases. Escreva as regras do programa (objetivos, regras básicas, abordagem sem punição), garanta o apoio da diretoria e instale e anuncie o botão de reportar phishing. Se os colaboradores não têm uma forma de reportar com um clique, resolva isso antes de tudo.

Dias 16–30: linha de base. Dispare a campanha inicial sem anúncio, com um modelo de dificuldade média já pontuado. Registre a taxa de cliques, a de reporte e o tempo até o primeiro reporte. Apresente os resultados à diretoria sem nomes.

Dias 31–60: primeiro ciclo de treinamento. Anuncie o programa contínuo. Entregue treinamentos curtos e adaptados a cada função; a pesquisa sobre a velocidade com que se esquece o que se aprende sustenta sessões curtas e frequentes em vez de uma maratona anual. Dispare a segunda campanha com modelos alternados e envios aleatórios.

Dias 61–90: rotina. Passe para a cadência mensal. Acrescente um cenário fora do e-mail. Coloque em prática o acompanhamento de reincidentes. Publique um painel do programa com a tendência de cliques e reportes; a transparência sobre os resultados agregados constrói a confiança que os programas punitivos destroem.

A partir do dia 91, o programa vira uma roda que gira sozinha: simular, medir, acompanhar, subir a dificuldade, repetir. A simulação de phishing da NOUSEC automatiza a mecânica (rotação de modelos, ajuste de dificuldade, agendamento por pessoa e treinamento na hora do clique) para que uma equipe de segurança pequena consiga conduzir um programa em escala de grande empresa.

Erros comuns que afundam os programas

Os mesmos padrões de fracasso aparecem de novo e de novo:

• testar em intervalos trimestrais que todo mundo prevê;
• julgar o programa só pela taxa de cliques;
• usar iscas com muita carga emocional (um falso bônus, um falso anúncio de demissões) que provocam reação em vez de aprendizado;
• deixar a alta liderança fora dos testes;
• tratar a simulação como o produto em si, e não como uma ferramenta de medição.

O phishing, o spoofing e suas variantes já são ameaças reais o bastante; não é preciso fabricar indignação dentro de casa.

Um programa de simulação de phishing é, no fundo, um exercício de construção de confiança em grande escala. Com objetivos claros, uma medição honesta e zero punição, no dia em que um ataque real chegar à caixa de entrada você terá o que procura: menos cliques e muito mais reportes.