A NOUSEC dá a bancos e instituições de pagamento as evidências que a regulação do Banco Central pede e as simulações que a fraude usa hoje. A Resolução CMN nº 4.893/2021 (art. 3º, VI) inclui, entre os mecanismos de cultura de segurança cibernética, programas de capacitação e de avaliação periódica de pessoal; a Resolução BCB nº 85/2021 traz a mesma exigência para instituições de pagamento. A NOUSEC simula ataques em oito canais (voz e vídeo deepfake no Enterprise), atribui treinamento direcionado a quem cai, verifica a conclusão no servidor e mostra qual módulo realmente reduziu os cliques.
O seu setor, com os números dele.
O controle funcionou. Esse é o problema.
Todo caso de fraude com deepfake divulgado nos últimos dois anos foi interrompido — ou não — por um passo de procedimento, e não pelo ouvido de alguém.
| Caso | Canal | Pedido | Resultado |
|---|---|---|---|
| Arup, fev. 2024 | Videochamada com vários participantes | 15 transferências | Cerca de US$ 25,6 milhões pagos[7] |
| Ferrari, jul. 2024 | Ligação de voz se passando pelo CEO | Negócio urgente e confidencial | Interrompida: o executivo fez uma pergunta que só o CEO verdadeiro saberia responder[8] |
| LastPass, abr. 2024 | Voz deepfake pelo WhatsApp | Contato fora do canal habitual | Interrompida: o colaborador reportou a tentativa[9] |
As duas tentativas interrompidas não tiveram nada a ver com detecção. Ninguém percebeu um artefato sintético na voz. Um aplicou um passo de verificação que o atacante não conseguia cumprir; o outro notou que o próprio canal estava errado e reportou em vez de responder.
Isso é controle de procedimento e cultura de reporte, e os dois podem ser treinados. Pedir às pessoas que prestem mais atenção ao que ouvem não melhora nenhum deles. A posição honesta que ensinamos é: os pares de vozes mais difíceis não podem ser distinguidos de ouvido.
Por isso o objetivo do treinamento não é a percepção, e sim: confirmar por um canal que você já controla, ter um caminho de escalonamento para qualquer alteração nos dados bancários de um fornecedor e uma organização em que dizer “não” ao CEO é seguro.
Finanças, tesouraria e todos que movimentam dinheiro.
Neste setor o problema não é cobertura — quase todo colaborador tem uma caixa de e-mail. O problema é o direcionamento: o maior risco por transação está nos menores grupos, e eles precisam de uma campanha diferente da de todo mundo.
Pagamentos e tesouraria
O alvo de maior valor e o grupo menor. Precisam de simulações de spear phishing e de retorno de ligação, não do mesmo módulo anual que todo mundo recebe.
Atendimento e agências
Foram treinados para ser prestativos e rápidos — exatamente o que um golpe de falsa identidade explora. A trilha adaptativa atribui treinamento conforme o erro medido, não conforme uma suposição sobre o cargo.
Alta administração
A Resolução CMN 4.893 inclui o comprometimento da alta administração entre os mecanismos de cultura de segurança cibernética (art. 3º, VI, c). A comprovação de conclusão da diretoria precisa ser igualmente defensável.
O dispositivo e a evidência que o atende.
A quarta coluna é a única que cita o produto, e ela nomeia um mecanismo, não uma intenção. Citamos o artigo e resumimos o conteúdo com as nossas palavras; para o texto oficial, consulte a norma.
| Norma | Artigo | O que exige | Como a NOUSEC comprova |
|---|---|---|---|
| Resolução CMN nº 4.893/2021[20] | Art. 3º, VI, a | Entre os mecanismos para disseminar a cultura de segurança cibernética: programas de capacitação e de avaliação periódica de pessoal. Alterada pela Resolução CMN nº 5.274/2025. | Treinamento atribuído por grupo e papel; conclusão verificada no servidor; simulações recorrentes em 8 canais como avaliação periódica; registro exportável por colaborador. |
| Resolução CMN nº 4.893/2021 | Art. 3º, VI, b | Prestar informações a clientes e usuários sobre precauções no uso de produtos e serviços financeiros. | Fora do escopo da NOUSEC: a plataforma treina e testa colaboradores, não clientes. |
| Resolução CMN nº 4.893/2021 | Art. 3º, VI, c | Comprometimento da alta administração com a melhoria contínua dos procedimentos de segurança cibernética. | Grupo da diretoria com comprovação de conclusão própria; Human Risk Score com detalhamento por componente para o relatório ao conselho. |
| Resolução BCB nº 85/2021[21] | Art. 3º, VI, a | A mesma exigência de capacitação e avaliação periódica de pessoal, para instituições de pagamento. | Os mesmos mecanismos acima, com certificados independentes por grupo. |
| LGPD (Lei nº 13.709/2018)[22] | Art. 46 | Medidas de segurança técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e incidentes. | Treinamento e simulação como medida administrativa documentada; aceite de políticas registrado; trilha de auditoria. |
| ISO/IEC 27001:2022[5] | 7.2 / 7.3, Anexo A 6.3 | Competência e conscientização; conscientização, educação e treinamento em segurança da informação. | Página pública de verificação de certificados; trilha de auditoria. |
Os resumos regulatórios são orientativos e não constituem assessoria jurídica. O escopo e a classificação dependem do seu setor e das regras do seu regulador. Controle de conclusão e painel de compliance a partir do Essentials; aceite de políticas, verificação de certificados e Human Risk Score a partir do Professional; trilha de auditoria e exportação para SIEM no Enterprise.
Quatro mecanismos em que esta página se apoia.
Controle de conclusão no servidor
Oito canais de simulação
Uma pontuação que mostra o cálculo
Sincronização de diretório e e-mail
Perguntas
O que um CISO ou encarregado de dados (DPO) de uma instituição financeira pergunta primeiro.
Cada número desta página e de onde ele vem
Última revisão: 21 de outubro de 2026. As citações regulatórias são conferidas com o texto consolidado oficial a cada revisão.
- 2026 Data Breach Investigations ReportVerizon Business — seção setorial, p. 84, Finanças e Seguros (NAICS 52). Base: mais de 31.000 incidentes, mais de 22.000 violações confirmadas, 145 países, out. 2024 – nov. 2025 · 2026Usado para: Setor de finanças e seguros (NAICS 52): 3.809 incidentes e 1.300 vazamentos de dados confirmados; 65% com elemento humano; phishing em 20% dos vetores de acesso inicial, contra 22% de exploração de vulnerabilidades; 88% de agentes externos e 98% com motivação financeira.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022International Organization for Standardization — 3ª edição · 2022Usado para: Cláusulas 7.2 e 7.3 e o título do controle A.6.3 do Anexo A.
- Internet Crime Report 2025FBI Internet Crime Complaint Center (IC3) · 2026Usado para: Comprometimento de e-mail corporativo (BEC): 24.768 denúncias e perdas declaradas de US$ 3.046.598.558.
- Arup confirms it was the victim of a $25 million deepfake fraudCNN — reportagem sobre o caso Arup, fevereiro de 2024 · 2024Usado para: US$ 25,6 milhões pagos em 15 transferências após uma videochamada com deepfake.
- Ferrari executive foils deepfake attempt by asking the caller a questionFortune — reportagem sobre a tentativa contra a Ferrari, julho de 2024 · 2024Usado para: Tentativa interrompida com uma pergunta de verificação que só o CEO verdadeiro saberia responder.
- Attempted audio deepfake call targets LastPass employeeBlog da empresa LastPass · 2024Usado para: Deepfake da voz do CEO pelo WhatsApp; o colaborador reportou em vez de responder.
- Resolução CMN nº 4.893, de 26 de fevereiro de 2021Conselho Monetário Nacional / Banco Central do Brasil — art. 3º, VI, a (capacitação e avaliação periódica de pessoal); alterada pela Resolução CMN nº 5.274/2025 · 2021Usado para: Art. 3º, VI: mecanismos para disseminar a cultura de segurança cibernética na instituição, incluindo programas de capacitação e de avaliação periódica de pessoal (a), informações a clientes e usuários sobre precauções (b) e o comprometimento da alta administração (c). Alterada pela Resolução CMN nº 5.274/2025.
- Resolução BCB nº 85, de 8 de abril de 2021Banco Central do Brasil — instituições de pagamento, art. 3º, VI, a (capacitação e avaliação periódica de pessoal) · 2021Usado para: Art. 3º, VI, a: a mesma exigência de capacitação e avaliação periódica de pessoal, para instituições de pagamento.
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD)Presidência da República — art. 46 (medidas de segurança) e art. 50 (regras de boas práticas e de governança) · 2018Usado para: Art. 46: medidas de segurança técnicas e administrativas para proteger dados pessoais; art. 50: regras de boas práticas e de governança, que podem incluir ações educativas (facultativo).