A NOUSEC trata as duas coisas que tornam diferente o risco humano na indústria e na energia: a cadeia de suprimentos e o chão de fábrica. Segundo o Verizon DBIR, há um terceiro envolvido em 61% dos vazamentos na indústria, a maior proporção do relatório. Por isso os cenários que importam são a alteração dos dados bancários do fornecedor, o cadastro de novos fornecedores e as falsas vagas de emprego para equipes de operação. E, como muitos colaboradores não têm computador próprio, a NOUSEC simula ataques por QR code, pen drive USB, SMS e WhatsApp além do e-mail, e entrega treinamento em formatos curtos, cartazes e infográficos para onde não há tela.
O setor mais atacado há cinco anos.
A sua cadeia de suprimentos é uma superfície de ataque social.
Os 61% de terceiros não são um problema que um questionário de risco de fornecedores resolve. São um problema humano que chega com um pedido de compra.
| Pretexto | Por que funciona | O controle que resiste |
|---|---|---|
| Alteração dos dados bancários do fornecedor | Vem de dentro de uma relação comercial real, no tom certo e no momento perfeitamente plausível do ciclo de faturamento. | Confirmar com o contato já cadastrado, nunca pelos dados de contato que vêm no próprio pedido. |
| Cadastro de novo fornecedor ou cotação falsa | O trabalho de compras é justamente responder rápido a fornecedores novos. | Um processo definido de cadastro de fornecedores que não aceita documentos fora do canal habitual. |
| Falsa vaga de emprego para equipes de operação | Lisonjeia o alvo, fala com ele como pessoa física e acontece inteiramente fora dos canais corporativos. | Treinamento que dá nome ao padrão e um caminho de reporte que não custa nada ao colaborador. |
Não é hipótese. No seu relatório anual de OT de 2026, a Dragos descreve o grupo de ameaça que rastreia como PYROXENE conduzindo campanhas plurianuais de engenharia social pela cadeia de suprimentos contra equipes de operação, incluindo perfis falsos no LinkedIn de supostos recrutadores.[13]
A maioria das pessoas que você precisa alcançar não lê e-mail.
Trabalho em turnos, terminais compartilhados e, em muitas funções, nenhuma caixa de e-mail pessoal. Três grupos, três respostas.
Chão de fábrica e equipes de campo
Trabalho em turnos, terminais compartilhados e, em muitas funções, nenhuma caixa de e-mail pessoal. Simulações por QR code e pen drive chegam aonde o e-mail não chega, e o treinamento vem em cartazes, infográficos e módulos curtos em vez de um curso de vinte minutos.
Compras, contabilidade e engenharia
O grupo que os cenários de cadeia de suprimentos realmente miram. Simulação por e-mail, SMS, WhatsApp e retorno de ligação, módulos de BEC e roubo de credenciais e atribuição que se adapta ao erro medido.
Equipes de OT e salas de controle
Treinadas em controles de procedimento, não em reconhecer mídia sintética: caminhos de escalonamento, confirmação fora do canal habitual e uma posição honesta sobre o que uma pessoa consegue ou não distinguir.
14 formatos, 30 idiomas (9 totalmente localizados hoje e 21 sob demanda) e um currículo que cobre fraude de fornecedores, BEC, roubo de credenciais e anexos maliciosos. Para grupos com operações em vários países: white label completo e gestão automática de moedas.
A pergunta do auditor e o registro que responde a ela.
O denominador comum de qualquer planta é a ISO/IEC 27001, e a LGPD pede medidas de segurança para os dados pessoais que vocês tratam.
| Norma | Artigo | O que exige | Como a NOUSEC comprova |
|---|---|---|---|
| ISO/IEC 27001:2022[5] | 7.2 / 7.3, Anexo A 6.3 | Competência e conscientização; conscientização, educação e treinamento em segurança da informação. | Página pública de verificação de certificados; registro de conclusão verificado no servidor. |
| LGPD (Lei nº 13.709/2018)[22] | Art. 46 | Medidas de segurança técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e incidentes. | Simulação multicanal, incluindo QR code e USB; conclusão verificada por colaborador; registro exportável. |
| NIS2 (grupos com operações na UE)[3] | 21(2)(g) | Higiene cibernética e treinamento em cibersegurança como medidas mínimas; energia no Anexo I, parte da indústria no Anexo II. | Comprovação de conclusão, não um registro de atribuição. |
Os resumos regulatórios são orientativos e não constituem assessoria jurídica. O escopo e a classificação dependem do seu setor e das regras do seu regulador. Controle de conclusão e painel de compliance a partir do Essentials; aceite de políticas e verificação de certificados a partir do Professional; trilha de auditoria e exportação para SIEM no Enterprise.
Quatro mecanismos em que esta página se apoia.
QR code e pen drive USB
Formatos que dispensam tela
Atribuição que se adapta ao erro medido
White label entre países
Leituras relacionadas (em inglês): ataques de phishing por QR code; e os verbetes do glossário fraude de fatura, OSINT e pretexting. A nossa própria postura de segurança está nas páginas central de confiança e segurança.
Perguntas
O que o CISO de um grupo com plantas em vários países pergunta primeiro.
Cada número desta página e de onde ele vem
Última revisão: 21 de outubro de 2026. As citações regulatórias são conferidas com o texto consolidado oficial a cada revisão.
- 2026 Data Breach Investigations ReportVerizon Business — seção setorial, p. 84, Finanças e Seguros (NAICS 52). Base: mais de 31.000 incidentes, mais de 22.000 violações confirmadas, 145 países, out. 2024 – nov. 2025 · 2026Usado para: Indústria (31–33): 3.627 incidentes; 61% com envolvimento de terceiros; 77% dos ataques sociais foram phishing; engenharia social é o segundo padrão de vazamento mais comum no setor (a única posição que o relatório cita explicitamente).
- X-Force Threat Intelligence Index 2026IBM — publicado em 25 de fevereiro de 2026, com dados de 2025 · 2026Usado para: Indústria como o setor mais atacado pelo quinto ano consecutivo; 27,7% dos incidentes observados.
- OT Cybersecurity Year in ReviewDragos — 9ª edição anual, 17 de fevereiro de 2026 · 2026Usado para: 119 grupos de ransomware, alta de 49% sobre os 80 de 2024, 3.300 organizações industriais, mais de dois terços das vítimas na indústria; campanhas plurianuais de engenharia social via cadeia de suprimentos do PYROXENE contra equipes de operação. Os 49% são o aumento no número de grupos rastreados, não no de vítimas ou ataques.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022International Organization for Standardization — 3ª edição · 2022Usado para: Cláusulas 7.2 e 7.3 e o título do controle A.6.3 do Anexo A.
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD)Presidência da República — art. 46 (medidas de segurança) e art. 50 (regras de boas práticas e de governança) · 2018Usado para: Art. 46: medidas de segurança técnicas e administrativas para proteger dados pessoais.
- Directive (EU) 2022/2555 (NIS2)Jornal Oficial da União Europeia, JO L 333, 27/12/2022 · 2022Usado para: Para grupos com operações na UE: art. 21(2)(g); Anexo I.1 e Anexo II.5; classificação por porte conforme o art. 3.