Phishing: como treinar funcionários e medir se funcionou

Treinar funcionários contra phishing funciona melhor como um programa contínuo do que como uma palestra anual: conteúdos curtos e frequentes, simulações periódicas de mensagens fraudulentas, um botão ou canal fácil para reportar suspeitas e retorno imediato a quem errou. Para medir se funcionou, acompanhe a taxa de reporte e o tempo até o primeiro aviso, além da taxa de cliques. Um funcionário que reporta é mais útil do que um que apenas não clica.

Phishing é a tentativa de enganar uma pessoa, normalmente por e-mail, mensagem ou telefone, para que ela entregue credenciais, faça um pagamento, abra um arquivo malicioso ou execute alguma ação que favorece o golpista. É uma das portas de entrada mais comuns para ataques, porque explora a confiança e a pressa, não uma falha técnica.

Por que o treinamento importa para a empresa?

Muitos golpes de phishing buscam senhas e acessos. Quando um funcionário entrega a credencial em uma página falsa, o atacante passa a agir como se fosse ele.

Isso tem consequências que vão além da TI:

• Regulatórias. O regulamento de comunicação de incidentes da ANPD, aprovado pela Resolução CD/ANPD nº 15/2024, inclui dados de autenticação em sistemas entre os critérios que podem tornar um incidente de risco ou dano relevante, com prazo de três dias úteis para comunicar a ANPD e os titulares.
• Técnicas. Falhas de autenticação ocupam a categoria A07 da edição 2025 do OWASP Top 10, referência de riscos em aplicações web.
• Financeiras. Golpes que imitam fornecedores ou executivos podem levar a pagamentos indevidos.
• Legais. A LGPD exige medidas técnicas e administrativas de segurança (art. 46). Treinamento é uma medida administrativa.

O que um programa de treinamento precisa ter?

Um programa eficaz combina educação, prática e processo. Os componentes básicos:

1. Conteúdo curto e frequente. Peças de poucos minutos, distribuídas ao longo do ano, funcionam melhor do que uma sessão longa e esquecível.
2. Exemplos reais e locais. Golpes que imitam bancos, transportadoras, órgãos públicos, ferramentas de assinatura eletrônica e fornecedores que a empresa realmente usa.
3. Simulações periódicas. Mensagens fraudulentas controladas, enviadas pela própria empresa ou por um fornecedor, para praticar o reconhecimento.
4. Canal de reporte simples. Um botão no cliente de e-mail ou um endereço fácil de lembrar. Se reportar dá trabalho, ninguém reporta.
5. Retorno imediato. Quem cai na simulação vê na hora uma explicação curta do que deixou passar.
6. Conteúdo por função. Financeiro, RH, atendimento e diretoria recebem golpes diferentes e precisam de exemplos diferentes.
7. Processo para pedidos sensíveis. Pagamentos, troca de dados bancários e redefinição de senha exigem confirmação por um segundo canal, independentemente do treinamento.

Como fazer simulações sem criar um ambiente de punição?

Simulações bem conduzidas ensinam. Mal conduzidas, criam medo e fazem as pessoas esconderem erros, o que é o oposto do desejado.

Algumas regras ajudam:

• Comunique a existência do programa antes de começar. Não é preciso avisar a data de cada simulação.
• Não exponha nomes de quem clicou. Relatórios devem ser agregados por área.
• Não use temas que causem sofrimento real, como demissões, saúde ou benefícios cortados.
• Comece com mensagens mais fáceis de perceber e aumente a dificuldade aos poucos.
• Agradeça e reconheça quem reporta, inclusive quando reporta uma mensagem legítima.
• Trate quem clica repetidamente com reforço de treinamento, não com punição.

Antes de contratar um fornecedor de simulação, combine por escrito o tratamento dos dados coletados (quem clicou, quem digitou algo), porque são dados pessoais dos funcionários sujeitos à LGPD.

Quais métricas mostram se o treinamento funcionou?

A taxa de cliques é a métrica mais citada, mas sozinha engana. Ela varia muito com a dificuldade da mensagem simulada. Uma simulação fácil gera poucos cliques e uma falsa sensação de segurança.

Acompanhe a evolução ao longo dos meses, por área, e não o resultado de uma simulação isolada.

O que o treinamento não resolve?

Mesmo com um bom programa, alguém vai clicar algum dia. Por isso o treinamento precisa vir acompanhado de controles técnicos:

• Autenticação multifator nas contas, de preferência com métodos resistentes a phishing, como chaves físicas ou passkeys. Veja o guia de MFA e gestão de acessos.
• Filtros de e-mail e configuração de autenticação do domínio da empresa, para dificultar que golpistas se passem por ela.
• Menor privilégio, para que uma conta comprometida tenha alcance limitado.
• Monitoramento e resposta, para perceber rapidamente o uso indevido de uma credencial. Esse é o papel de um SOC.
• Plano de resposta a incidentes, com o passo a passo para quando uma credencial for entregue. Veja resposta a incidentes.

Como contratar um fornecedor de treinamento e simulação?

Ao comparar propostas, pergunte:

• O conteúdo é em português e com exemplos do mercado brasileiro?
• É possível adaptar simulações por área e por nível de dificuldade?
• Como o reporte é integrado ao e-mail da empresa?
• Que métricas o relatório traz, além da taxa de cliques?
• Onde ficam armazenados os dados dos funcionários, por quanto tempo, e como são descartados?
• O fornecedor apoia a criação do processo de confirmação de pedidos sensíveis?

Próximo passo

Para encontrar fornecedores de conscientização e simulação de phishing, compare as empresas de cibersegurança e consulte os rankings da categoria. Se a sua empresa oferece treinamento em segurança, crie ou reivindique o perfil gratuito e descreva a metodologia.

Fontes

• Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança — dados de autenticação em sistemas como critério de risco ou dano relevante
• ANPD — Comunicação de incidente de segurança — prazo de três dias úteis para comunicar a ANPD e os titulares
• OWASP — OWASP Top 10:2025 — categoria A07:2025 Authentication Failures
• Planalto — Lei nº 13.709/2018 (LGPD) — dever de adotar medidas técnicas e administrativas de segurança (art. 46)