# Phishing: como treinar funcionários e medir se funcionou — Citeo > Treinar funcionários contra phishing funciona melhor como programa contínuo, com conteúdo curto, simulações periódicas e um canal fácil para reportar mensa... Fonte: https://mail.citeo.com.br/artigo/phishing-como-treinar-funcionarios · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Segurança# Phishing: como treinar funcionários e medir se funcionou **Redação Citeo** Publicado em 18/10/2026 Revisado em 18/10/2026 5 min de leitura Resposta rápidaTreinar funcionários contra phishing funciona melhor como programa contínuo, com conteúdo curto, simulações periódicas e um canal fácil para reportar mensagens suspeitas. O sucesso se mede pela taxa de reporte e pelo tempo até o primeiro aviso, não só por quantas pessoas clicaram. Treinar funcionários contra phishing funciona melhor como um programa contínuo do que como uma palestra anual: conteúdos curtos e frequentes, simulações periódicas de mensagens fraudulentas, um botão ou canal fácil para reportar suspeitas e retorno imediato a quem errou. Para medir se funcionou, acompanhe a taxa de reporte e o tempo até o primeiro aviso, além da taxa de cliques. Um funcionário que reporta é mais útil do que um que apenas não clica. Phishing é a tentativa de enganar uma pessoa, normalmente por e-mail, mensagem ou telefone, para que ela entregue credenciais, faça um pagamento, abra um arquivo malicioso ou execute alguma ação que favorece o golpista. É uma das portas de entrada mais comuns para ataques, porque explora a confiança e a pressa, não uma falha técnica. ## Por que o treinamento importa para a empresa? Muitos golpes de phishing buscam senhas e acessos. Quando um funcionário entrega a credencial em uma página falsa, o atacante passa a agir como se fosse ele. Isso tem consequências que vão além da TI: - **Regulatórias.** O regulamento de comunicação de incidentes da ANPD, aprovado pela Resolução CD/ANPD nº 15/2024, inclui dados de autenticação em sistemas entre os critérios que podem tornar um incidente de risco ou dano relevante, com prazo de três dias úteis para comunicar a ANPD e os titulares. - **Técnicas.** Falhas de autenticação ocupam a categoria A07 da edição 2025 do OWASP Top 10, referência de riscos em aplicações web. - **Financeiras.** Golpes que imitam fornecedores ou executivos podem levar a pagamentos indevidos. - **Legais.** A LGPD exige medidas técnicas e administrativas de segurança (art. 46). Treinamento é uma medida administrativa. ## O que um programa de treinamento precisa ter? Um programa eficaz combina educação, prática e processo. Os componentes básicos: 1. **Conteúdo curto e frequente.** Peças de poucos minutos, distribuídas ao longo do ano, funcionam melhor do que uma sessão longa e esquecível. 2. **Exemplos reais e locais.** Golpes que imitam bancos, transportadoras, órgãos públicos, ferramentas de assinatura eletrônica e fornecedores que a empresa realmente usa. 3. **Simulações periódicas.** Mensagens fraudulentas controladas, enviadas pela própria empresa ou por um fornecedor, para praticar o reconhecimento. 4. **Canal de reporte simples.** Um botão no cliente de e-mail ou um endereço fácil de lembrar. Se reportar dá trabalho, ninguém reporta. 5. **Retorno imediato.** Quem cai na simulação vê na hora uma explicação curta do que deixou passar. 6. **Conteúdo por função.** Financeiro, RH, atendimento e diretoria recebem golpes diferentes e precisam de exemplos diferentes. 7. **Processo para pedidos sensíveis.** Pagamentos, troca de dados bancários e redefinição de senha exigem confirmação por um segundo canal, independentemente do treinamento. ## Como fazer simulações sem criar um ambiente de punição? Simulações bem conduzidas ensinam. Mal conduzidas, criam medo e fazem as pessoas esconderem erros, o que é o oposto do desejado. Algumas regras ajudam: - Comunique a existência do programa antes de começar. Não é preciso avisar a data de cada simulação. - Não exponha nomes de quem clicou. Relatórios devem ser agregados por área. - Não use temas que causem sofrimento real, como demissões, saúde ou benefícios cortados. - Comece com mensagens mais fáceis de perceber e aumente a dificuldade aos poucos. - Agradeça e reconheça quem reporta, inclusive quando reporta uma mensagem legítima. - Trate quem clica repetidamente com reforço de treinamento, não com punição. Antes de contratar um fornecedor de simulação, combine por escrito o tratamento dos dados coletados (quem clicou, quem digitou algo), porque são dados pessoais dos funcionários sujeitos à LGPD. ## Quais métricas mostram se o treinamento funcionou? A taxa de cliques é a métrica mais citada, mas sozinha engana. Ela varia muito com a dificuldade da mensagem simulada. Uma simulação fácil gera poucos cliques e uma falsa sensação de segurança. MétricaO que medeComo interpretarTaxa de reporteQuantos funcionários avisaram sobre a simulaçãoDeve subir com o tempo; é o melhor sinal de culturaTempo até o primeiro reporteQuanto tempo a equipe de segurança leva para ser avisadaQuanto menor, mais cedo um golpe real pode ser contidoTaxa de cliquesQuantos clicaram no link ou anexoCompare apenas simulações de dificuldade parecidaTaxa de envio de dadosQuantos digitaram senha ou informação na página falsaMais grave que o clique; acompanhar por áreaReincidênciaQuem cai em várias simulações seguidasIndica onde reforçar o treinamentoReportes de mensagens reaisGolpes de verdade reportados pela equipeMostra se o comportamento passou para o dia a dia Acompanhe a evolução ao longo dos meses, por área, e não o resultado de uma simulação isolada. ## O que o treinamento não resolve? Mesmo com um bom programa, alguém vai clicar algum dia. Por isso o treinamento precisa vir acompanhado de controles técnicos: - **Autenticação multifator** nas contas, de preferência com métodos resistentes a phishing, como chaves físicas ou passkeys. Veja o guia de [MFA e gestão de acessos](/artigo/mfa-e-gestao-de-acessos-para-pmes). - **Filtros de e-mail** e configuração de autenticação do domínio da empresa, para dificultar que golpistas se passem por ela. - **Menor privilégio**, para que uma conta comprometida tenha alcance limitado. - **Monitoramento e resposta**, para perceber rapidamente o uso indevido de uma credencial. Esse é o papel de um [SOC](/artigo/soc-como-servico-o-que-e-quando-contratar). - **Plano de resposta a incidentes**, com o passo a passo para quando uma credencial for entregue. Veja [resposta a incidentes](/artigo/resposta-a-incidentes-o-que-ter-pronto). ## Como contratar um fornecedor de treinamento e simulação? Ao comparar propostas, pergunte: - O conteúdo é em português e com exemplos do mercado brasileiro? - É possível adaptar simulações por área e por nível de dificuldade? - Como o reporte é integrado ao e-mail da empresa? - Que métricas o relatório traz, além da taxa de cliques? - Onde ficam armazenados os dados dos funcionários, por quanto tempo, e como são descartados? - O fornecedor apoia a criação do processo de confirmação de pedidos sensíveis? ## Próximo passo Para encontrar fornecedores de conscientização e simulação de phishing, compare as [empresas de cibersegurança](/empresas/cyber) e consulte os [rankings](/rankings) da categoria. Se a sua empresa oferece treinamento em segurança, [crie ou reivindique o perfil gratuito](/cadastro) e descreva a metodologia. ## Fontes - [Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança](https://www.mattosfilho.com.br/unico/regulamento-incidente-seguranca/) — dados de autenticação em sistemas como critério de risco ou dano relevante - [ANPD — Comunicação de incidente de segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — prazo de três dias úteis para comunicar a ANPD e os titulares - [OWASP — OWASP Top 10:2025](https://top10.owasp.org/2025/) — categoria A07:2025 Authentication Failures - [Planalto — Lei nº 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — dever de adotar medidas técnicas e administrativas de segurança (art. 46) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### Com que frequência fazer simulações de phishing? Não há frequência única. O importante é manter regularidade ao longo do ano, para que o comportamento seja praticado, sem saturar as pessoas. Muitas empresas preferem simulações espaçadas e conteúdos curtos entre elas. ### Devo punir quem cai na simulação? Punição costuma ser contraproducente, porque leva as pessoas a esconder erros reais. O mais eficaz é dar retorno imediato, reforçar o treinamento de quem erra com frequência e valorizar quem reporta. Golpes reais são contidos mais rápido quando ninguém tem medo de avisar. ### Treinamento substitui o MFA? Não. O treinamento reduz a chance de alguém cair no golpe, mas não elimina. O MFA, sobretudo com métodos resistentes a phishing, limita o estrago quando uma senha é entregue. Os dois se complementam. ### Simulação de phishing precisa de consentimento dos funcionários? A simulação envolve dados pessoais dos funcionários, como quem clicou ou digitou algo, e deve ter base legal e transparência adequadas pela LGPD. Informe a existência do programa na política interna, limite o uso dos dados ao objetivo de treinamento e consulte o encarregado de dados da empresa. ### Qual a melhor métrica para a diretoria? A taxa de reporte e o tempo até o primeiro reporte são as mais úteis, porque mostram se a equipe ajuda a detectar golpes. A taxa de cliques complementa, desde que comparada entre simulações de dificuldade semelhante. ## Leia também [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura