São 16:40 de uma terça-feira e uma pessoa está a fechar separadores para sair a horas. Chega um email do “departamento de pagamentos”: há uma fatura presa e uma ligação que promete desbloqueá-la em dois cliques. O cursor já vai a caminho do botão. Não é que não saiba o que é o phishing. Fez a formação em março e até teve boa nota. Mas março parece longínquo às 16:40 de uma terça-feira, com a cabeça já no regresso a casa.
O que resolve esse instante não é o que a pessoa aprendeu há três meses. É o que aparece, ou não aparece, no ecrã mesmo às 16:40. E é aí, nesse segundo em que a decisão ainda está aberta, que um nudge se ganha ou se perde.
Um nudge é um empurrão suave, um lembrete ou uma ideia breve que procura inclinar uma decisão de segurança para o lado certo sem obrigar a nada. Não é uma repreensão nem um alerta técnico. E aqui está a parte que costumamos saltar: por bem escrito que esteja, se chega na hora errada não muda nada. O mesmo texto, às 16:40 ou três dias antes, não joga o mesmo jogo.
Porque é que um nudge depende tanto do momento?
Quase nenhuma decisão de segurança é deliberada. Perante um email, a maioria das pessoas não raciocina: reage. É o sistema rápido que a economia comportamental descreve, esse piloto automático que nos deixa resolver cem microdecisões por dia sem nos esgotarmos, e é também o primeiro a tropeçar quando alguém mete urgência pelo meio.
Um nudge funciona quando se infiltra nesse reflexo, mesmo antes de o clique acontecer. Uma mensagem impecável que chegou na segunda-feira de manhã, soterrada debaixo de quarenta emails por abrir, não está presente na terça às 16:40. E a presença, aqui, é quase tudo.
Não é só intuição. Há uma investigação sobre a formação antiphishing integrada, aquela que chega mesmo quando alguém cai num phishing simulado. O estudo (Lain et al., apresentado na ACM CCS 2024) encontrou algo incómodo para quem aposta tudo no material: o que torna essa formação eficaz não é o seu conteúdo, que quase ninguém consome por falta de tempo, mas o seu efeito de lembrete, o sinal periódico de que a ameaça continua lá. Os autores dizem-no sem rodeios: o phishing é um problema de atenção, não de conhecimento. E a atenção não vive num PDF, vive num momento. Se te interessa o debate de fundo sobre se os nudges funcionam, abrimo-lo noutro artigo.
Em que se distingue de um momento educativo?
Convém não misturar duas coisas que chegam em tempos diferentes. O nudge aparece às 16:40, enquanto a mão ainda hesita. O momento educativo aparece na quarta-feira, quando o clique já aconteceu e é altura de perceber, sem dramatismo, o que se passou.
Um previne a quente, o outro repara a frio. Ambos ensinam, e um programa saudável usa os dois. O problema começa quando se pede a um o trabalho do outro: um momento educativo não evita o clique de hoje, e um nudge não substitui a explicação que fará falta amanhã.
Quando é que um nudge chega no momento certo?
A resposta curta: quando é despoletado por algo que a pessoa acabou de fazer, não pelo calendário.
Cada nudge pendura-se num despoletador, que é a combinação de um tipo de conteúdo e uma ação concreta. Três exemplos para o ver:
- Alguém abre um phishing simulado e, em vez de uma repreensão, recebe um nudge que o convida a olhar para o remetente, a urgência e a ligação antes de prosseguir.
- Alguém termina uma formação e recebe um reforço que fixa o que acabou de ver, enquanto está fresco.
- Alguém não passa num exame e recebe uma mensagem que o incentiva a repetir, sem censura.
Na plataforma da SMARTFENSE isto traduz-se em cerca de cinquenta despoletadores distribuídos pelos conteúdos: phishing, formações, exames, ransomware, newsletters e vários mais. O fio comum é que o nudge nasce de algo que a pessoa acabou de fazer, um comportamento observável, e por isso chega quando ainda há uma decisão pela frente ou uma aprendizagem quente para fixar. Intervir sobre o que a pessoa faz, e não sobre o que supomos que sente, é a mesma lógica que sustenta um programa de mudança de comportamento que se leva a sério.
Porque é que um nudge fora de tempo se torna ruído?
Aqui está o lado de que quase ninguém fala. Um nudge mal cronometrado não é neutro. Subtrai.
Quando as mensagens chegam soltas, em lote e sem relação com o que a pessoa está a fazer, o cérebro faz o que sabe melhor: deixa de as ver. É a mesma cegueira que temos com os banners, onde aquilo que se repete sem consequência se torna invisível. E logo atrás dessa cegueira vem a fadiga, aquele ponto em que mais um lembrete é mais um incómodo, e a pessoa acaba por ignorar a fonte inteira, incluindo o aviso que desta vez importava mesmo.
Por isso enviar melhor não é enviar mais. É aparecer no momento e escolher com cuidado quais. Que cada nudge seja despoletado por um facto pontual, que seja curto e que cada organização ligue apenas os que servem a sua gente. Um nudge que cuida da atenção da pessoa guarda-a para quando faz mesmo falta.
Como se constrói um programa que apareça no momento certo?
Três decisões fazem a diferença.
Pendurar o envio num comportamento observável. Se não se conseguir registar que a pessoa abriu o anexo, comunicou o email ou terminou o módulo, não há momento a que agarrar-se. O despoletador precisa de um facto, não de uma data na agenda.
Chegar onde a pessoa já está. Um nudge rende mais no local de trabalho real. Por isso aparece no email, e também no Slack ou Teams quando a organização os usa, em vez de inaugurar um canal novo que ninguém vê.
Falar à pessoa, não à média. O mesmo nudge pode ser personalizado com o nome e sair no idioma de cada um, sozinho. Uma mensagem que se sente própria é lida; uma genérica engrossa o ruído.
A SMARTFENSE inclui mais de trinta nudges prontos a usar e a opção de criar os próprios, todos ligados a esses despoletadores de comportamento. Mas a ferramenta conta muito menos do que o princípio: medir o que a pessoa faz e aparecer no instante em que essa informação ainda pode dobrar uma decisão. É a mesma fronteira que percorremos quando falamos do risco humano antes do clique.
O conteúdo propõe, o momento decide
Um nudge brilhante fora de horas é uma boa mensagem deitada fora. Um simples no segundo certo muda o que acontece a seguir. Antes de aperfeiçoar a próxima frase engenhosa, há uma pergunta mais barata que vale a pena fazer: isto vai aparecer enquanto ainda há algo para decidir? Se a resposta for sim, o conteúdo faz a sua parte. Se for não, não importa quão bom seja: chegou com o jogo já terminado.
Para ver como funcionam estas intervenções dentro de um programa, o catálogo de ferramentas de sensibilização e avaliação da SMARTFENSE mostra os nudges ao lado dos restantes formatos que sustentam a mudança de comportamento.
Perguntas frequentes
O que é um nudge em cibersegurança?
Um nudge é uma mensagem breve e contextual (um lembrete, uma pergunta ou uma ideia) que procura influenciar de forma positiva uma decisão de segurança sem impor nada. Não é um castigo nem um alerta técnico, mas um empurrão suave que chega quando ainda há uma decisão por tomar.
Porque é que o momento de um nudge importa mais do que o seu conteúdo?
Porque as decisões de segurança tomam-se em segundos, com o sistema rápido e intuitivo do cérebro. Um nudge só muda essa decisão se interromper o piloto automático no instante exato em que a pessoa está prestes a agir. A mesma mensagem, enviada três dias antes ou num resumo mensal, perde toda a sua força.
Qual é a diferença entre um nudge e um momento educativo?
O nudge atua antes, enquanto a decisão ainda está aberta; o momento educativo atua depois, quando algo já correu mal e convém perceber o que aconteceu e porquê. O nudge previne a quente; o momento educativo repara a frio. Complementam-se, mas intervêm em tempos diferentes.
Os nudges sobrecarregam as pessoas?
Só se forem enviados de forma errada. Um nudge fora de tempo, desligado do que a pessoa está a fazer, é filtrado como qualquer mensagem repetida e gera fadiga. Bem concebido, é despoletado por um evento pontual, é curto e a organização ativa apenas os que fazem sentido, respeitando a atenção em vez de a gastar.
Deixe um comentário