{"id":41901,"date":"2026-06-10T07:24:52","date_gmt":"2026-06-10T05:24:52","guid":{"rendered":"https:\/\/smartfense.com\/?p=41901"},"modified":"2026-06-10T07:25:00","modified_gmt":"2026-06-10T05:25:00","slug":"simulacao-phishing-campanha-muda-comportamento","status":"publish","type":"post","link":"https:\/\/smartfense.com\/pt-pt\/blog-pt-pt\/simulacao-phishing-campanha-muda-comportamento\/","title":{"rendered":"Simula\u00e7\u00e3o de phishing: desenhar uma campanha que muda o comportamento"},"content":{"rendered":"

Quase todas as organiza\u00e7\u00f5es que arrancam um programa de sensibiliza\u00e7\u00e3o come\u00e7am da mesma forma: enviar uma simula\u00e7\u00e3o de phishing, contar quantas pessoas clicaram e guardar o n\u00famero. Um m\u00eas depois repetem o exerc\u00edcio, comparam as duas percentagens e declaram que o programa \u201cest\u00e1 a funcionar\u201d ou que \u201cas pessoas n\u00e3o aprendem\u201d. Na maioria dos casos n\u00e3o \u00e9 uma coisa nem outra. O que costuma falhar n\u00e3o s\u00e3o as pessoas, mas o desenho da campanha.<\/p>\n

O Verizon DBIR 2026<\/a> mostra que o phishing deixou de se concentrar no e-mail: os atacantes deslocaram-se para o m\u00f3vel, onde as taxas de clique em mensagens de texto e chamadas s\u00e3o mais altas. O fator humano continua no centro, s\u00f3 que agora repartido por mais canais. Treinar essa resposta \u00e9 exatamente para o que serve uma simula\u00e7\u00e3o, mas s\u00f3 se for pensada para mudar a conduta e n\u00e3o para produzir uma percentagem. Vejamos o que separa uma campanha que mexe o ponteiro de uma que s\u00f3 gera um relat\u00f3rio.<\/p>\n

O que \u00e9 uma simula\u00e7\u00e3o de phishing?<\/h2>\n

Uma simula\u00e7\u00e3o de phishing<\/strong> \u00e9 um envio controlado que reproduz um ataque de engenharia social (por e-mail, SMS, c\u00f3digo QR ou voz) com o objetivo de medir e treinar a resposta das pessoas a esse ataque, sem as expor a um risco real. Funciona como um ensaio, n\u00e3o como uma armadilha para \u201capanhar\u201d quem se engana, e o seu valor est\u00e1 no que se aprende depois, n\u00e3o no resultado da primeira tentativa.<\/p>\n

Dessa defini\u00e7\u00e3o decorre o crit\u00e9rio que ordena tudo o resto. Uma boa campanha \u00e9 a que produz uma mudan\u00e7a de comportamento mensur\u00e1vel e sustentada<\/strong>, n\u00e3o a que baixa a taxa de cliques uma vez. Se uma decis\u00e3o de desenho n\u00e3o contribui para essa mudan\u00e7a, est\u00e1 a mais.<\/p>\n

Porque \u00e9 que a taxa de cliques n\u00e3o chega para desenhar a campanha?<\/h2>\n

A taxa de cliques \u00e9 f\u00e1cil de medir e por isso domina os relat\u00f3rios. O problema \u00e9 que diz muito pouco. Uma organiza\u00e7\u00e3o pode baixar a sua percentagem de cliques simplesmente repetindo o mesmo template at\u00e9 toda a gente o reconhecer, sem que ningu\u00e9m tenha aprendido a detetar um ataque novo.<\/p>\n

O que conv\u00e9m observar \u00e9 outra coisa: quantas pessoas reportam<\/strong> o e-mail suspeito, em quanto tempo chega o primeiro reporte e como evolui o mesmo grupo ao longo dos meses. H\u00e1 uma an\u00e1lise mais extensa sobre o que um programa de sensibiliza\u00e7\u00e3o deveria medir de verdade<\/a>, mas a ideia central \u00e9 simples: a simula\u00e7\u00e3o desenha-se de tr\u00e1s para a frente, come\u00e7ando pela conduta que se quer ver, n\u00e3o pelo n\u00famero que se quer baixar.<\/p>\n

Qu\u00e3o parecido com um ataque real tem de ser o cen\u00e1rio?<\/h2>\n

Uma simula\u00e7\u00e3o s\u00f3 treina se se parecer com algo que poderia chegar amanh\u00e3. Se as pessoas veem sempre um template gen\u00e9rico com o log\u00f3tipo de um banco que n\u00e3o usam, aprendem a reconhecer esse template e nada mais. Quando o cen\u00e1rio n\u00e3o se parece com o que a organiza\u00e7\u00e3o recebe de verdade, o que se aprende fica na simula\u00e7\u00e3o e nunca chega ao e-mail real. Por isso o realismo \u00e9 a primeira decis\u00e3o de desenho de uma campanha.<\/p>\n

Desenhar realismo implica tr\u00eas decis\u00f5es concretas:<\/p>\n