{"id":45757,"date":"2026-09-09T19:24:46","date_gmt":"2026-09-09T17:24:46","guid":{"rendered":"https:\/\/smartfense.com\/?p=45757"},"modified":"2026-09-09T19:25:16","modified_gmt":"2026-09-09T17:25:16","slug":"triagem-de-reportes-phishing-manual-ou-automatica","status":"publish","type":"post","link":"https:\/\/smartfense.com\/pt-pt\/blog-pt-pt\/triagem-de-reportes-phishing-manual-ou-automatica\/","title":{"rendered":"De vinte horas para tr\u00eas, o que muda quando a triagem deixa de ser manual"},"content":{"rendered":"

O m\u00eas de que esta s\u00e9rie vem falando teve 183 emails reportados pelos pr\u00f3prios colaboradores. A pe\u00e7a anterior<\/a> seguiu um deles desde o bot\u00e3o at\u00e9 \u00e0 decis\u00e3o da equipa de seguran\u00e7a, e esse percurso levou quatro minutos. Esta pe\u00e7a olha para o mesmo m\u00eas do outro lado da secret\u00e1ria, quando a triagem dos reportes de phishing ainda era trabalho manual e aqueles 183 emails abriam-se um a um. Os n\u00fameros s\u00e3o de uma organiza\u00e7\u00e3o concreta, a mesma das pe\u00e7as anteriores, e n\u00e3o m\u00e9dias do setor.<\/p>\n

Quanto tempo consome classificar \u00e0 m\u00e3o um email reportado?<\/h2>\n

Cada reporte pedia exatamente o mesmo. Abrir o email original. Revisar os cabe\u00e7alhos e a autentica\u00e7\u00e3o do remetente. Verificar a reputa\u00e7\u00e3o do dom\u00ednio e de cada link, um a um. Analisar os anexos. E s\u00f3 ent\u00e3o classificar.<\/p>\n

Cada reporte levava entre cinco e quinze minutos, conforme o caso estivesse mais ou menos amb\u00edguo. Somavam cerca de vinte horas por m\u00eas, meia semana de trabalho dedicada na sua enorme maioria a confirmar que 160 emails eram inofensivos.<\/p>\n

O primeiro passo dessa lista \u00e9 tamb\u00e9m aquele que ningu\u00e9m quer fazer. Abrir o email original significa manipular \u00e0 m\u00e3o o ficheiro que algu\u00e9m reportou justamente porque lhe pareceu perigoso, com o cuidado que isso exige e no computador de quem o est\u00e1 a revisar.<\/p>\n

H\u00e1 algo pior do que o total de horas, e \u00e9 a ordem. Uma fila processada por data de chegada trata igual o email do fornecedor novo e o ataque dirigido, porque at\u00e9 algu\u00e9m os abrir n\u00e3o h\u00e1 forma de saber qual \u00e9 qual. A prioridade n\u00e3o existe antes da classifica\u00e7\u00e3o, por isso a classifica\u00e7\u00e3o \u00e9 a primeira coisa a tirar do caminho.<\/p>\n

Que trabalho fica quando a triagem \u00e9 autom\u00e1tica?<\/h2>\n

Os reportes entram na consola j\u00e1 resolvidos. Cada um chega com o seu veredicto, com uma pontua\u00e7\u00e3o de risco de 0 a 100 que indica tamb\u00e9m a que banda pertence, e com o detalhe do que foi verificado para chegar ali. A lista continua ordenada por data, como qualquer caixa de entrada, mas agora pode filtrar-se por veredicto e ler a gravidade num relance, sem abrir nada.<\/p>\n

\n

A tua equipa deixa de classificar emails e come\u00e7a a revisar decis\u00f5es.<\/p>\n<\/blockquote>\n

O m\u00eas muda de forma. Rev\u00eaem-se a fundo os que vieram marcados como phishing, que s\u00e3o poucos e j\u00e1 trazem a evid\u00eancia montada, e faz-se uma passagem pelos falsos alarmes para auditar que est\u00e3o bem classificados. Tr\u00eas horas. As outras dezassete ficam para investigar as amea\u00e7as confirmadas, que \u00e9 o trabalho para o qual essa pessoa foi contratada.<\/p>\n

Conv\u00e9m n\u00e3o confundir essa pontua\u00e7\u00e3o com a pontua\u00e7\u00e3o de risco humano<\/a> da pessoa que reportou. Uma mede o qu\u00e3o perigoso \u00e9 um email. A outra mede comportamento ao longo do tempo, e reportar pesa a favor.<\/p>\n

Quem tem a \u00faltima palavra sobre o veredicto?<\/h2>\n

A an\u00e1lise prop\u00f5e e a tua equipa disp\u00f5e, e isso est\u00e1 sustentado na mec\u00e2nica e n\u00e3o numa promessa. Qualquer reporte confirma-se ou corrige-se \u00e0 m\u00e3o a partir do seu pr\u00f3prio detalhe, num clique. Se algu\u00e9m corrigir o veredicto enquanto a an\u00e1lise ainda est\u00e1 a correr, ganha a corre\u00e7\u00e3o da pessoa.<\/p>\n

A consola tamb\u00e9m n\u00e3o perde de vista quem decidiu o qu\u00ea. Cada reporte mostra com um \u00edcone se o seu veredicto foi deixado pela an\u00e1lise autom\u00e1tica ou por uma pessoa, e essa mesma distin\u00e7\u00e3o segue para a lista exportada. O nome, a hora e a classifica\u00e7\u00e3o que existia antes da mudan\u00e7a ficam na trilha de auditoria do reporte.<\/p>\n

\u00c9 isso que responde \u00e0 pergunta que aparece seis meses depois, quando algu\u00e9m quer saber por que motivo um email foi classificado de certa maneira. A resposta est\u00e1 registada, com autor e com data, e quando o autor foi a an\u00e1lise o registo tamb\u00e9m o diz.<\/p>\n

O que acontece quando a an\u00e1lise se engana?<\/h2>\n

Engana-se, como se engana o email security e como se engana uma pessoa \u00e0s seis da tarde de uma sexta-feira. O que decide se isso \u00e9 um problema \u00e9 o qu\u00e3o barato sai corrigir esse erro e o qu\u00e3o vis\u00edvel fica a mudan\u00e7a.<\/p>\n

A passagem de auditoria pelos falsos alarmes \u00e9 esse controlo, e rende mais com um crit\u00e9rio expl\u00edcito. Um email perigoso arquivado como falso alarme custa muit\u00edssimo mais do que um falso alarme tratado como phishing, por isso a revis\u00e3o concentra-se num s\u00f3 lado e n\u00e3o em discutir os acertos.<\/p>\n

Quando algu\u00e9m corrige um veredicto, esse reporte deixa de contar como resolvido pela an\u00e1lise e passa a contar como resolvido por uma pessoa. \u00c9 a leitura que corresponde e \u00e9 a que mant\u00e9m limpa a contagem do m\u00eas, porque o que o painel apresenta como classifica\u00e7\u00e3o autom\u00e1tica \u00e9 exatamente o que ningu\u00e9m teve de tocar.<\/p>\n

Como se evita que os alertas saturem a equipa?<\/h2>\n

Os alertas controlam-se com tr\u00eas avisos independentes, cada um com o seu pr\u00f3prio interruptor.<\/p>\n