Treinamento antiphishing: transformar o time no primeiro perímetro

Por que o assunto chegou até a diretoria

A maior parte dos investimentos de segurança protege a máquina. Filtro de e-mail, antivírus, firewall, atualização de sistema. Tudo isso é necessário e nenhum deles decide por uma pessoa se ela vai digitar a senha em uma página que parece a do sistema da empresa.

O golpe atual raramente é aquele e-mail cheio de erros de português. Ele imita a comunicação real da empresa, cita um processo que existe, chega em um momento plausível e pede uma ação pequena: confirmar o acesso, aprovar um documento, atualizar um dado bancário. É um golpe de contexto, não de tecnologia. Por isso ele passa pelo filtro e chega a uma pessoa.

Isso muda a natureza do treinamento. Ele deixa de ser item de cumprimento de tabela e passa a ser um controle operacional, com meta, medição e responsável, exatamente como qualquer outro controle de infraestrutura. É esse enquadramento que faz sentido para quem aprova o orçamento, e é o mesmo raciocínio que aplicamos em por que ataques cibernéticos também atingem empresas médias.

Os quatro formatos que o time precisa reconhecer

Treinar sem nomear o inimigo produz um alerta genérico do tipo "desconfie de tudo", que ninguém consegue aplicar. Estes são os formatos que valem a pena ensinar, com exemplos reais do dia a dia da empresa:

Um detalhe que muda o resultado do treinamento: use exemplos da própria empresa. Um modelo do sistema de ponto que o time usa de verdade ensina muito mais do que uma tela genérica de banco internacional.

Os cinco componentes de um programa que funciona

1. Linha de base antes de treinar

Comece com uma simulação inicial, antes de qualquer conteúdo. Ela não serve para pegar ninguém, serve para você saber de onde partiu. Sem esse ponto de partida, qualquer melhoria depois será discutível.

Comunique à diretoria e ao jurídico que o programa vai existir e como ele funciona. Comunicar a existência do programa não estraga a medição, porque o objetivo nunca foi surpreender o colaborador, e sim treinar o reflexo de denunciar.

2. Conteúdo curto, frequente e específico

O formato que gruda tem três características:

• Curto. Poucos minutos, um tema por vez. Treinamento longo é assistido em segundo plano.
• Recorrente. Um pequeno estímulo por mês vale mais que um evento anual. Reconhecimento de golpe é reflexo, e reflexo se perde sem repetição.
• Aplicado ao trabalho da pessoa. O time de contas a pagar precisa de conteúdo sobre alteração de dado bancário. O time comercial precisa de conteúdo sobre anexo e link de proposta.

Uma boa prática que custa pouco: sempre que um golpe real chegar à empresa, mesmo bloqueado, transforme-o em um aviso curto com a imagem da mensagem, o que ela tentou fazer e os sinais que a entregaram. Esse é o material com maior taxa de atenção que existe, porque é verdadeiro e acabou de acontecer ali.

3. Simulação controlada, com regras claras

A simulação é o exercício prático do programa. Ela precisa de regras para não virar armadilha:

• Dificuldade progressiva. Comece por mensagens genéricas e evolua para as personalizadas. Começar pelo golpe mais elaborado só produz frustração.
• Frequência sem previsibilidade de dia. O intervalo pode ser conhecido, a data não. Simulação sempre na primeira segunda-feira do mês treina o calendário, não o comportamento.
• Sem temas cruéis. Nada de mensagem falsa sobre demissão, bônus, resultado de exame ou benefício. O aprendizado é pequeno e a quebra de confiança é grande.
• Correção imediata. Quem clica cai em uma página que explica, em poucas linhas, quais eram os sinais e o que fazer da próxima vez. Correção no momento do erro é onde o aprendizado acontece de verdade.
• Cobertura de todos, inclusive diretoria. Exceção para a alta gestão é justamente a exceção que o atacante procura.

4. Um botão de denúncia que qualquer pessoa consegue usar

Este é o componente mais subestimado e o de melhor retorno. Se o caminho para avisar a TI é escrever um e-mail explicando o ocorrido, encaminhar a mensagem e esperar resposta, a maioria vai simplesmente apagar e seguir o dia.

O que precisa existir:

• Um caminho de um clique dentro do próprio programa de e-mail, ou um endereço único, curto e conhecido por todos.
• Resposta automática de agradecimento, sempre. Inclusive quando a mensagem era legítima. Denúncia equivocada precisa ser tratada como acerto, porque o custo de analisar um falso alarme é ridiculamente menor que o de perder um golpe real.
• Retorno humano nos casos relevantes, dizendo o que era e o que foi feito. Quem percebe que o aviso teve efeito avisa de novo.
• Reconhecimento público de quem denunciou primeiro em um caso real, se a pessoa autorizar. Isso constrói mais cultura do que qualquer campanha interna.

5. Medição com os indicadores certos

Muitos programas medem apenas a taxa de clique. É o indicador mais fácil e o menos útil sozinho, porque ele estimula o gestor a facilitar a simulação para exibir um número bonito. O conjunto que descreve a realidade:

Uma leitura combinada que vale ouro: taxa de clique caindo com taxa de denúncia parada é sinal de alerta. Provavelmente as pessoas aprenderam a ignorar, não a avisar. E ignorar em silêncio deixa a TI cega.

Por que punir quem clica é contraproducente

É a reação intuitiva de muitos gestores e ela quebra o programa por um motivo simples: o valor do treinamento está na informação que chega rápido à TI, e o medo é o melhor inibidor de informação que existe.

O que acontece quando existe punição, formal ou informal:

• Quem clica esconde. A pessoa percebe o erro, tem vergonha e não avisa. O acesso indevido fica ativo por dias.
• Quem tem dúvida não pergunta. Perguntar passa a ser sinal de incompetência.
• O gestor da área protege o time. O caso é resolvido internamente e a TI nunca fica sabendo.
• Os números melhoram sem que a segurança melhore. Você passa a medir o silêncio.

A alternativa que funciona é tratar o clique como o que ele é: um evento esperado, previsto no desenho da defesa. Quem clica recebe correção imediata e um conteúdo curto. Quem reincide recebe acompanhamento individual, com conversa e não com advertência, para entender o que está acontecendo. Muitas vezes o problema é sobrecarga, e não descuido: quem processa centenas de mensagens por dia tem menos tempo de conferir cada uma.

Existe um limite razoável, e ele é diferente de punição: comportamento deliberado, como desativar controles de segurança ou compartilhar credencial, é assunto de política interna, com o mesmo tratamento de qualquer outra violação de regra da empresa. Errar em uma simulação, não.

Phishing dirigido à diretoria e à área financeira

Essa é a modalidade com maior potencial de prejuízo direto, e ela não se resolve só com treinamento. Ela se resolve com procedimento.

O golpe segue quase sempre o mesmo roteiro. Chega um pedido urgente, com aparência legítima, que pede sigilo e pressa e envolve mudança de dados bancários ou pagamento fora do fluxo normal. Urgência e sigilo juntos são o par que deveria acender a luz vermelha em qualquer empresa.

Os controles de processo que valem mais que qualquer conteúdo de treinamento:

1. Dupla verificação obrigatória por canal diferente. Toda alteração de dado bancário de fornecedor é confirmada por telefone, em número previamente cadastrado, nunca no número que veio na mensagem.
2. Alçada de aprovação por valor, com duas pessoas acima de determinado limite, sem exceção para urgência.
3. Nenhuma exceção por hierarquia. Deixe explícito, por escrito e com apoio da diretoria, que nenhum diretor pede transferência por mensagem sem passar pelo fluxo. Isso protege o time e protege o próprio diretor.
4. Prazo mínimo de conferência para pagamento novo ou alterado, o que remove o poder da pressa.
5. Cuidado com o que é público. Estrutura de cargos, nome de fornecedores e rotina de pagamento divulgados publicamente são a matéria-prima da personalização do golpe.

O que o treinamento não resolve sozinho

Programa de conscientização é uma camada. Ele precisa estar apoiado em controles técnicos, ou você estará pedindo que a pessoa compense uma falha de infraestrutura:

• Autenticação multifator em tudo que for acessível de fora. Ela é o que faz uma senha vazada valer muito menos. O roteiro de implantação está em MFA na prática.
• Filtro de e-mail e proteção de links e anexos, que reduzem o volume que chega até a pessoa.
• Configuração correta de autenticação do domínio de e-mail, para dificultar que alguém envie mensagens se passando pela sua empresa.
• Menor privilégio. Se uma conta comprometida acessa apenas o que aquela função precisa, o estrago é contido.
• Backup testado e isolado, porque boa parte das campanhas termina em ransomware. O plano está detalhado em como evitar um ataque de ransomware.
• Plano de resposta a incidentes escrito, com o que fazer na primeira hora, quem aciona quem e o que precisa ser comunicado quando há dado pessoal envolvido, assunto tratado em plano de resposta a incidentes e a LGPD.

Um ciclo anual realista

Não é preciso mais que isto para sair do zero:

• Mês 1: comunicação do programa, simulação de linha de base e publicação do canal de denúncia.
• Mês 2: conteúdo introdutório curto para todos, com os sinais básicos e o que fazer ao suspeitar.
• Do mês 3 em diante: uma simulação por mês, com dificuldade crescente, e um conteúdo curto por mês, alternando temas.
• A cada trimestre: relatório de uma página para a diretoria, com os indicadores da tabela acima e as decisões necessárias.
• Sempre que houver caso real: aviso rápido para todos, com a mensagem e os sinais.
• Na entrada de todo novo colaborador: conteúdo de boas-vindas no primeiro dia, antes do primeiro acesso.
• Reforço específico para financeiro, compras, RH, TI e diretoria, que recebem os ataques mais elaborados.

Perguntas frequentes

Com que frequência devemos fazer simulações de phishing?

Um ciclo mensal é o ritmo que a maioria das médias empresas sustenta sem desgaste. Menos que isso, o reflexo se perde entre uma rodada e outra. Muito mais que isso, o time passa a tratar toda mensagem incomum como teste e o exercício perde sentido. O que não funciona em nenhum ritmo é a rodada única anual, feita para preencher um requisito.

Nossa equipe é pequena. Vale a pena montar um programa?

Vale, e fica mais simples. Em equipe pequena, o canal de denúncia pode ser um endereço único bem divulgado, o conteúdo pode ser um aviso curto por mês e a simulação pode ser trimestral no começo. O que não muda com o tamanho é o procedimento de dupla verificação para pagamento, que precisa existir mesmo em empresa com poucas pessoas, justamente porque nela o acúmulo de funções é maior.

Qual é uma meta razoável de taxa de clique?

Perseguir um número fixo é uma armadilha, porque a taxa depende da dificuldade da simulação, e é sempre possível baixá-la usando iscas fáceis. A meta mais honesta é de evolução: melhorar os seus próprios indicadores ciclo após ciclo, mantendo ou aumentando o grau de dificuldade, com atenção especial à taxa de denúncia e ao tempo até o primeiro aviso. Zero clique não é meta realista, e uma empresa que relata zero clique geralmente está testando pouco.

Como a BS IT Solutions apoia o seu programa

A BS IT Solutions estrutura o programa antiphishing junto com o cliente: linha de base, calendário de simulações, conteúdo aplicado à realidade de cada área, canal de denúncia integrado ao atendimento e relatório trimestral com indicadores para a diretoria. Também tratamos a camada técnica que sustenta o programa, com multifator, proteção de e-mail, revisão de privilégios, backup testado e monitoramento pelo NOC 24x7. Atendemos de forma presencial em São Paulo e região metropolitana e remota em todo o Brasil, dentro do serviço de cyber security.

Fale com um especialista da BS IT Solutions e transforme a sua equipe na camada de defesa que percebe o golpe antes dele funcionar.