Cultura de Reporte em Cibersegurança: Porque Castigar Quem Clicou Sai Pela Culatra

Quando um colaborador que clicou num link de phishing é castigado, é fácil prever o que os outros farão: também vão clicar, mas não vão contar a ninguém. A falha ficará dias num sítio onde ninguém a vê. A base da cultura de segurança é poder reportar um erro depressa e sem medo. Neste artigo explicamos porque a cultura de reporte é crítica e como criá-la.

O silêncio dos colaboradores é um risco de segurança

Se os erros não são partilhados, os emails suspeitos não são reportados e as dúvidas sobre as políticas não são expressas, a operação de segurança enfraquece rapidamente. Nessa altura, a verdadeira fragilidade está mais no comportamento humano do que na tecnologia.

Cada dia que um atacante passa dentro de uma organização sem ser detetado aumenta os danos. Muitas vezes, a primeira pessoa a perceber o ataque é o próprio colaborador que cometeu o erro. Se ficar calado, a organização perde o seu primeiro sinal de alerta.

Quem diz "eu nunca caía" é um risco maior

Quem diz "eu nunca caía num email de phishing" encaixa exatamente no perfil que um atacante procura. Uma pessoa confiante analisa os emails com menos cuidado, parte do princípio de que daria pelo engano e não volta a olhar.

Um dos exemplos mais marcantes é Troy Hunt, fundador do Have I Been Pwned. Hunt, um dos especialistas em segurança mais conhecidos do mundo, caiu num email de phishing em março de 2025. Tinha acabado de chegar de um voo longo e estava cansado. Um email que dizia vir do Mailchimp avisava que a conta tinha sido restringida por uma queixa de spam. Hunt clicou no link e introduziu a password e o código de uso único. Quando a página bloqueou, percebeu o que tinha acontecido, mas o ataque era automático e milhares de endereços de email foram exportados em segundos.

Hunt partilhou abertamente o que aconteceu. É o melhor exemplo de cultura de reporte a nível individual: qualquer pessoa pode estar cansada, ocupada e distraída num dia. O que conta é o que se faz depois do erro.

A resposta certa: "Obrigado, vamos já ver"

A melhor resposta a um colaborador que diz "Fiz uma coisa, pode ser um problema?" é "Obrigado, vamos já ver". Uma equipa de segurança capaz de dizer isto dá à organização o seu sistema de alerta mais precoce.

Mas a equipa de segurança não consegue criar esta cultura sozinha. Uma cultura que protege quem reporta precisa do apoio da gestão de topo. Quem foi contratado para a contabilidade ou para os recursos humanos não deve carregar sozinho a segurança da organização. E a equipa de segurança também não deve carregar sozinha o peso de criar esta cultura.

Os seus colaboradores sabem reportar? Um teste de 30 segundos

Imagine: "Surpresa do dia: café oferecido aos primeiros 10. Leia já o código QR!" Chega por email. Abrir, ler e escrever o utilizador e a password demora cerca de 30 segundos.

Agora, quando se percebe que é um esquema:

• A quem é que o colaborador vai reportar?
• Como: por email, por telefone, com um botão?
• O processo está definido?
• Quanto tempo demora o reporte?
• Todos os colaboradores sabem as respostas a estas perguntas?

Num mundo em que um ataque demora 30 segundos, um processo de reporte que demora 30 minutos é uma falha grave.

Como criar uma cultura de reporte

1. Defina um canal único e fácil. Um botão "reportar suspeito" no cliente de email é o método mais eficaz.
2. Responda a todos os reportes. Quem reporta deve ver que fez diferença.
3. Proteja quem admite o erro. Um colaborador que clica e avisa de imediato vale mais do que outro que não clicou mas fica calado.
4. As chefias dão o exemplo. Ver os gestores reportar os seus próprios emails suspeitos é o que espalha a cultura mais depressa.
5. Meça. A taxa de reporte e o tempo até ao reporte são os indicadores mais concretos da cultura de segurança.

A mudança de cultura é um processo longo, sem transformações de um dia para o outro. Criar confiança e uma estrutura em que os colaboradores têm voz exige tempo e empenho. Se a liderança não assumir o processo, a transformação não terá êxito.

Perguntas frequentes

---
A InfoLore desenha programas de cultura de segurança centrados no reporte. Contacte-nos para rever juntos o processo de reporte da sua organização.