Simulação de Phishing: Quebra de Confiança ou Exercício Necessário?

Uma simulação de phishing é um método de sensibilização em que os colaboradores recebem emails falsos semelhantes a um ataque real e as suas reações são medidas. O objetivo é criar o reflexo certo perante uma mensagem suspeita; apanhar alguém em falta não interessa. Ainda assim, os responsáveis de segurança estão divididos quanto ao método. Neste artigo analisamos os dois lados, porque a taxa de cliques não chega sozinha e como deve ser desenhada uma simulação.

O que dizem os críticos?

• Cria um problema de confiança. Os testes assentam em enganar os colaboradores, o que pode criar uma relação hostil entre a equipa de segurança e as restantes pessoas.
• Castigar não é formar. Mandar quem errou para um curso obrigatório de 20 minutos castiga, mas não ensina. E as pessoas começam a esconder os seus erros.

As críticas são justas. Um programa de simulação mal desenhado pode prejudicar a própria cultura de segurança que pretende proteger.

O que dizem os defensores?

• Não se melhora o que não se mede. Sem simulações não há forma de saber como os colaboradores reagiriam a um ataque real.
• Responsabilização. Depois de um incidente, um responsável de segurança pode ouvir a pergunta "Porque não testaram?". Auditorias e processos legais fazem esta pergunta cada vez mais.
• Um exercício, não uma armadilha. Os simulacros de incêndio não servem para assustar, mas para que as pessoas saibam o que fazer num incêndio real. As simulações servem para criar reflexos da mesma forma.

Onde os dois lados concordam: o reporte

Os dois lados concordam num ponto: o que mais importa é quem reporta, com que rapidez e sem medo, mais do que quem clicou.

Quando uma cultura de reporte substitui uma cultura de culpa, o debate entre armadilha e exercício perde sentido. Se os colaboradores não têm medo de admitir um erro, a simulação torna-se uma ferramenta para medir e aprender.

Porque a taxa de cliques sozinha não é fiável

Muitas organizações medem o sucesso das simulações apenas pela taxa de cliques. A métrica pode enganar:

• Um cenário fácil gera uma taxa baixa e um difícil uma taxa alta. Os números não se leem sem ter em conta a dificuldade do cenário.
• Estudos académicos mostram que as técnicas de persuasão e engenharia social funcionam mesmo quando o risco é claramente conhecido. As pessoas podem ignorar avisos, sobretudo perante prova social como "500 pessoas já o fizeram".

Ou seja, saber não chega; o comportamento tem de mudar. E não existe sucesso de 100 por cento. O objetivo é que a organização deixe de ser o alvo mais fácil.

Porque os ataques direcionados tornam as simulações necessárias

Os atacantes já não se ficam por emails aleatórios. Num caso amplamente noticiado, funcionários da NASA partilharam durante anos software de defesa com um agente que se fazia passar por colega. O agente criou uma identidade falsa, estabeleceu relações individuais e pediu-lhes que enviassem o software. Ninguém tinha más intenções. Simplesmente caíram numa armadilha bem planeada.

A única forma de medir a preparação para cenários direcionados (spear phishing) como este é praticar com cenários semelhantes.

Como desenhar uma simulação de phishing

1. Anuncie-a. Diga aos colaboradores que existe um programa de simulação: a sua existência, mantendo reservados o momento e o conteúdo.
2. Não castigue. Dê a quem clicar um feedback curto, imediato e sem julgamento.
3. Valorize o reporte. Reconheça de forma visível quem reporta emails suspeitos.
4. Varie os cenários. Email, código QR, SMS e telefone exigem reflexos diferentes.
5. Ajuste a dificuldade à função. Use cenários mais realistas e direcionados para funções críticas como finanças e gestão de topo.
6. Acompanhe a tendência. O que conta é a evolução ao longo dos meses, mais do que o resultado de um único teste.

Perguntas frequentes

---
A InfoLore desenha as simulações de phishing como uma ferramenta para medir e melhorar, nunca para castigar. Contacte-nos para desenhar o seu programa.