Para um CISO, TI ou compliance na LATAM, a leitura útil de smishing e phishing não é semântica, é operacional: o canal móvel já funciona como uma superfície de ataque em expansão e a PCI DSS v4.0 obriga a manter um programa anual de conscientização que inclua phishing, ataques relacionados e engenharia social. Quando a taxa de erro humano entra na conta, a decisão deixa de ser teórica e passa a envolver simulações por SMS, métricas de exposição e evidência de conformidade.
Juntar as fontes mostra uma tensão que nenhuma delas cobre sozinha: algumas explicam o que é o ataque, outras mostram que o canal cresce, e a PCI define o que deve ser treinado e com que frequência. A APWG registrou 1.069.681 ataques de phishing no segundo trimestre de 2026, ante 971.181 no primeiro trimestre, alta de 10,1%. Isso deixa uma lacuna clara entre definição, risco e controle, exatamente onde uma equipe de segurança precisa decidir o que medir já no dia seguinte.
Comparação de fontes
Ao cruzá-las, aparece uma diferença entre descrição do ataque, evidência de crescimento e exigência de controle. A APWG contabilizou 425.808 ataques de phishing em junho de 2026, o maior total mensal observado desde abril de 2023. Essa combinação é o que permite sair de uma explicação de dicionário para uma decisão de programa.
Phishing, Vishing, and SMiShing |Phishing attacks |Cyber security awareness video |Security Quotient, Security Quotient. Ver o original
Programa revisado e atualizado pelo menos a cada 12 meses
Pelo menos a cada 12 meses
Phishing and related attacks, social engineering
O que a IBM diz sobre smishing?
A IBM define smishing como um ataque de engenharia social que usa mensagens de texto móveis falsas para enganar pessoas e levá-las a baixar malware, compartilhar informação sensível ou enviar dinheiro. O ponto central não é só o canal, mas a combinação entre mensagem curta, urgência e aparência de confiança. Esse enquadramento ajuda a explicar o mecanismo, mas não basta para priorizar controle nem treinamento.
O que a Proofpoint acrescenta sobre o vetor?
A Proofpoint descreve smishing como um ciberataque direcionado a indivíduos por SMS ou mensagens de texto, com mensagens que parecem vir de uma fonte confiável. A diferença prática é trazer o fenômeno para o terreno do engano cotidiano, com resultados concretos: compartilhar informação pessoal ou financeira, clicar em links maliciosos ou baixar software nocivo. Para a Whalemate, esse nível de concretude é útil porque traduz o risco em comportamentos observáveis.
Por que Kaspersky e Descope colocam o foco na confiança humana?
Kaspersky e Descope coincidem ao apontar que o smishing explora mais a confiança humana do que vulnerabilidades técnicas. A Kaspersky o chama de phishing por mensageria móvel, e a Descope o relaciona à ideia de que a pessoa entrega informação sensível sem perceber o engano. Essa leitura importa porque desloca a resposta de uma higiene técnica isolada para treinamento contínuo e medição de comportamento.
How New Phishing Scams Trick You, KristoferYee. Ver o original
O que muda quando se separa smishing de mobile phishing?
A DeepStrike traça uma fronteira útil: smishing é phishing via SMS ou mensagens de texto, enquanto mobile phishing também inclui apps de chat, navegadores móveis, códigos QR, iscas em PDF e redirecionamentos baseados em aplicativos. Essa distinção evita subestimar o alcance do canal móvel, porque um programa que olhar só para SMS pode deixar de fora outros iscos que chegam ao mesmo usuário pelo mesmo dispositivo.
O que mostram os números de crescimento?
A FTC informa que as perdas relatadas com fraudes por mensagem de texto chegaram a USD 470 milhões em 2024, mais de cinco vezes o valor de 2020, e alerta que o número provavelmente reflete apenas uma fração do dano real. Essas perdas subiram mesmo com a queda no número de relatos, e a proporção de relatos com dinheiro perdido passou de 5% em 2020 para 11% em 2024. Entre as campanhas mais relatadas estão as falsas entregas de encomendas, as ofertas de emprego falsas, os falsos alertas de fraude de bancos e os avisos de pedágio em atraso. A APWG acrescenta que o smishing aumentou 40 % entre Q1 e Q2 de 2026. A APWG registrou 971.181 ataques de phishing no primeiro trimestre de 2026, ante 853.244 no quarto trimestre de 2025, alta de 13,8%. Lidos em conjunto, os números mostram um canal que cresce em volume segundo a APWG e em perdas segundo a FTC, e não um caso isolado.
O que a PCI DSS v4.0 exige em conscientização?
O resumo de mudanças da PCI DSS v4.0 diz que o programa de conscientização deve ser revisado e atualizado pelo menos a cada 12 meses, e que o conteúdo precisa cobrir ameaças e vulnerabilidades que afetem a segurança do CDE, incluindo phishing and related attacks and social engineering. 12.6.1, 12.6.2 e 12.6.3 exigem programa formal, revisão anual e treinamento na admissão e a cada 12 meses. Desde 31 de março de 2025, a formação deve cobrir explicitamente phishing e engenharia social em 12.6.3.1.
O que implica a leitura da Whalemate para LATAM?
A implicação é direta: se o canal móvel cresce e a PCI pede conscientização anual com foco explícito em phishing e engenharia social, então o programa não deveria se limitar a um curso. A Whalemate propõe um modelo de Human Risk Management que simula, treina, mede, intervém e reporta, com risk score para priorizar intervenções, não para punir. Isso habilita uma decisão concreta para CISO, TI e compliance: usar simulações por SMS, consolidar sinais de cursos, reportes e comportamento, e documentar evidência de redução de exposição.
Consequência operacional
Já amanhã, uma equipe de segurança pode decidir três coisas. Primeiro, tratar o celular como superfície prioritária dentro do programa de conscientização. Segundo, medir cliques e reportes em simulações por SMS como sinal de erro humano, junto com conclusão de treinamento e reincidência. Terceiro, usar essa evidência para sustentar a conformidade com a PCI DSS v4.0 e priorizar grupos expostos, sem transformar o score em ferramenta disciplinar.
How New Phishing Scams Trick You, KristoferYee. Ver o original
Não. Smishing é uma forma de phishing que usa SMS ou mensagens de texto, enquanto phishing é o guarda-chuva mais amplo. A DeepStrike também separa mobile phishing, que inclui outros canais móveis como apps de chat, QR e navegadores. Essa diferença importa porque um programa que mede apenas e-mail pode deixar de fora o vetor móvel.
Que exemplos concretos de smishing aparecem no material?
A ConnectWise menciona mensagens que se passam por bancos, entregas de pacotes e RH. Também traz exemplos textuais como “Your account has been suspended. Click here to reactivate” e “FedEx: Your package delivery failed. Reschedule here”. O padrão é sempre o mesmo: urgência, confiança aparente e um link ou pedido de dados.
O que a PCI DSS v4.0 diz sobre phishing e social engineering?
O resumo de mudanças indica que a conscientização deve ser revisada pelo menos a cada 12 meses e cobrir ameaças que impactem o CDE, incluindo phishing and related attacks and social engineering. A CyberAware acrescenta que, desde 31 de março de 2025, a formação deve cobrir explicitamente phishing e engenharia social na 12.6.3.1. A exigência não é um curso isolado, mas um programa documentado e recorrente.
O que CISO, IT ou compliance deveriam medir?
Deveriam medir exposição e resposta, não apenas presença. Isso inclui cliques em simulações de SMS, reportes em tempo hábil, conclusão de capacitação, reincidência e evolução por segmento de usuários. O material também sugere consolidar esses sinais em um risk score para priorizar intervenções, porque a utilidade real está em decidir onde reforçar controles e treinamento.
Por que esta leitura é relevante para a LATAM?
Porque combina uma pressão regulatória concreta com um vetor que já cresce e afeta usuários móveis. Na LATAM, onde as equipes costumam conviver com muitas responsabilidades e programas fragmentados, isso obriga a organizar prioridades, documentar evidências e evitar que a conscientização fique reduzida a uma campanha anual sem medição de comportamento.
Gostaria de se aprofundar neste tema?
Abra este artigo diretamente no Claude ou ChatGPT —
faça perguntas, peça um resumo ou explore ideias relacionadas.
Por 
