--- title: "APWG e PCI DSS: smishing em alta | Whalemate" description: "Smishing cresce no canal móvel enquanto a PCI DSS v4.0 exige conscientização anual e conteúdo explícito sobre phishing e engenharia social." url: https://www.whalemate.com/br/recursos/blog/apwg-pci-dss-smishing-alta/ lang: pt-BR updated: 2026-10-30 alternates: es: https://www.whalemate.com/recursos/blog/apwg-pci-dss-smishing-alza/ en: https://www.whalemate.com/en/resources/blog/apwg-pci-dss-smishing-rising/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # APWG e PCI DSS: smishing em alta Smishing cresce no canal móvel enquanto a PCI DSS v4.0 exige conscientização anual e conteúdo explícito sobre phishing e engenharia social. 30 de out. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 7 min de leitura [HRM](https://www.whalemate.com/br/recursos/blog/tema/hrm/) ![APWG e PCI DSS: smishing em alta](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/apwg-pci-dss-smishing-alta.webp) Neste artigo 1. [Comparação de fontes](#s1) 2. [O que a IBM diz sobre smishing?](#s2) 3. [O que a Proofpoint acrescenta sobre o vetor?](#s3) 4. [Por que Kaspersky e Descope colocam o foco na confiança humana?](#s4) 5. [O que muda quando se separa smishing de mobile phishing?](#s5) 6. [O que mostram os números de crescimento?](#s6) 7. [O que a PCI DSS v4.0 exige em conscientização?](#s7) 8. [O que implica a leitura da Whalemate para LATAM?](#s8) 9. [Consequência operacional](#s9) 10. [O que ler depois?](#s10) Para um CISO, TI ou compliance na LATAM, a leitura útil de smishing e phishing não é semântica, é operacional: o canal móvel já funciona como uma superfície de ataque em expansão e a PCI DSS v4.0 obriga a manter um programa anual de conscientização que inclua phishing, ataques relacionados e engenharia social. Quando a taxa de erro humano entra na conta, a decisão deixa de ser teórica e passa a envolver simulações por SMS, [métricas de exposição](https://www.whalemate.com/br/recursos/blog/pci-dss-12-6-medir/) e evidência de conformidade. Juntar as fontes mostra uma tensão que nenhuma delas cobre sozinha: algumas explicam o que é o ataque, outras mostram que o canal cresce, e a PCI define o que deve ser treinado e com que frequência. A APWG registrou 1.069.681 ataques de phishing no segundo trimestre de 2026, ante 971.181 no primeiro trimestre, alta de 10,1%. Isso deixa uma lacuna clara entre definição, risco e controle, exatamente onde uma equipe de segurança precisa decidir o que medir já no dia seguinte. ## Comparação de fontes Ao cruzá-las, aparece uma diferença entre descrição do ataque, evidência de crescimento e exigência de controle. A APWG contabilizou 425.808 ataques de phishing em junho de 2026, o maior total mensal observado desde abril de 2023. Essa combinação é o que permite sair de uma explicação de dicionário para uma decisão de programa. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/dGEdc8mVc5E-4.mp4) · Legendas: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/dGEdc8mVc5E-4.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/dGEdc8mVc5E-4.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/dGEdc8mVc5E-4.br.vtt) Phishing, Vishing, and SMiShing |Phishing attacks |Cyber security awareness video |Security Quotient, Security Quotient. [Ver o original](https://www.youtube.com/watch?v=dGEdc8mVc5E&t=4s) | Fonte | Conceito | Canal ou vetor | Crescimento | Conformidade | Revisão | Exemplos | | --- | --- | --- | --- | --- | --- | --- | | IBM | Ataque de engenharia social que [usa mensagens de texto móveis falsas](https://www.ibm.com/think/topics/smishing) | SMS, mensagens de texto móveis | Não especificado | Não especificado | Não especificado | Baixar malware, compartilhar informação sensível ou enviar dinheiro | | Proofpoint | [Ciberataque por SMS](https://www.proofpoint.com/us/threat-reference/smishing) que parece vir de uma fonte confiável | SMS, mensagens de texto | Não especificado | Não especificado | Não especificado | Compartilhar informação pessoal ou financeira, clicar em links maliciosos, baixar software nocivo | | Kaspersky | [Phishing por mensageria móvel](https://usa.kaspersky.com/resource-center/threats/what-is-smishing-and-how-to-defend-against-it), baseado na confiança humana | Mensageria móvel, SMS | Não especificado | Não especificado | Não especificado | Não especificado | | ConnectWise | [Engenharia social por mensagens de texto](https://www.connectwise.com/cybersecurity-center/glossary/smishing) | Mensagens de texto | Não especificado | Não especificado | Não especificado | Bancos, entregas de encomendas, RH | | Deepstrike | [Smishing é phishing via SMS](https://deepstrike.io/blog/smishing-statistics), mobile phishing é mais amplo | SMS, chat, navegadores móveis, QR, PDF, redirecionamentos | Não especificado | Não especificado | Não especificado | Golpe por texto e fraudes nem sempre de phishing | | FTC | Fraudes por mensagem de texto medidas por relatos de consumidores e perdas | Mensagens de texto | Perdas de [USD 470 milhões em 2024](https://search.ftc.gov/system/files/ftc_gov/pdf/spotlight-top-text-scams.pdf), mais de cinco vezes as de 2020 | Não especificado | Não especificado | Entregas falsas, empregos falsos, alertas bancários falsos, pedágios | | APWG | Smishing como parte da fraude telefônica e móvel | SMS, mensagens de texto | [+40 % entre Q1 e Q2](https://apwg.org/trendreports) de 2026 | Não especificado | Não especificado | Superfície de ataque móvel em expansão | | PCI Security Standards Council | [Programa de conscientização para o pessoal](https://listings.pcisecuritystandards.org/documents/PCI-DSS-v3-2-1-to-v4-0-Summary-of-Changes-r1.pdf) com foco em ameaças ao CDE | Phishing, ataques relacionados, engenharia social | Não especificado | Programa revisado e atualizado pelo menos a cada 12 meses | Pelo menos a cada 12 meses | Phishing and related attacks, social engineering | ## O que a IBM diz sobre smishing? A IBM define smishing como um ataque de engenharia social que usa mensagens de texto móveis falsas para enganar pessoas e levá-las a baixar malware, compartilhar informação sensível ou enviar dinheiro. O ponto central não é só o canal, mas a combinação entre mensagem curta, urgência e aparência de confiança. Esse enquadramento ajuda a explicar o mecanismo, mas não basta para priorizar controle nem treinamento. ## O que a Proofpoint acrescenta sobre o vetor? A Proofpoint descreve smishing como um ciberataque direcionado a indivíduos por SMS ou mensagens de texto, com mensagens que parecem vir de uma fonte confiável. A diferença prática é trazer o fenômeno para o terreno do engano cotidiano, com resultados concretos: compartilhar informação pessoal ou financeira, clicar em links maliciosos ou baixar software nocivo. Para a Whalemate, esse nível de concretude é útil porque traduz o risco em comportamentos observáveis. ## Por que Kaspersky e Descope colocam o foco na confiança humana? Kaspersky e Descope coincidem ao apontar que o smishing explora mais a confiança humana do que vulnerabilidades técnicas. A Kaspersky o chama de [phishing por mensageria móvel](https://usa.kaspersky.com/resource-center/threats/what-is-smishing-and-how-to-defend-against-it), e a Descope o relaciona à ideia de que a pessoa entrega [informação sensível](https://www.descope.com/learn/post/smishing) sem perceber o engano. Essa leitura importa porque desloca a resposta de uma higiene técnica isolada para treinamento contínuo e medição de comportamento. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-72.mp4) · Legendas: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-72.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-72.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-72.br.vtt) How New Phishing Scams Trick You, KristoferYee. [Ver o original](https://www.youtube.com/watch?v=XByR413U58o&t=72s) Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## O que muda quando se separa smishing de mobile phishing? A DeepStrike traça uma fronteira útil: smishing é phishing via SMS ou mensagens de texto, enquanto mobile phishing também inclui apps de chat, navegadores móveis, códigos QR, iscas em PDF e redirecionamentos baseados em aplicativos. Essa distinção evita subestimar o alcance do canal móvel, porque um programa que olhar só para SMS pode deixar de fora outros iscos que chegam ao mesmo usuário pelo mesmo dispositivo. ## O que mostram os números de crescimento? A FTC informa que as perdas relatadas com fraudes por mensagem de texto chegaram a [USD 470 milhões em 2024](https://search.ftc.gov/system/files/ftc_gov/pdf/spotlight-top-text-scams.pdf), mais de cinco vezes o valor de 2020, e alerta que o número provavelmente reflete apenas uma fração do dano real. Essas perdas subiram mesmo com a queda no número de relatos, e a proporção de relatos com dinheiro perdido passou de 5% em 2020 para 11% em 2024. Entre as campanhas mais relatadas estão as falsas entregas de encomendas, as ofertas de emprego falsas, os falsos alertas de fraude de bancos e os avisos de pedágio em atraso. A APWG acrescenta que o smishing aumentou [40 % entre Q1 e Q2](https://apwg.org/trendreports) de 2026. A APWG registrou 971.181 ataques de phishing no primeiro trimestre de 2026, ante 853.244 no quarto trimestre de 2025, alta de 13,8%. Lidos em conjunto, os números mostram um canal que cresce em volume segundo a APWG e em perdas segundo a FTC, e não um caso isolado. ## O que a PCI DSS v4.0 exige em conscientização? O resumo de mudanças da PCI DSS v4.0 diz que o programa de conscientização deve ser revisado e atualizado pelo menos a cada 12 meses, e que o conteúdo precisa cobrir ameaças e vulnerabilidades que afetem a segurança do CDE, incluindo phishing and related attacks and social engineering. [12.6.1, 12.6.2 e 12.6.3](https://www.baitandphish.com/blog/pci-dss-phishing-training) exigem programa formal, revisão anual e treinamento na admissão e a cada 12 meses. Desde 31 de março de 2025, a formação deve cobrir explicitamente phishing e engenharia social em [12.6.3.1](https://cyberaware.com/blog/how-to-align-security-awareness-training-with-pci-dss). ## O que implica a leitura da Whalemate para LATAM? A implicação é direta: se o canal móvel cresce e a PCI pede conscientização anual com foco explícito em phishing e engenharia social, então o programa não deveria se limitar a um curso. A Whalemate propõe um modelo de Human Risk Management que simula, treina, mede, intervém e reporta, com risk score para priorizar intervenções, não para punir. Isso habilita uma decisão concreta para CISO, TI e compliance: usar simulações por SMS, consolidar sinais de cursos, reportes e comportamento, e documentar evidência de redução de exposição. ## Consequência operacional Já amanhã, uma equipe de segurança pode decidir três coisas. Primeiro, tratar o celular como superfície prioritária dentro do programa de conscientização. Segundo, medir cliques e reportes em simulações por SMS como sinal de erro humano, junto com conclusão de treinamento e reincidência. Terceiro, usar essa evidência para sustentar a conformidade com a PCI DSS v4.0 e priorizar grupos expostos, sem transformar o score em ferramenta disciplinar. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-73.mp4) · Legendas: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-73.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-73.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-73.br.vtt) How New Phishing Scams Trick You, KristoferYee. [Ver o original](https://www.youtube.com/watch?v=XByR413U58o&t=73s) ## O que ler depois? - [Human Risk Management na plataforma](https://www.whalemate.com/br/plataforma-de-risco-humano/) - [Security awareness: medir clique e não curso](https://www.whalemate.com/br/recursos/blog/security-awareness-medir-clique-nao/) - [Plataforma de Human Risk Management](https://www.whalemate.com/br/recursos/blog/whalemate-hrm-security-awareness/) [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma-de-risco-humano/) Perguntas ## Perguntas frequentes **Smishing e phishing são a mesma coisa?** Não. Smishing é uma forma de phishing que usa SMS ou mensagens de texto, enquanto phishing é o guarda-chuva mais amplo. A DeepStrike também separa mobile phishing, que inclui outros canais móveis como apps de chat, QR e navegadores. Essa diferença importa porque um programa que mede apenas e-mail pode deixar de fora o vetor móvel. **Que exemplos concretos de smishing aparecem no material?** A ConnectWise menciona mensagens que se passam por bancos, entregas de pacotes e RH. Também traz exemplos textuais como “Your account has been suspended. Click here to reactivate” e “FedEx: Your package delivery failed. Reschedule here”. O padrão é sempre o mesmo: urgência, confiança aparente e um link ou pedido de dados. **O que a PCI DSS v4.0 diz sobre phishing e social engineering?** O resumo de mudanças indica que a conscientização deve ser revisada pelo menos a cada 12 meses e cobrir ameaças que impactem o CDE, incluindo phishing and related attacks and social engineering. A CyberAware acrescenta que, desde 31 de março de 2025, a formação deve cobrir explicitamente phishing e engenharia social na 12.6.3.1. A exigência não é um curso isolado, mas um programa documentado e recorrente. **O que CISO, IT ou compliance deveriam medir?** Deveriam medir exposição e resposta, não apenas presença. Isso inclui cliques em simulações de SMS, reportes em tempo hábil, conclusão de capacitação, reincidência e evolução por segmento de usuários. O material também sugere consolidar esses sinais em um risk score para priorizar intervenções, porque a utilidade real está em decidir onde reforçar controles e treinamento. **Por que esta leitura é relevante para a LATAM?** Porque combina uma pressão regulatória concreta com um vetor que já cresce e afeta usuários móveis. Na LATAM, onde as equipes costumam conviver com muitas responsabilidades e programas fragmentados, isso obriga a organizar prioridades, documentar evidências e evitar que a conscientização fique reduzida a uma campanha anual sem medição de comportamento. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CAPWG%20e%20PCI%20DSS%3A%20smishing%20em%20alta%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CAPWG%20e%20PCI%20DSS%3A%20smishing%20em%20alta%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [Comparação de fontes](#s1) 2. [O que a IBM diz sobre smishing?](#s2) 3. [O que a Proofpoint acrescenta sobre o vetor?](#s3) 4. [Por que Kaspersky e Descope colocam o foco na confiança humana?](#s4) 5. [O que muda quando se separa smishing de mobile phishing?](#s5) 6. [O que mostram os números de crescimento?](#s6) 7. [O que a PCI DSS v4.0 exige em conscientização?](#s7) 8. [O que implica a leitura da Whalemate para LATAM?](#s8) 9. [Consequência operacional](#s9) 10. [O que ler depois?](#s10) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[Fortinet: medir awareness além da conclusão\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/fortinet-medir-awareness-alem-conclusao.webp)](https://www.whalemate.com/br/recursos/blog/fortinet-medir-awareness-alem-conclusao/) HRM 7 de out. de 2026 Por Federico Hombre ### Fortinet: medir awareness além da conclusão NIST, Fortinet e a pesquisa de 2025 mostram uma lacuna: é possível medir comportamento e remediar por evento, mas muitas empresas ainda medem atividade. Ler mais [!\[LATAM: o que mede uma empresa de HRM\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-mede-empresa-hrm.webp)](https://www.whalemate.com/br/recursos/blog/latam-mede-empresa-hrm/) HRM 5 de out. de 2026 Por Federico Hombre ### LATAM: o que mede uma empresa de HRM Para CISO, TI e compliance na LATAM, HRM mede comportamento contínuo, converte em risco e sustenta evidência para ISO 27001 e PCI DSS. Ler mais [!\[ISO 27001 e plataforma de gestão de risco humano\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/iso-27001-plataforma-gestao-risco.webp)](https://www.whalemate.com/br/recursos/blog/iso-27001-plataforma-gestao-risco/) HRM 2 de out. de 2026 Por Federico Hombre ### ISO 27001 e plataforma de gestão de risco humano ISO 27001 exige programas contínuos e eficazes. HRM transforma isso em métricas de comportamento e evidências para a direção. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)