Para CISO, TI e compliance, saber "how to spot a phishing email" não basta como checklist visual. O cruzamento entre CIS, CISA, NIST e NCSC mostra que o programa mínimo combina treinamento, capacidade de reporte e resposta a incidentes, mas a prática costuma ficar aquém porque o CIS estabelece um piso de capacitação na admissão e, no mínimo, anual, enquanto CISA, NIST e NCSC empurram um modelo contínuo que também mede reporte, não interação e resposta rápida diante de mensagens não detectadas.
O que muda quando os marcos são comparados
Nenhuma das fontes do material coloca lado a lado o que cada marco exige sobre phishing. Ao compará-los, surge algo concreto: o mínimo de conformidade não termina em ensinar sinais visuais, porque vários marcos também esperam canais de reporte, não interação e capacidade de resposta.
Norma
O que pede
Frequência
Reporte
Resposta
O que pode ser medido
Fonte
CIS Control 14.1 e 14.2
Estabelecer e manter um programa de conscientização e capacitar a força de trabalho para reconhecer ataques de engenharia social, como phishing, BEC, pretexting e tailgating
Capacitação na admissão e, no mínimo, anualmente; revisar e atualizar o conteúdo anualmente ou diante de mudanças empresariais significativas
não especificado
não especificado
cobertura de capacitação e atualização de conteúdo
CIS
CISA CPG 2.I e Phishing Guidance
Implementar treinamento de usuários sobre ataques de engenharia social e phishing; educar regularmente os usuários para identificar e-mails e links suspeitos, não interagir com eles e reportar a abertura de e-mails, links, anexos ou outros iscas suspeitas
regularmente
Usar funções de reporte integradas no Outlook e em outras plataformas de e-mail em nuvem; reportar rapidamente incidentes de phishing à CISA
Não interagir com a mensagem; excluí-la; verificar por outro canal mensagens potencialmente legítimas
usuários que identificam, não interagem e reportam mensagens suspeitas
CISA
NIST CSF 2.0 e SP 800-61 Rev. 3
Capacitar usuários para reconhecer tentativas de engenharia social e outros ataques comuns, reportar ataques e atividade suspeita, e executar tarefas básicas de higiene cibernética; integrar a resposta a incidentes às atividades de gestão de riscos
não especificado
Reportar ataques e atividade suspeita
A resposta a incidentes inclui detecção, resposta e recuperação; um programa de phishing deve considerar não só a prevenção do clique, mas também detecção e reporte posterior
reconhecimento, reporte, detecção, resposta e recuperação
NIST
NCSC
Estruturar a defesa contra phishing em quatro ações: dificultar que atacantes cheguem aos usuários, ajudar os usuários a identificar e reportar mensagens suspeitas, proteger a organização contra e-mails não detectados e responder rapidamente a incidentes
não especificado
Reencaminhar e-mails suspeitos para report@phishing.gov.uk, mesmo quando o usuário não tiver certeza de que seja uma fraude
Proteger contra e-mails não detectados e responder rapidamente a incidentes
identificação e reporte de mensagens suspeitas, cobertura de controles técnicos e velocidade de resposta
NCSC
Por que "spot a phishing email" não basta como programa?
O NIST define phishing como o uso de e-mails ou outras mensagens convincentes para enganar pessoas e fazê-las abrir links maliciosos ou baixar software malicioso, segundo o NIST. Essa definição já desloca o foco da aparência do e-mail para a manipulação do comportamento e para o resultado operacional.
A CISA recomenda reconhecer sinais como linguagem urgente ou emocional, pedidos de informação pessoal ou financeira, URLs encurtadas não confiáveis e endereços de e-mail ou links incorretos, segundo a CISA. Mas a mesma orientação acrescenta que o usuário não deve interagir com a mensagem e deve reportá-la, segundo a CISA. A leitura da Whalemate é que detectar sinais é apenas a primeira camada, não o objetivo final do programa.
Quais sinais visuais seguem relevantes?
A NIST Phish Scale classifica os sinais do e-mail em cinco tipos: erros, indicadores técnicos, indicadores de apresentação visual, linguagem e conteúdo, e táticas comuns, segundo o NIST. Entre os indicadores de linguagem e conteúdo estão saudações genéricas, falta de dados do remetente, pressão de tempo e linguagem ameaçadora, segundo o NIST.
A CISA também lista sinais concretos como endereços de remetente suspeitos ou imitados, saudações e assinaturas genéricas, links cujo destino não corresponde ao texto visível, erros de ortografia ou gramática, formatação inconsistente e anexos suspeitos, segundo a CISA. A FTC soma sinais como saudações genéricas, avisos sobre contas suspensas por problemas de faturamento ou pedidos para atualizar dados de pagamento, segundo a FTC.
O que o NIST mede quando avalia a dificuldade de detecção?
A NIST Phish Scale é um método para que implementadores classifiquem a dificuldade de detecção humana de um e-mail de phishing, segundo o NIST. A escala combina um sistema de pontuação de características observáveis do e-mail e um sistema de pontuação de alinhamento entre a premissa do e-mail e seu público-alvo, segundo o NIST.
Isso muda a forma de olhar uma simulação ou uma campanha real. A leitura da Whalemate é que não basta medir uma taxa agregada de clique se não se distingue quão difícil era a mensagem, quais táticas ela usou e a qual audiência ela foi direcionada. Sem essa camada, uma campanha fácil e uma campanha sofisticada acabam misturadas em um mesmo indicador.
Onde aparece a tensão entre mínimo anual e modelo contínuo?
O CIS Safeguard 14.1 exige capacitação na admissão e, no mínimo, anual, além de revisar e atualizar o conteúdo anualmente ou diante de mudanças empresariais significativas, segundo o CIS. A CISA, por sua vez, indica que as organizações devem educar regularmente os usuários para identificar e-mails e links suspeitos, não interagir com eles e reportar a abertura de e-mails, links, anexos ou outros sinais suspeitos, segundo a CISA.
A tensão não é pequena. A leitura da Whalemate é que um programa que cumpre apenas o mínimo anual do CIS pode ficar aquém da expectativa operacional da CISA, especialmente quando o phishing muda de isca, canal e formato mais rápido que o ciclo anual de conteúdo.
O que acontece quando o programa mede só clique?
As evidências disponíveis mostram que medir apenas clique deixa de fora parte do que os marcos exigem. O NIST CSF 2.0 inclui o resultado Ex2, que pede treinar usuários para reconhecer tentativas de engenharia social, reportar ataques e atividade suspeita, cumprir políticas de uso aceitável e executar tarefas básicas de higiene cibernética, segundo o NIST.
O NIST SP 800-61 Rev. 3 estabelece que a resposta a incidentes inclui atividades de detecção, resposta e recuperação, segundo o NIST. O NCSC organiza a defesa em quatro ações, entre elas ajudar a identificar e reportar mensagens suspeitas, proteger contra e-mails não detectados e responder rapidamente a incidentes, segundo o NCSC. A leitura da Whalemate é direta: se o KPI central continua sendo "quem clicou", o programa não está medindo reporte nem capacidade de resposta.
Reconhecer remetentes suspeitos basta para decidir?
As abordagens centradas em sinais visuais costumam insistir em remetente, saudações genéricas, erros, links e anexos suspeitos, segundo a orientação da CISA. Mas o CTIR Gov do Brasil recomenda não considerar uma mensagem confiável apenas por confiar no remetente, porque ela pode vir de uma conta comprometida, um perfil falso ou um endereço forjado, segundo o CTIR Gov.
Aí surge outra tensão importante. A leitura da Whalemate é que ensinar "olhe o remetente" como regra quase autossuficiente cria uma falsa sensação de controle, porque parte do risco não está em um remetente obviamente falso, mas em contas comprometidas, falsificação crível ou cadeias legítimas sequestradas.
O que muda com QR phishing, terceiros e iscas mais críveis?
A urgência de um modelo contínuo cresce com o volume e a variação da ameaça. A APWG observou 1.130.393 ataques de phishing no segundo trimestre de 2025, 13% acima dos 1.003.924 do primeiro trimestre de 2025, segundo a APWG. Em junho de 2025, a APWG registrou 35.345 campanhas únicas de e-mail de phishing e 1.642 marcas atacadas por meio de campanhas que usavam códigos QR, segundo a APWG.
A Microsoft informou que sua plataforma Microsoft Defender for Office 365 detectou mais de 145 milhões de ataques de phishing com códigos QR entre julho de 2025 e junho de 2026, segundo a Microsoft. A Verizon relatou que a participação de terceiros nas violações dobrou de 15% para 30% no seu DBIR 2025, segundo a Verizon. A leitura da Whalemate é que o programa de phishing já não pode ser modelado apenas sobre o e-mail clássico com erros evidentes.
Quão forte segue sendo o componente humano?
O Verizon 2025 Data Breach Investigations Report analisou mais de 22.000 incidentes de segurança, incluindo 12.195 violações de dados confirmadas, segundo a Verizon. Nesse relatório, o elemento humano esteve envolvido em aproximadamente 60% das violações, segundo a Verizon.
A Microsoft Incident Response informou que 28% das violações analisadas começaram por phishing ou engenharia social, segundo a Microsoft. A IBM identificou o phishing como o vetor inicial de ataque mais frequente, presente em 16% das filtragens analisadas, com custo médio de US$ 4,8 milhões por filtragem associada, segundo a IBM. A leitura da Whalemate é que seguir tratando phishing como tema isolado de awareness subestima seu peso em incidentes e perdas reais.
Quais controles técnicos entram quando o usuário não detecta a mensagem?
O NCSC estrutura a defesa contra phishing em quatro ações, e uma delas é proteger a organização contra e-mails não detectados, segundo o NCSC. A CISA recomenda implementar funções de marcação de e-mails externos nos clientes de e-mail e filtros no gateway para bloquear indicadores maliciosos conhecidos, como assuntos maliciosos conhecidos e endereços IP suspeitos, segundo a CISA.
O NCSC apresenta um caso em que uma campanha enviou 1.800 e-mails e um serviço de filtragem reteve 1.750 porque identificou malware, segundo o NCSC. A leitura da Whalemate é que o programa mínimo não é só formação, mas também cobertura técnica suficiente para assumir que parte dos usuários sempre verá mensagens que o filtro não barrou.
Qual é o papel do reporte como controle operacional?
A CISA recomenda usar funções de reporte integradas no Microsoft Outlook e em outras plataformas de e-mail em nuvem, além de reportar spam à Microsoft, Apple e Google quando couber, segundo a CISA. Também recomenda reportar rapidamente incidentes de phishing à CISA, segundo o Phishing Guidance da CISA.
O NCSC recomenda reencaminhar e-mails suspeitos para report@phishing.gov.uk mesmo quando o usuário não tiver certeza de que seja uma fraude, segundo o NCSC. A leitura da Whalemate é que o reporte não é uma conduta secundária, e sim uma capacidade operacional que acelera triagem, contenção, bloqueio e aprendizado sobre campanhas ativas.
O que isso implica para CISO, TI e compliance na América Latina?
A decisão que esse cruzamento de marcos habilita não é lançar outra campanha genérica sobre sinais visuais, mas decidir onde intervir primeiro. Se o programa hoje mede participação anual ou taxa de clique, a primeira mudança deveria ser instrumentar métricas de cobertura de treinamento, dificuldade de detecção por tipo de isca, taxa de reporte, não interação com links ou anexos, uso do botão de reporte e tempos de detecção e resposta.
Para TI, isso significa revisar se existem funções de reporte no cliente de e-mail, marcação de e-mail externo, filtros de gateway e circuito de resposta após abertura, clique ou comprometimento de credenciais, segundo a CISA, o NCSC e o NIST. Para compliance, implica verificar se o programa atende ao fato de que o PCI DSS 12.6 exige um programa de conscientização em segurança, não um curso isolado, e se a evidência de execução mostra continuidade além do mínimo anual. Para um CISO, implica priorizar público, tipo de isca, canal de reporte, filtragem técnica ou resposta a credenciais comprometidas conforme o comportamento observado e a exposição.
O que um programa de phishing deveria medir além da taxa de clique?
Além de cliques, o material mostra que convém medir cobertura de treinamento, atualização de conteúdo, dificuldade de detecção da isca, taxa de reporte, não interação com links ou anexos, uso do botão de reporte e tempos de detecção e resposta. Isso surge do cruzamento entre CIS, CISA, NIST e NCSC, que não se limitam a avaliar interação.
Cumprir com capacitação anual basta para phishing?
Não necessariamente. O CIS estabelece capacitação na admissão e, no mínimo, anual, segundo o CIS. Mas a CISA pede educar regularmente os usuários para identificar, não interagir e reportar, segundo a CISA. NIST e NCSC também incorporam reporte, detecção e resposta. Um programa anual pode cumprir um piso, mas ficar aquém na prática operacional.
Por que reportar e-mails suspeitos importa tanto quanto não clicar?
Porque os marcos analisados tratam o reporte como parte da defesa, não como uma etapa acessória. A CISA recomenda funções de reporte integradas em plataformas de e-mail e o NIST CSF 2.0 inclui reportar ataques e atividade suspeita. O NCSC também pede ajudar a identificar e reportar, inclusive quando o usuário não tem certeza de que se trata de uma fraude.
Os sinais visuais clássicos ainda servem?
Sim, mas não bastam sozinhos. NIST, CISA e a FTC continuam apontando erros, saudações genéricas, pressão de tempo, remetentes suspeitos e links inconsistentes. O problema é que o CTIR Gov adverte que uma mensagem pode vir de uma conta comprometida, um perfil falso ou um endereço forjado. Por isso a detecção visual precisa de apoio de reporte e controles técnicos.
Gostaria de se aprofundar neste tema?
Abra este artigo diretamente no Claude ou ChatGPT —
faça perguntas, peça um resumo ou explore ideias relacionadas.
Por 
