Por 
Phishing versus vishing não faz sentido quando a comparação fica só em email contra voz. O cruzamento entre PCI DSS, NIST CSF 2.0, CISA, CTIR Gov Brasil e a evidência empírica mostra algo mais incômodo: para phishing há exigências explícitas de controles técnicos automatizados separadas da capacitação, enquanto para vishing predominam reconhecimento de sinais, validação por canal alternativo e escalonamento. Essa assimetria torna insuficiente medir apenas cliques ou a conclusão de um curso anual.
O que aparece quando as fontes são cruzadas
Nenhuma fonte do material monta esse mapa sozinha. Colocadas lado a lado, elas mostram que phishing e vishing compartilham a base de engenharia social, mas não deixam o mesmo rastro observável, não acionam os mesmos controles e não deveriam ser auditados com o mesmo painel.
| Norma ou guia | Canal | O que se observa | Controle principal | O que exige | Reporte | Fonte |
|---|---|---|---|---|---|---|
| PCI DSS v4.0 Requirement 5.4.1 | phishing | não especificado | processos e mecanismos automatizados | "Processes and automated mechanisms are in place to detect and protect personnel against phishing attacks." | não especificado | PCI Security Standards Council |
| PCI DSS v4.0 Requirement 12.6.3.1 | phishing e ataques relacionados, engenharia social | ameaças e vulnerabilidades que poderiam afetar a CDE | treinamento de conscientização | o treinamento deve incluir consciência sobre "Phishing and related attacks" e "Social engineering" | não especificado | PCI Security Standards Council |
| NIST CSF 2.0 PR.AT-01 | engenharia social e outros ataques comuns | reconhecimento de tentativas e atividades suspeitas | conscientização e treinamento | o pessoal deve receber conscientização e treinamento, incluindo reconhecer tentativas de engenharia social e reportar ataques e atividades suspeitas, segundo o NIST | sim | NIST |
| CTIR Gov Brasil Recomendação 04/2025 | vishing | caller ID falsificado, pedidos de confirmar identidade ou token, solicitações para instalar AnyDesk ou TeamViewer, urgência ou ameaça | campanhas de reconhecimento de canais oficiais e capacitação | reforçar canais oficiais e capacitar usuários para reconhecer tentativas de vishing, segundo o CTIR Gov Brasil | não especificado | CTIR Gov Brasil |
| CTIR Gov Brasil Recomendação 01/2019 | phishing ou comprometimento de credenciais | suspeita de phishing ou comprometimento de credenciais | notificação ao time interno | notificar imediatamente o time de incidentes, segurança ou suporte de TI, segundo o CTIR Gov Brasil | sim | CTIR Gov Brasil |
| LNCC Brasil A.6.3 | emails, SMS e ligações fraudulentas, phishing, vishing e smishing | identificação de fraudes, verificação do remetente, novas táticas de ataque | conscientização, educação e treinamento | inclui conteúdos sobre emails, SMS e ligações fraudulentas, verificação do remetente e reporte de tentativas de fraude, segundo o LNCC | sim | LNCC Brasil |
| CISA Phishing Guidance e Scattered Spider | phishing, também vishing e spearphishing | não especificado | MFA resistente a phishing e treinamento diligente | recomenda FIDO/WebAuthn ou MFA baseada em PKI, e continuar o treinamento contra vishing e spearphishing, segundo a CISA | não especificado | CISA |
Por que o erro comum é tratar isso como dois canais equivalentes?
A CISA define phishing como uma forma de engenharia social que usa emails ou sites maliciosos para solicitar informações pessoais, e define vishing como a abordagem de engenharia social que utiliza comunicação por voz. Se a leitura para por aí, o quadro operacional parece simples: email de um lado, ligações do outro.
Mas o NIST complica essa classificação ao apontar que phishing não se limita ao email e também pode chegar por mensagens de texto, chamadas telefônicas, redes sociais ou correspondência postal. A leitura da Whalemate é que o problema não se organiza bem por canal puro, e sim por sinais observáveis e pelo tipo de controle que cada cenário admite. É essa diferença que acaba afetando compliance, métricas e orçamento.
O que realmente muda entre phishing e vishing ao medir risco?
No phishing, há rastros mais estruturados para observar. O material indica que é possível medir links, anexos, domínios, entrega e credenciais, e a guia da CISA, NSA, FBI e MS-ISAC separa duas táticas comuns, roubo de credenciais por meio de site falso e distribuição de malware por anexo malicioso.
No vishing, os sinais são outros. Segundo o CTIR Gov Brasil, é preciso observar caller ID falsificado, pedidos para confirmar identidade ou token, solicitações para instalar AnyDesk ou TeamViewer e discursos de urgência ou ameaça. A leitura da Whalemate é que, se um programa usa o mesmo indicador para os dois casos, por exemplo taxa de clique, ele deixa de fora justamente o comportamento que mais importa na voz.
O que o PCI DSS exige e por que isso rompe o modelo de awareness único?
O PCI DSS v4.0 Requirement 5.4.1 exige que existam processos e mecanismos automatizados para detectar e proteger o pessoal contra ataques de phishing, segundo o PCI Security Standards Council. O mesmo padrão, no Requirement 12.6.3.1, exige que o treinamento inclua consciência sobre "Phishing and related attacks" e "Social engineering", também segundo o PCI Security Standards Council.
A tensão é relevante. O PCI DSS distingue explicitamente mecanismo técnico de treinamento, e cumprir um não equivale a cumprir o outro, segundo o próprio material do padrão. A leitura da Whalemate é que muitas organizações na América Latina tratam campanhas de awareness como se elas cobrisse os dois lados, mas essa abordagem deixa uma lacuna de compliance frente ao phishing e praticamente não diz nada sobre vishing.
O que acontece quando a evidência questiona a eficácia do treinamento sozinho?
A separação do PCI DSS fica mais importante quando é cruzada com a evidência empírica. Uma reprodução em larga escala publicada em 2025 não encontrou efeitos principais significativos das intervenções de treinamento nem sobre a taxa de clique, p=0,450, nem sobre a taxa de reporte, p=0,417, com tamanhos de efeito insignificantes, segundo o estudo acadêmico no arXiv.
A leitura da Whalemate é que isso não invalida o treinamento, mas invalida usar a capacitação como único argumento de redução de risco. Se o padrão já exige uma camada técnica separada para phishing, insistir só em awareness não apenas pode trazer pouco resultado, como também pode deixar o compliance sem evidência suficiente de controle.
A CISA pede para continuar treinando mesmo com evidência modesta?
Sim. A CISA recomenda que as organizações continuem fazendo treinamento diligente de funcionários contra vishing e spearphishing, além de implementar MFA resistente a phishing, segundo sua orientação sobre Scattered Spider. Esse "além de" pesa mais do que a recomendação isolada.
A tensão fica mais clara quando cruza com um relatório associado ao NIST. Esse relatório encontrou uma melhora estatística pequena, 2% menos propensão a cair em phishing entre quem recebeu treinamento, e também observou que o treinamento estático não mostrou benefício, enquanto o treinamento interativo deixou as pessoas 20% menos propensas a falhar em simulações futuras, segundo o NIST Public Safety Communications Research. A leitura da Whalemate é que a pergunta não é se treinar ou não, mas que tipo de treinamento justifica investimento e com quais controles ele deve ser combinado.
Quais métricas ficam curtas quando só se olha clique?
Os próprios benchmarks do material mostram por que clique não basta. O 2025 Phishing Simulation Benchmark Report da Fortra, baseado em 13,9 milhões de destinatários e 7.504 campanhas de clientes, registrou 5,42% de taxa de clique, 1,99% de envio de senhas e 10,50% de taxa de reporte. O mesmo relatório alerta que uma taxa de reporte de 10,5% não deve ser celebrada automaticamente e que uma taxa de clique de 5,42% ou de envio de senhas de 1,99% não é necessariamente aceitável apenas por ser baixa, segundo a Fortra.
A leitura da Whalemate é que o painel precisa medir a sequência e não um evento isolado. Para phishing, o valor está em observar entrega, interação, envio de credenciais, reporte, tempo até reportar e escalonamento. Para vishing, a lógica muda ainda mais, porque nem clique nem entrega descrevem bem o risco real de uma ligação fraudulenta.
