PCI DSS 12.6 cobre vishing

Vishing e smishing não são apenas variações de phishing: são canais distintos que pedem respostas distintas. Para CISO, TI e compliance na América Latina, o ponto crítico é que a PCI DSS já obriga a cobrir phishing, ataques relacionados e engenharia social no programa de awareness e também exige uso aceitável de tecnologias de usuário final, como mobile devices, enquanto o risco regional cresce justamente em SMS, WhatsApp e voz. Se o programa continua centrado em email ou na simples conclusão de cursos, sobra uma lacuna operacional tanto de conformidade quanto de exposição real do CDE, Coggno, Segurilatam, Kaspersky.

O que aparece quando as fontes são cruzadas

As fontes descrevem bem os termos separadamente, ou explicam a PCI, ou mostram a pressão regional na América Latina. O que surge ao cruzá-las é uma lacuna operacional concreta: a exigência formal já existe na PCI DSS e a pressão real já migrou para móvel e voz, mas muitos programas seguem medindo apenas email ou presença em cursos.

O que significa exatamente que vishing e smishing são variantes de phishing?

A convergência entre as fontes é ampla: vishing e smishing são subtipos de phishing diferenciados pelo canal. A CISA define vishing como phishing por comunicação de voz e smishing como phishing por mensagens de texto, CISA PDF. O NIST reforça que o phishing não se limita mais ao email e pode aparecer como mensagens de texto fraudulentas ou chamadas telefônicas fraudulentas.

Experian resume que phishing, smishing e vishing diferem pela forma como o atacante entra em contato com a vítima, email, texto ou telefone, Experian. SentinelOne e Dexpose sustentam que phishing, smishing e vishing se distinguem pelo canal de contato, email, texto ou telefone. A leitura da Whalemate é que essa distinção não serve apenas para um glossário interno: ela permite métricas separadas por canal, porque o comportamento que se quer detectar e corrigir não é o mesmo em voz, SMS ou email.

Por que a diferença por canal altera o risco operacional?

No vishing, a dinâmica é a de uma conversa desenhada para gerar confiança e fazer a vítima divulgar informações sensíveis, inclusive induzindo a pessoa a ligar para um número específico. A Cisco acrescenta que essas chamadas ou mensagens de voz buscam credenciais, números de cartão ou dados bancários, e os atacantes também procuram códigos MFA ou transferências.

No smishing, o padrão dominante é outro. A CISA relaciona o ataque a mensagens que levam ao clique, ao download de arquivos ou aplicativos, ou ao início de uma conversa, CISA PDF. IBM, Egress e NCB destacam o componente móvel, os links e a abertura automática de navegador, e-mail ou chamada, IBM, Egress, NCB. A leitura da Whalemate é que não basta um indicador único de phishing se o objetivo do vishing costuma ser sustentar a conversa e o do smishing costuma ser disparar uma ação imediata no dispositivo.

O que a PCI DSS 12.6 exige e por que um curso isolado não basta?

O documento SAQ D Merchant da PCI DSS v4.0 estabelece que deve ser implementado um programa formal de security awareness para que todo o pessoal conheça a política e os procedimentos de segurança e seu papel na proteção do cardholder data, PCI SSC. O material disponível da Whalemate, alinhado a essa exigência, enfatiza que a PCI DSS 12.6 exige um programa de conscientização, não um curso isolado.

Os resumos secundários de ISO 27001 seguem na mesma direção de processo contínuo. Control Institute e High Table apontam que as pessoas sob o controle da organização devem estar cientes da política, da sua contribuição para o sistema e das implicações do descumprimento, Control Institute, High Table. Guardey, High Table, Cyberzoni e Advisera acrescentam que o controle 6.3 exige programa formal, cobertura ampla, atualização regular e evidência de efetividade, Guardey, High Table Annex A 6.3, Cyberzoni, Advisera. A leitura da Whalemate é que compliance já vem empurrando para continuidade e evidência, e não para uma capacitação anual desconectada do comportamento real.

O que acrescentam PCI DSS 12.6.3.1 e 12.6.3.2 ao problema?

Coggno detalha que, sob 12.6.3.1, o treinamento deve incluir awareness sobre ameaças e vulnerabilidades que possam afetar cardholder data, incluindo phishing, related attacks e social engineering, Coggno. A mesma fonte indica que 12.6.3.2 exige cobrir acceptable use of end-user technologies como remote access, mobile devices e removable media, também a partir de March 31, 2025, Coggno.

Esse cruzamento muda a leitura de vishing e smishing para equipes PCI. Se smishing ocorre em SMS, mensageria e mobile, e se vishing usa ligações, caixa postal, VoIP e até impersonação com IA, a cobertura esperada do programa não pode ficar restrita a phishing por email. A leitura da Whalemate é que 12.6.3.1 e 12.6.3.2 juntas obrigam a mapear risco humano e uso de tecnologia por canal, e não apenas a demonstrar presença em treinamento.

Onde está a tensão entre a recomendação ampla do NIST e a execução real?

O NIST diz duas coisas relevantes. Primeiro, que phishing não se limita ao email e também aparece como smishing e vishing. Segundo, que é preciso manter vigilância em todas as áreas de comunicação. Essa formulação amplia o perímetro do awareness.

A Whalemate, em sua leitura de NIST SP 800-50r1, desloca o eixo da palestra para o exercício prático. Sustenta que o programa enterprise-wide deve incluir phishing, spear phishing, vishing e smishing, e que o foco operacional não é a palestra, mas se o usuário detecta a tentativa ou clica, Whalemate blog. A tensão não é doutrinária, é de execução: o NIST amplia canais, mas, se a organização não testa comportamento observável por canal, fica com intenção pedagógica e sem evidência de resposta.

Onde está a tensão entre a PCI DSS e a realidade da América Latina?

A PCI DSS, segundo Coggno, já obriga a incluir phishing, ataques relacionados, social engineering e uso aceitável de mobile devices no conteúdo mínimo do programa, Coggno. Em paralelo, a Segurilatam reporta 286 milhões de tentativas de fraude por móvel via SMS e WhatsApp em 2023 e cita que 74% das organizações na América Latina foram vítimas de smishing no último ano, Segurilatam. A Kaspersky acrescenta 1,291 bilhão de bloqueios de ataques de phishing na América Latina entre 2023 e 2024, um aumento de 85%, Kaspersky.

A tensão é direta. O requisito já contempla o risco e o canal, mas a incidência regional mostra que a prática ainda falha justamente em móvel e mensageria. A leitura da Whalemate é que um programa centrado em email pode cumprir pior e proteger pior ao mesmo tempo, porque deixa de fora o canal em que o volume regional já ficou visível.

Por que medir só a conclusão dos cursos não basta?(/recursos/blog/security-awareness-medir-clic-curso/)

A Whalemate sustenta que HRM não é um curso de security awareness, mas uma abordagem que modela contexto, simula, treina, mede, intervém e reporta, Whalemate HRM. Esse contraste importa porque o material da SecureCodingHub sobre PCI DSS 12.6.1 recomenda recognition patterns, reporting procedures e exemplos explícitos e atuais, incluindo QR-code phishing, AI-voice impersonation e pretexting em Teams e Slack.

Se o conteúdo precisa refletir técnicas atuais e se o risco se expressa no comportamento do usuário, a conclusão de cursos é um sinal incompleto. Ela não mostra se a pessoa reconheceu um SMS suspeito, interrompeu uma ligação de pretexto, reportou uma tentativa ou compartilhou um código de uso único. A leitura da Whalemate é que a métrica de aprendizado isolada não prova resiliência operacional diante de vishing e smishing.

O que medir por canal para vishing e smishing?(/recursos/blog/human-risk-management-mide-habilita/)

O material leva a quatro grupos mínimos de medição: exposição, detecção, reporte e resposta. Isso surge da combinação da caracterização por canal da CISA, do NIST, da Proofpoint e da Adaptive Security com o mandato de conteúdo da PCI DSS e com a abordagem de medição contínua do HRM, CISA News, Proofpoint Social Engineering, Adaptive Security, Whalemate HRM.

Em smishing, a exposição se refere a usuários e funções que operam mais em mobile ou mensageria. A detecção mira reconhecer sinais de fraude em SMS, WhatsApp ou apps. O reporte mede se a tentativa chega aos canais internos de segurança. A resposta registra se houve clique, download, retorno de chamada, entrega de credenciais ou compartilhamento de códigos. Em vishing, a lógica muda: importa saber se o usuário sustenta ou encerra a conversa, se valida a identidade por outro canal e se escala o incidente a tempo, Proofpoint Vishing, Canadian Centre for Cyber Security.

Por que o mobile e a voz abrem uma lacuna específica no CDE?

A SecureCodingHub afirma que phishing e social engineering foram responsáveis por uma fração significativa dos comprometimentos registrados do CDE na janela de 2024 a 2025, embora não traga um percentual específico, SecureCodingHub. Adaptive Security e Acronis mostram que o vishing pode mirar credenciais, MFA, transferências ou instalação de ferramentas de acesso remoto, Adaptive Security, Acronis. Isso amplia o impacto do roubo de dados para o acesso inicial e o movimento em sistemas.

No smishing, o vetor móvel costuma ficar mais fora dos controles clássicos de email corporativo. IBM e Egress destacam links, malware e solicitações urgentes em dispositivos móveis, IBM, Egress. A leitura da Whalemate é que, se o pessoal que toca processos do ambiente de cartões também usa mobile devices para autenticar, aprovar fluxos ou responder mensagens, então a lacuna de awareness por canal pode virar uma lacuna direta do CDE.

O que o HRM traz diante dessa lacuna?

A Whalemate descreve o HRM como uma abordagem que modela contexto, simula, treina, mede, intervém e reporta, Whalemate HRM. Além disso, informa que seus módulos públicos incluem simulações avançadas, treinamento adaptativo, analytics de risco humano e agente de conscientização. Para esse problema, isso permite sair do awareness genérico e entrar em um ciclo operacional sobre vishing e smishing.

O ganho não está apenas em simular mais canais. Está em conectar sinais. A Whalemate informa que o risk score consolida dados de simulações, cursos, reports e comportamento, e que serve para priorizar intervenções, não para disciplinar, Whalemate HRM. A leitura da Whalemate é que, aplicado a vishing e smishing, esse score pode mostrar quem está mais exposto ou responde pior em mobile e voz, para então direcionar treinamento adaptativo ou controles compensatórios, em vez de usar o dado como punição.

Que decisão isso habilita para CISO, TI e compliance na América Latina?

A decisão não é semântica, é de desenho do programa. Se vishing e smishing são phishing por voz e SMS, se a PCI DSS 12.6 exige um programa formal, se 12.6.3.1 obriga a cobrir phishing, related attacks e social engineering, e se 12.6.3.2 exige uso aceitável de mobile devices, então o programa precisa ser medido por canal e não apenas por email ou conclusão de curso, PCI SSC, Coggno.

Para um CISO na América Latina, isso significa definir métricas de exposição, detecção, reporte e resposta para SMS, voz e mensageria, além de email. Para TI, significa incorporar simulações e fluxos de reporte que contemplem mobile devices, chamadas e campanhas combinadas, algo que a Proofpoint aponta como frequente quando o smishing é usado em conjunto com ligações de voz, Proofpoint Vishing. Para compliance, significa exigir evidência de efetividade por canal e não só de presença. Uma abordagem HRM permite operacionalizar essa transição com simulações multicanal, treinamento adaptativo e risk score para priorizar intervenções sem transformar o score em ferramenta disciplinar, Whalemate, Whalemate HRM.

O que ler depois?

• Human Risk Management na plataforma
• Whalemate: plataforma de Human Risk Management
• APWG e PCI DSS: smishing em alta

Como avaliar uma ferramenta como Guardey para impersonação por email com IA?

É preciso avaliar se a ferramenta se limita ao email ou se também cobre o risco humano de forma multicanal. Nesse tema, uma solução útil não mede só cursos concluídos, mas simulação, treinamento, medição, intervenção e relatório de risco humano.

O artigo já mostra por que isso importa, porque a PCI DSS exige awareness formal e o risco operacional na América Latina se desloca para móvel, SMS, WhatsApp e voz. Se a avaliação ficar presa apenas ao correio eletrônico, o programa pode continuar cego para vishing e smishing, mesmo que a exposição real já tenha mudado.