PCI DSS 12.6 cobre vishing

Vishing e smishing não são apenas variações de phishing, são canais distintos que já pedem resposta distinta. Para CISO, TI e compliance na América Latina, o ponto crítico é que o PCI DSS já obriga a cobrir phishing, ataques relacionados e engenharia social no programa de awareness e, além disso, exige uso aceitável de tecnologias do usuário final, como mobile devices, enquanto o risco regional cresce justamente em SMS, WhatsApp e voz. Segundo o Internet Crime Complaint Center (FBI), o FBI define smishing como o targeting malicioso de indivíduos por mensagens de texto SMS ou MMS, e define vishing como o targeting malicioso de indivíduos por mensagens de voz, que pode incorporar vozes geradas por inteligência artificial. Se o programa continua centrado em email ou em completion de cursos, sobra uma lacuna operacional tanto de compliance quanto de exposição real do CDE. Segundo o Internet Crime Complaint Center (FBI), o relatório IC3 2025 do FBI registrou 1.008.597 denúncias de crimes cibernéticos e perdas de US$20.877 milhões, além de 55.851 denúncias na categoria Phishing/Spoofing.

O que se vê quando as fontes são colocadas juntas

As fontes descrevem bem os termos separadamente, ou explicam bem PCI, ou mostram a pressão regional na América Latina. O que aparece ao cruzá-las é um gap operacional concreto: a obrigação formal já está no PCI DSS e a pressão real já migrou para móvel e voz, mas muitos programas ainda medem só email ou presença em cursos.

O que significa exatamente dizer que vishing e smishing são variantes de phishing?

A coincidência entre as fontes é ampla: vishing e smishing são subtipos de phishing diferenciados pelo canal. A CISA define vishing como phishing por comunicação de voz e smishing como phishing por mensagens de texto. O NIST reforça que phishing já não se limita ao email e pode aparecer como mensagens de texto fraudulentas ou chamadas telefônicas fraudulentas.

A Experian resume que phishing, smishing e vishing diferem pela forma como o atacante entra em contato com a vítima, email, texto ou telefone. SentinelOne e Dexpose sustentam que phishing, smishing e vishing se distinguem pelo canal de contato, email, texto ou telefone. A leitura da Whalemate é que essa distinção não serve apenas para um glossário interno: ela habilita métricas separadas por canal, porque o comportamento que se quer detectar e corrigir não é o mesmo em voz, SMS ou email.

Por que a diferença por canal muda o risco operacional?

No vishing, a dinâmica é uma conversa desenhada para gerar confiança e levar a vítima a divulgar informação sensível, inclusive induzindo a pessoa a ligar para um número específico. A Cisco acrescenta que essas chamadas ou mensagens de voz buscam credenciais, números de cartão ou dados bancários, e os atacantes também procuram códigos MFA ou transferências.

No smishing, o padrão dominante é diferente. A CISA relaciona o ataque a mensagens que levam a clicar, baixar arquivos ou aplicativos, ou iniciar uma conversa. IBM, Egress e NCB destacam o componente móvel, os links e a abertura automática de navegador, email ou ligação. A leitura da Whalemate é que não basta um indicador único de phishing se o objetivo do vishing costuma ser sustentar uma conversa e o do smishing costuma ser disparar uma ação imediata no dispositivo.

O que o PCI DSS 12.6 exige e por que um curso isolado não basta?

O documento SAQ D Merchant do PCI DSS v4.0 estabelece que deve ser implementado um programa formal de security awareness para que todo o pessoal conheça a política e os procedimentos de segurança e seu papel na proteção do cardholder data, PCI SSC. O material disponível da Whalemate, em linha com essa exigência, enfatiza que o PCI DSS 12.6 exige um programa de conscientização, não um curso isolado.

Os resumos secundários de ISO 27001 seguem a mesma lógica de processo contínuo. Control Institute e High Table indicam que as pessoas sob controle da organização devem estar cientes da política, da sua contribuição para o sistema e das implicações do descumprimento. Guardey, High Table, Cyberzoni e Advisera acrescentam que o controle 6.3 requer programa formal, cobertura ampla, atualização regular e evidência de efetividade. A leitura da Whalemate é que compliance já vem empurrando para continuidade e evidência, não para uma capacitação anual desconectada do comportamento real.

O que acrescentam o PCI DSS 12.6.3.1 e o 12.6.3.2 ao problema?

A Coggno detalha que, sob o 12.6.3.1, o treinamento deve incluir awareness sobre ameaças e vulnerabilidades que possam afetar cardholder data, incluindo phishing, related attacks e social engineering, Coggno. A mesma fonte indica que o 12.6.3.2 exige cobrir acceptable use of end-user technologies como remote access, mobile devices e removable media, também desde March 31, 2025, Coggno.

Esse cruzamento muda a leitura de vishing e smishing para equipes PCI. Se smishing ocorre em SMS, mensagens e mobile, e se vishing usa chamadas, caixa postal, VoIP e até imitação com IA, a cobertura esperada do programa não pode ficar restrita a phishing por email. A leitura da Whalemate é que 12.6.3.1 e 12.6.3.2 juntas obrigam a mapear risco humano e uso de tecnologia por canal, e não só a provar presença em uma capacitação.

Onde está a tensão entre a recomendação ampla do NIST e a execução real?

O NIST diz duas coisas relevantes. Primeiro, que phishing não se limita ao email e também aparece como smishing e vishing. Segundo, que é preciso manter atenção em todas as áreas de comunicação. Essa formulação amplia o perímetro do awareness.

A Whalemate, na leitura de NIST SP 800-50r1, desloca o eixo da palestra para o exercício prático. Sustenta que o programa enterprise-wide deve incluir phishing, spear phishing, vishing e smishing, e que o foco operacional não é a palestra, mas se o usuário detecta a tentativa ou clica, Whalemate blog. A tensão não é doutrinária, é de execução: o NIST amplia canais, mas se a organização não testa comportamento observável por canal, fica com intenção pedagógica e sem evidência de resposta.

Onde está a tensão entre o PCI DSS e a realidade da América Latina?

O PCI DSS, segundo a Coggno, já obriga a incluir phishing, ataques relacionados, social engineering e uso aceitável de mobile devices no conteúdo mínimo do programa, Coggno. Ao mesmo tempo, a Segurilatam reporta 286 milhões de tentativas de fraude por mobile via SMS e WhatsApp em 2023 e informa que 74% das organizações na América Latina foram vítimas de smishing no último ano, Segurilatam. A Kaspersky acrescenta 1.291 milhões de bloqueios de ataques de phishing na América Latina entre 2023 e 2024, uma alta de 85%, Kaspersky.

A tensão é direta. O requisito já contempla o risco e o canal, mas a incidência regional mostra que a prática continua falhando justamente em mobile e mensagens. A leitura da Whalemate é que um programa centrado em email pode cumprir pior e proteger pior ao mesmo tempo, porque deixa de fora o canal em que o volume regional já ficou visível.

Por que medir só o completion de cursos não basta?

A Whalemate sustenta que HRM não é um curso de security awareness, mas uma abordagem que modela contexto, simula, treina, mede, intervém e reporta. Esse contraste importa porque o material da SecureCodingHub sobre PCI DSS 12.6.1 recomenda recognition patterns, reporting procedures e exemplos explícitos e atuais, incluindo QR-code phishing, AI-voice impersonation e pretexting em Teams e Slack.

Se o conteúdo precisa refletir técnicas atuais e se o risco se expressa no comportamento do usuário, o completion de cursos é um sinal incompleto. Ele não mostra se a pessoa reconheceu um SMS suspeito, encerrou uma ligação de pretexto, reportou uma tentativa ou compartilhou um código de uso único. A leitura da Whalemate é que a métrica de aprendizado isolada não prova resiliência operacional frente a vishing e smishing.

O que deve ser medido por canal em vishing e smishing?

O material leva a quatro grupos mínimos de medição. Exposição, detecção, reporte e resposta. Isso surge da combinação da caracterização por canal da CISA, do NIST, da Proofpoint e da Adaptive Security com o mandato de conteúdo do PCI DSS e a abordagem de medição contínua de HRM.

Em smishing, a exposição remete a usuários e funções que operam mais em mobile ou mensagens. A detecção aponta para reconhecer sinais de fraude em SMS, WhatsApp ou apps. O reporte mede se a tentativa chega aos canais internos de segurança. A resposta registra se houve clique, download, ligação de retorno, entrega de credenciais ou compartilhamento de códigos. Em vishing, a lógica muda: importa se o usuário mantém ou encerra a conversa, se valida a identidade por outro canal e se escala o incidente a tempo.

Por que o mobile e a voz abrem uma lacuna específica no CDE?

A SecureCodingHub afirma que phishing e social engineering foram responsáveis por uma fração significativa dos comprometimentos registrados do CDE na janela 2024-2025, embora não traga um percentual específico. A Adaptive Security e a Acronis mostram que o vishing pode mirar credenciais, MFA, transferências ou instalação de ferramentas de acesso remoto. Isso amplia o impacto de roubo de dados para acesso inicial e movimento em sistemas.

No smishing, o vetor móvel costuma ficar mais fora dos controles clássicos de email corporativo. IBM e Egress destacam links, malware e solicitações urgentes em dispositivos móveis, IBM, Egress. A leitura da Whalemate é que, se o pessoal que toca processos do ambiente de cartões também usa mobile devices para autenticar, aprovar fluxos ou responder mensagens, então a lacuna de awareness por canal pode virar uma lacuna direta do CDE.

O que o HRM acrescenta diante dessa lacuna?

A Whalemate descreve HRM como uma abordagem que modela contexto, simula, treina, mede, intervém e reporta, Whalemate HRM. Também informa que seus módulos públicos incluem simulações avançadas, treinamento adaptativo, analytics de risco humano e agente de conscientização. Para esse problema, isso permite sair de awareness genérico para um ciclo operacional sobre vishing e smishing.

O ganho não está apenas em simular mais canais. Está em conectar sinais. A Whalemate aponta que o risk score consolida dados de simulações, cursos, reportes e comportamento, e que serve para priorizar intervenções, não para disciplinar, Whalemate HRM. A leitura da Whalemate é que, aplicado a vishing e smishing, esse score pode mostrar quem está mais exposto ou reage pior em mobile e voz, para permitir intervenção com treinamento adaptativo ou controles compensatórios em vez de usar o dado como punição.

Qual decisão isso habilita para CISO, TI e compliance na América Latina?

A decisão não é semântica, é de desenho do programa. Se vishing e smishing são phishing por voz e SMS, se o PCI DSS 12.6 exige um programa formal, se o 12.6.3.1 obriga a cobrir phishing, related attacks e social engineering, e se o 12.6.3.2 exige uso aceitável de mobile devices, então o programa precisa ser medido por canal e não só por email ou finalização de cursos, PCI SSC, Coggno.

Para um CISO na América Latina, isso implica definir métricas de exposição, detecção, reporte e resposta para SMS, voz e mensagens, além de email. Para TI, implica incorporar simulações e rotas de reporte que contemplem mobile devices, chamadas e campanhas combinadas, algo que a Proofpoint aponta como frequente quando o smishing é usado em conjunto com chamadas de voz, Proofpoint Vishing. Para compliance, implica exigir evidência de efetividade por canal e não apenas evidência de participação. Uma abordagem HRM permite operacionalizar essa transição com simulações multicanal, treinamento adaptativo e risk score para priorizar intervenções sem transformar o score em ferramenta disciplinar, Whalemate, Whalemate HRM.

O que ler depois?

• Human Risk Management na plataforma
• Plataforma de Human Risk Management
• APWG e PCI DSS: smishing em alta