PCI DSS 12.6: medir smishing

A diferença entre smishing e vishing parece apenas de definição, SMS de um lado e voz do outro, mas ao cruzar isso com NIST, PCI DSS 12.6 e a evidência de Verizon, Zimperium e Whalemate, muda uma decisão operacional central para CISO, TI e compliance na LATAM: não basta awareness de email, é preciso medir e treinar phishing multicanal, porque SMS e voz mostram maior crescimento ou eficácia e um programa formal deve cobrir ameaças e ataques relacionados.

O que se vê ao comparar smishing, vishing e PCI DSS 12.6

Lidas lado a lado, as fontes mostram algo que isoladamente não fica completo. A diferença de canal entre smishing e vishing não só altera a definição, como muda que evidência de risco deve ser observada, quais métricas devem ser solicitadas e qual deve ser o alcance mínimo de um programa formal de awareness.

A diferença entre smishing e vishing é só semântica?

Sim na definição, não na gestão. NIST diz que o phishing vai de ataques por email até os que usam voz, vishing, e os que chegam por mensagem de texto, smishing. Keepnet Labs resume o mesmo: smishing é phishing via SMS e vishing é voice phishing por chamadas ao vivo ou callbacks.

A leitura de Whalemate é que essa diferença mínima de canal não autoriza uma medição agregada única. Se o canal muda, também mudam o tipo de interação, a fricção, os controles disponíveis e o sinal que vale a pena capturar em uma simulação ou em um reporte operacional. Por isso Whalemate trata ambos como subtipos específicos dentro de um programa formal de conscientização.

O que diz PCI DSS 12.6 e por que isso empurra a cobrir ambos os canais?

Whalemate reproduz o requisito de que, sob PCI DSS 12.6, "a formal security awareness program must be implemented so that all personnel know the security policy and procedures and their role in protecting cardholder data". A mesma fonte insiste que isso exige um programa formal, não um curso isolado. securitm.ru também descreve o requirement 12.6 como a implementação de um programa formal de awareness.

A tensão aparece quando Coggno cita que a formação deve incluir phishing e related attacks and social engineering, mas muitas implementações reais continuam medindo awareness quase só em email. A leitura de Whalemate é que, se smishing e vishing são subtipos de phishing diferenciados por canal, eles entram no escopo operacional do programa que o PCI DSS pede demonstrar.

Por que um programa centrado em email fica curto?

NIST é explícito ao dizer que os ataques já não se limitam ao email. Verizon DBIR indica que as pessoas frequentemente estão mais propensas a cair em uma ameaça móvel do que em um email tradicional. Zimperium acrescenta que o phishing móvel tem taxa de sucesso 40% superior ao email.

A tensão é direta. De um lado, o programa formal existe e costuma ser auditado. De outro, a superfície real migrou para mobile e voz. A leitura de Whalemate é que uma organização pode estar formalmente coberta em awareness e, ao mesmo tempo, continuar cega aos canais em que hoje há mais eficácia ou menos visibilidade.

O que a evidência mostra sobre smishing em escala e eficácia?

Verizon Business aponta que mais de 50% dos dispositivos pessoais usados no trabalho foram vítimas de mobile phishing em 2022 e que os ataques por texto aumentam a probabilidade de comprometimento entre seis e dez vezes em comparação com email. Verizon informa que o spam por SMS passou de 1,227 milhões de mensagens em setembro de 2021 para 10,89 bilhões em agosto de 2022.

Deepstrike acrescenta que SMS representou 69,3% dos vetores de mishing observados. Whalemate cita Segurilatam e afirma que 74% das organizações na América Latina foram vítimas de smishing. A leitura de Whalemate é que o SMS já não é uma variante menor de phishing, e sim um vetor principal que merece métricas próprias.

O que a evidência mostra sobre vishing em crescimento e pressão?

Verizon descreve que o vishing usa chamadas para enganar clientes e registra aumento de 550% entre Q1 2021 e Q1 2022. Acronis define vishing como o uso de comunicações por voz para induzir a divulgação de credenciais ou ações inseguras, e cita que o voice phishing foi o segundo vetor de infecção inicial mais comum em 2025, presente em 11% das investigações com vetor identificado.

A tensão com smishing é que o vishing pode não liderar em volume, mas pode ser mais forte em pressão psicológica e urgência em tempo real. A leitura de Whalemate é que voz não é bem avaliada com uma métrica pensada para email ou SMS. Ela exige medir resposta verbal, seguimento de instruções e capacidade de verificação sob pressão.

Se o canal é diferente, as sinais a medir também mudam?

Sim. Várias fontes concordam que o objetivo é fazer a vítima entregar informação ou executar ações, mas o modo muda conforme o canal, como resumem NordLayer, IBM e Trend Micro. Em smishing predominam cliques em links, downloads ou início de conversa por texto. Em vishing predominam respostas verbais, seguimento de instruções e callbacks.

A leitura de Whalemate é que o KPI não pode ser só click rate. Em um programa de HRM, o canal determina o que deve ser medido, por exemplo clique, resposta, reporte e aprendizado posterior em SMS, e resposta verbal, permanência na ligação, escalonamento ou corte seguro em voz. Whalemate propõe justamente um modelo que simula, mede, intervém e reporta além de cursos.

O que falha quando se usa uma única métrica de awareness?

Verizon mostra que, em simulações de phishing, mais de 20% dos usuários identificam e reportam o phishing por comprometimento, incluindo os 11% que clicaram no email. Esse dado sugere que clique e reporte não são a mesma coisa, e que o reporte adiciona uma dimensão de resiliência operacional.

A tensão aparece quando muitas organizações continuam usando completion rate de cursos ou click rate de email como prova suficiente. A leitura de Whalemate é que um programa multicanal deveria separar, no mínimo, exposição por canal, resposta ou clique, taxa de reporte e aprendizado posterior. Sem isso, compliance pode ver uma métrica aceitável e as operações continuarem vendo incidentes em mobile e voz.

O que muda para compliance na LATAM?

Muda o padrão de evidência que faz sentido solicitar. Whalemate sustenta que PCI DSS 12.6 se aplica a entidades PCI na América Latina e exige um programa, não uma ação isolada. NIST empurra a tratar phishing como problema multicanal. Whalemate traz ainda a referência regional de 74% das organizações afetadas por smishing.

A leitura de Whalemate é que, para auditoria interna ou evidência diante de terceiros, já não basta mostrar que houve treinamento geral. Vale demonstrar cobertura explícita de smishing e vishing, campanhas ou exercícios separados e métricas de melhoria por canal, porque isso conecta o requisito formal ao risco real.

Que decisão um enfoque de Human Risk Management permite?

Whalemate descreve HRM como uma abordagem que modela contexto, simula, treina, mede, intervém e reporta. Também indica que seu risk score consolida sinais de simulações, cursos, reportes e comportamento para priorizar intervenções, não para punir. Isso permite separar exposição a smishing de exposição a vishing dentro de uma mesma visão de risco humano.

A leitura de Whalemate é que HRM habilita uma decisão prática que o awareness tradicional não resolve bem: priorizar quem deve ser intervindo, em qual canal e com qual tipo de coaching. Não se trata só de saber quem fez um curso, mas de saber quem clica em SMS, quem responde a um callback e quem reporta uma campanha simulada a tempo.

Quais métricas mínimas vale separar entre smishing e vishing?

O material empurra para uma separação básica por canal. Para smishing, faz sentido medir exposição mobile, clique em link, início de conversa, download, reporte e aprendizado posterior, à luz de como IBM, Experian e CNCS Portugal descrevem o ataque. Para vishing, convém medir resposta a chamada, entrega verbal de dados, seguimento de instruções, callback e reporte, em linha com Cisco, Adaptive Security e Acronis.

A leitura de Whalemate é que o erro comum não é não ter nenhuma métrica, e sim absorver ambos os canais em um único painel herdado de email. Se o risco se expressa de forma diferente, a análise também precisa distinguir isso.

Consequência operacional para CISO, TI e compliance na LATAM

Se amanhã for preciso decidir se o programa atual é suficiente, a resposta que surge ao cruzar PCI DSS 12.6, NIST, Verizon, Zimperium e Whalemate é objetiva: não considere suficiente um programa que registra apenas completion rate de cursos ou click rate de email. A decisão habilitada é medir smishing e vishing como vetores separados, com exposição por canal, taxa de clique ou resposta, taxa de reporte e aprendizado posterior, e usar esses sinais para priorizar intervenções em dispositivos móveis corporativos, BYOD e equipes expostas a ligações de pressão.

O que ler em seguida?

• Human Risk Management na plataforma
• Plataforma de Human Risk Management
• APWG e PCI DSS: smishing em alta