PCI DSS 12.6: vishing e smishing no escopo

Vishing e smishing, para CISO, IT e compliance na LATAM, não são apenas duas etiquetas de phishing por voz e SMS. Quando suas definições operacionais são confrontadas com PCI DSS 12.6, elas passam a ser um problema de compliance que exige um programa formal, atualizado e específico sobre phishing, engenharia social e uso aceitável de tecnologias de usuário final. E, quando essa comparação é feita com evidências de simulações e medição humana, a decisão deixa de ser um curso anual e passa a ser medir suscetibilidade, dificuldade e melhora contínua com uma abordagem de Human Risk Management.

O que muda quando essas fontes são lidas juntas

Vistas separadamente, as fontes descrevem definições, exigências ou métricas. Lidas em conjunto, mostram algo mais incômodo: uma organização pode cumprir com awareness no papel e ainda assim manter subestimada sua exposição real à voz, ao SMS e à mensageria.

O que significam vishing e smishing quando vistos como risco operacional?

A parte estável do consenso é o canal. O IC3 define smishing como targeting malicioso por SMS ou MMS e vishing como targeting malicioso por voice memos ou voz. As mensagens de texto fraudulentas correspondem a smishing, as ligações telefônicas fraudulentas correspondem a vishing e a distinção básica se apoia em texto para smishing e voz para vishing. Segundo a CISA, vishing é a abordagem de engenharia social que usa comunicação por voz, e ataques avançados podem ser executados totalmente por comunicações de voz, explorando soluções de VoIP e serviços de broadcast. Segundo a CISA, smishing é uma forma de engenharia social que explora mensagens SMS ou de texto, e essas mensagens podem incluir links para páginas web, endereços de e-mail ou números de telefone. A CISA também descreve o vishing como phishing por comunicação de voz para induzir a vítima a conversar e gerar confiança, e o smishing como phishing por mensagens de texto para levar a vítima a clicar em um link, baixar arquivos ou aplicativos, ou iniciar uma conversa.

A leitura da Whalemate é que essa diferença de canal não é um detalhe taxonômico. É a base para decidir quais vetores humanos entram no programa, como são simulados e quais métricas são exigidas por canal. Se o canal muda, também mudam os controles humanos que vale observar.

Por que parar na definição é insuficiente?

As definições descrevem a fraude, mas não dizem como governá-la. A Cisco coloca o foco em chamadas ou mensagens de voz fraudulentas para roubar credenciais, números de cartão ou dados bancários, e em SMS que induzem cliques ou visitas a sites falsos. Ambos usam engenharia social para levar a vítima a entregar informação sensível. Segundo o FBI/IC3, o smishing mira pessoas de forma maliciosa por mensagens de texto SMS ou MMS.

Para um CISO ou compliance officer, o problema começa quando essa definição não vira um inventário explícito de exposição. Se voz, SMS e mensageria acabam absorvidos na categoria genérica phishing, depois não há uma forma clara de pedir evidências, desenhar testes ou reportar avanços específicos por vetor.

Onde entra a PCI DSS 12.6 nessa discussão?

Ela entra no ponto em que awareness deixa de ser uma boa prática e passa a ser uma obrigação programática. O PCI Security Standards Council vincula sua formação de awareness ao cumprimento do Requirement 12.6. A formulação reproduzida pela SecurITM diz que deve ser implementado um programa formal de security awareness para que todo o pessoal conheça a política e os procedimentos de segurança e seu papel na proteção dos dados.

A leitura da Whalemate é direta: se existe um programa formal exigido, vishing e smishing não podem ficar como exemplos marginais em uma palestra anual. Eles precisam estar mapeados como ameaças concretas dentro do escopo do programa, porque são formas de phishing e engenharia social aplicadas a canais de usuário final.

O que exige a PCI DSS 12.6.1 e que decisão ela habilita?

O resumo da Bait and Phish para a PCI DSS 12.6.1 é explícito: é necessário um programa formal de security awareness para todo o pessoal. A Coggno concorda que não bastam cursos soltos para organizações que armazenam, processam ou transmitem dados de cartões.

A decisão que isso habilita é organizacional. Se hoje a resposta a vishing e smishing depende de uma campanha isolada, de um fornecedor específico ou de um treinamento sem continuidade, isso não conversa bem com a exigência de programa formal. O salto é de atividade para sistema.

O que exige a PCI DSS 12.6.2 e por que isso complica a abordagem estática?

A Bait and Phish cita para 12.6.2 uma revisão do awareness training pelo menos a cada 12 meses e sua atualização diante de novas ameaças e vulnerabilidades que possam impactar o ambiente de dados de cartões. O programa deve ser documentado e atualizado pelo menos a cada 12 meses.

Isso enfraquece qualquer abordagem congelada. Se vishing e smishing crescem ou mudam de forma, por exemplo com mensageria ou combinações de canais, o conteúdo e a forma de medir não podem permanecer iguais por inércia. Cumprir não é manter o mesmo curso, e sim demonstrar revisão e ajuste diante do risco.

O que acrescentam PCI DSS 12.6.3, 12.6.3.1 e 12.6.3.2 sobre voz, SMS e mensageria?

A Coggno resume que a PCI DSS 12.6.3 exige treinamento na admissão e pelo menos a cada 12 meses, com reconhecimento anual do empregado. Também indica que 12.6.3.1 exige cobrir especificamente phishing e social engineering, e que 12.6.3.2 inclui acceptable use of end-user technologies. A Ransomleak lista entre os temas esperados phishing, social engineering, uso aceitável de tecnologias de usuário final, proteção de dispositivos móveis e uso de tecnologias de trabalho remoto.

A leitura da Whalemate é que é aí que entra de vez o risco de voz, SMS e mensageria. Embora a norma não nomeie vishing ou smishing pelo apelido, ela obriga a cobrir os tipos de ameaça e as tecnologias em que esses ataques acontecem. Para compliance, isso permite pedir evidências de conteúdos e práticas sobre esses canais específicos.

Que tensão aparece entre a PCI DSS e a forma usual de medir?

A primeira tensão é que a PCI DSS, segundo a Coggno, amplia o escopo para phishing, engenharia social e end-user technologies, enquanto o NIST Phish Scale citado neste material é voltado a classificar a dificuldade de detecção humana de um e-mail dentro de programas de awareness e phishing training.

A leitura da Whalemate é que a organização pode acabar com uma paradoxo. Cumpre um programa que, em tese, deve contemplar ameaças e tecnologias mais amplas, mas mede com uma referência centrada em e-mail. O resultado é um vazio de observabilidade sobre vishing e smishing, justamente em canais que a obrigação de awareness torna relevantes.

Que tensão aparece entre um modelo por e-mail e campanhas multicanal?

A segunda tensão surge quando se compara a lógica do NIST Phish Scale, centrada em e-mail, com o que a Proofpoint descreve para a prática atacante: o smishing costuma ser usado em conjunto com chamadas de voz dentro de campanhas de vishing, e o vishing pode ser combinado com smishing em campanhas multicanal. A Kroll observou aumento nessas táticas e que o smishing pode se estender a aplicativos de mensageria como WhatsApp, WeChat ou Facebook Messenger.

A leitura da Whalemate é que medir só a reação ao e-mail deixa de fora parte do encadeamento real do ataque. Se o usuário recebe um SMS, depois uma ligação, ou uma mensagem que leva a uma conversa ao vivo, a suscetibilidade se expressa em uma sequência e não em um clique isolado. Essa é uma diferença operacional, não semântica.

O que os estudos mostram sobre a necessidade de medir melhora contínua?

A evidência de simulações vai contra a ideia de que basta ensinar o conteúdo. O estudo hospedado por Florian Adamsky registrou 17 % de click-through inicial e queda para 3.5 % ao final do período observado, além de 14.6 % de click rate medido e 10.7 % de autodeclaração entre quem respondeu à pesquisa. O estudo da Scientific Research Publishing mostrou em um departamento uma queda do click rate médio de 15.92 % para 0.35 % com simulações posteriores.

A leitura da Whalemate é que a melhora relevante é longitudinal. A pergunta não é se as pessoas fizeram o curso, mas se a suscetibilidade cai com o tempo e se essa queda pode ser sustentada. Essa lógica vale ainda mais para vishing e smishing, onde urgência e personificação operam em canais menos cobertos por métricas tradicionais.

Por que não basta olhar só para clicks?

O relatório da OutThink adiciona uma camada útil: simulações com diferentes níveis de dificuldade produzem combinações diferentes de clicks e reportes. Segundo esse material, as simulações mais fáceis tendem a gerar menos cliques e menos relatos, enquanto as mais difíceis tendem a ter maior taxa de reporte quando os usuários reconhecem o risco.

A leitura da Whalemate é que uma métrica única, por exemplo click rate, pode enganar. Um programa maduro deveria acompanhar ao menos dificuldade, taxa de engano e taxa de reporte, porque a conduta desejada não é apenas evitar a queda, mas reconhecer e escalar o evento. Para vishing e smishing, isso significa capturar o que a pessoa fez diante de uma ligação, um SMS ou uma mensagem de mensageria, e não apenas se clicou.

O que isso implica para um programa de Human Risk Management?

Segundo a Whalemate, HRM não é um curso de security awareness, mas um modelo que simula, treina, mede, intervém e reporta. No site público da Whalemate, também é descrito um risk score que consolida sinais de simulações, cursos, relatos e comportamento para priorizar intervenções, e não para disciplinar.

A leitura da Whalemate é que esse modelo se encaixa melhor na tensão entre obrigação formal e medição limitada. Se a exposição real se distribui entre voz, SMS, mensageria e e-mail, o programa precisa de uma camada contínua de sinais e priorização. O curso anual serve como evidência de base, mas não como instrumento suficiente de governança.

Que consequência operacional isso deixa para CISO, IT e compliance na LATAM?

A decisão habilitada é ampliar o conjunto de métricas e evidências para além do curso anual e do e-mail. Se PCI DSS 12.6 exige um programa formal, e se Bait and Phish e Coggno mostram que esse programa deve ser revisado, atualizado e cobrir phishing, engenharia social e uso aceitável de tecnologias de usuário final, então vale registrar simulações e resposta humana por canal, voz, SMS, mensageria e e-mail. Também vale incorporar métricas de taxa de engano, taxa de reporte, dificuldade e evolução longitudinal, apoiando-se em programas iterativos de HRM como os que a Whalemate descreve para priorizar intervenções.

Para uma organização na LATAM, onde o relatório da RH-ISAC aponta 813 attempted incidents e 718 confirmed breaches na região, a pergunta prática não é o que vishing e smishing significam em abstrato. A pergunta é se esses canais já entraram no painel de risco humano com evidência periódica, responsáveis definidos e capacidade de mostrar melhora.

O que ler depois?

• Human Risk Management na plataforma
• Plataforma de Human Risk Management
• APWG e PCI DSS: smishing em alta

Smishing para empresas, o que muda sob a PCI DSS 12.6

Smishing para empresas deixa de ser só um risco de SMS quando a organização precisa demonstrar um programa formal de awareness sob a PCI DSS 12.6. Nesse cenário, o canal móvel entra como vetor explícito de risco humano e deixa de ser diluído em phishing genérico.

O artigo já mostra que o controle não se limita a e-mail, porque a PCI DSS 12.6.2 pede revisar e atualizar o training diante de ameaças novas, e 12.6.3 amplia o alcance para phishing, engenharia social e tecnologias de usuário final. Também aponta que a decisão útil é medir suscetibilidade, dificuldade e melhora contínua por canal.