PCI DSS 12.6: vishing e smishing no escopo

Vishing e smishing, para CISO, TI e compliance na América Latina, não são apenas dois rótulos de phishing por voz e SMS. Quando suas definições operacionais são cruzadas com a PCI DSS 12.6, eles viram um problema de conformidade que exige um programa formal, atualizado e específico sobre phishing, engenharia social e uso aceitável de tecnologias de usuário final. E quando esse cruzamento é comparado com evidências de simulações e medição humana, a decisão deixa de ser oferecer um curso anual e passa a ser medir suscetibilidade, dificuldade e melhoria contínua com uma abordagem de Human Risk Management.IC3 Coggno NIST Whalemate

O que muda ao colocar essas fontes lado a lado

Vistas separadamente, as fontes explicam definições, requisitos ou métricas. Juntas, mostram algo mais incômodo: uma organização pode cumprir o awareness no papel e ainda assim continuar subestimando sua exposição real a voz, SMS e mensagens.Cisco Bait and Phish Proofpoint

O que significam vishing e smishing quando vistos como risco operacional?

A parte estável do consenso é o canal. O IC3 define smishing como targeting malicioso por SMS ou MMS e vishing como targeting malicioso por voice memos ou voz. Experian, CSO Online e Keeper Security sustentam a mesma distinção básica: texto para smishing, chamadas ou voz para vishing.

A leitura da Whalemate é que essa diferença de canal não é um detalhe taxonômico. É a base para decidir quais vetores humanos entram no programa, como eles são simulados e quais métricas precisam ser exigidas por canal. Se o canal muda, também mudam os controles humanos que vale observar.Whalemate

Por que ficar só na definição é insuficiente?

As definições descrevem a fraude, mas não dizem como governá-la. Cisco destaca chamadas ou mensagens de voz fraudulentas para roubar credenciais, números de cartão ou dados bancários, e SMS que induzem cliques ou visitas a sites falsos. ambos usam engenharia social para que a vítima entregue informação sensível acrescenta que ambos usam engenharia social para que a vítima entregue informação sensível.

Para um CISO ou compliance officer, o problema começa quando essa definição não se traduz em um inventário explícito de exposição. Se voz, SMS e mensagens ficam absorvidos na categoria genérica phishing, depois não há como pedir evidências, desenhar testes ou reportar avanços específicos por vetor.

Onde a PCI DSS 12.6 entra nessa discussão?

Ela entra no ponto em que awareness deixa de ser uma boa prática e passa a ser uma obrigação programática. O PCI Security Standards Council vincula sua formação de awareness ao cumprimento do Requirement 12.6. A formulação reproduzida por SecurITM diz que deve ser implementado um programa formal de security awareness para que todo o pessoal conheça a política e os procedimentos de segurança e seu papel na proteção dos dados.

A leitura da Whalemate é direta: se existe um programa formal exigido, vishing e smishing não podem ficar como exemplos marginais dentro de uma palestra anual. Eles precisam estar mapeados como ameaças concretas dentro do escopo do programa, porque são formas de phishing e social engineering aplicadas a canais de usuário final.

O que a PCI DSS 12.6.1 exige e que decisão isso habilita?

O resumo de Bait and Phish para a PCI DSS 12.6.1 é explícito: é preciso um programa formal de security awareness para todo o pessoal. Coggno concorda que não bastam cursos soltos para organizações que armazenam, processam ou transmitem dados de cartões.

A decisão que isso habilita é organizacional. Se hoje a resposta a vishing e smishing depende de uma campanha isolada, de um fornecedor específico ou de uma capacitação sem continuidade, isso não conversa bem com a exigência de programa formal. A mudança é de atividade para sistema.

O que a PCI DSS 12.6.2 exige e por que isso complica o enfoque estático?

Bait and Phish cita para 12.6.2 uma revisão do awareness training pelo menos a cada 12 meses e sua atualização frente a novas ameaças e vulnerabilidades que possam impactar o ambiente de dados de cartões. o programa deve ser documentado e atualizado pelo menos a cada 12 meses também aponta que o programa deve ser documentado e atualizado pelo menos a cada 12 meses.

Isso torna frágil qualquer abordagem congelada. Se vishing e smishing crescem ou mudam de forma, por exemplo com mensageria ou combinações de canais, o conteúdo e a forma de medir não podem permanecer iguais por inércia. Cumprir não é manter o mesmo curso, e sim demonstrar revisão e ajuste diante do risco.

O que PCI DSS 12.6.3, 12.6.3.1 e 12.6.3.2 acrescentam sobre voz, SMS e mensagens?

Coggno resume que a PCI DSS 12.6.3 exige capacitação na contratação e pelo menos a cada 12 meses, com reconhecimento anual do empregado. Também informa que 12.6.3.1 exige cobertura específica de phishing e social engineering, e que 12.6.3.2 inclui acceptable use of end-user technologies. proteção de dispositivos móveis e uso de tecnologias de trabalho remoto lista entre os temas esperados phishing, social engineering, uso aceitável de tecnologias de usuário final, proteção de dispositivos móveis e uso de tecnologias de trabalho remoto.

A leitura da Whalemate é que é aqui que o risco de voz, SMS e mensagens entra de vez. Embora a norma não nomeie vishing ou smishing pelo apelido, ela obriga a cobrir os tipos de ameaça e as tecnologias em que esses ataques acontecem. Para compliance, isso habilita exigir evidências de conteúdo e de prática sobre esses canais específicos.Whalemate

Que tensão aparece entre a PCI DSS e a forma habitual de medir?

A primeira tensão é que a PCI DSS, segundo Coggno, amplia o escopo para phishing, social engineering e end-user technologies, enquanto o NIST Phish Scale citado neste material é voltado a qualificar a dificuldade de detecção humana de um email dentro de programas de awareness e phishing training.

A leitura da Whalemate é que a organização pode acabar com uma paradoxo. Ela cumpre um programa que, em teoria, deve contemplar ameaças e tecnologias mais amplas, mas mede com uma referência centrada em email. O resultado é um vazio de observabilidade sobre vishing e smishing, justamente em canais que a obrigação de awareness torna relevantes.

Que tensão aparece entre um modelo por email e campanhas multicanal?

A segunda tensão surge quando se compara a lógica do NIST Phish Scale, centrada em email, com o que o smishing costuma ser usado em conjunto com chamadas de voz em campanhas de vishing, e o vishing pode ser combinado com smishing em campanhas multicanal descreve sobre a prática atacante. Observou aumento nessas táticas e que o smishing pode se estender a aplicativos de mensagens como WhatsApp, WeChat ou Facebook Messenger.

A leitura da Whalemate é que medir apenas a reação ao email deixa fora parte do encadeamento real do ataque. Se o usuário recebe um SMS, depois uma ligação, ou uma mensagem que leva a uma conversa ao vivo, a suscetibilidade aparece em uma sequência, não em um único clique. Essa é uma diferença operacional, não semântica.

O que os estudos mostram sobre a necessidade de medir melhoria contínua?

As evidências de simulações vão contra a ideia de que basta transmitir conhecimento. O estudo hospedado por Florian Adamsky registrou 17 % de click-through inicial e queda para 3.5 % ao final do período observado, além de 14.6 % de click rate medido e 10.7 % de autorrelato entre quem respondeu à pesquisa. O estudo da Scientific Research Publishing mostrou em um departamento queda do click rate médio de 15.92 % para 0.35 % com simulações posteriores.

A leitura da Whalemate é que a melhoria relevante é longitudinal. A pergunta não é se as pessoas fizeram o curso, e sim se a suscetibilidade cai ao longo do tempo e se essa queda pode ser sustentada. Essa lógica vale ainda mais para vishing e smishing, onde urgência e impersonação operam em canais menos cobertos por métricas tradicionais.

Por que não basta olhar só para cliques?

O relatório da OutThink adiciona uma camada útil: simulações com diferentes níveis de dificuldade produzem combinações distintas de cliques e reportes. Segundo esse material, as simulações mais fáceis tendem a receber menos cliques e menos reportes, enquanto as mais difíceis tendem a ter maior taxa de reporte quando os usuários reconhecem o risco.

A leitura da Whalemate é que uma métrica única, por exemplo click rate, pode enganar. Um programa maduro deveria observar ao menos dificuldade, taxa de engano e taxa de reporte, porque a conduta desejada não é apenas evitar a queda, e sim reconhecer e escalar o evento. Para vishing e smishing, isso significa capturar o que a pessoa fez diante de uma chamada, um SMS ou uma mensagem em aplicativo, e não só se clicou.

O que isso implica para um programa de Human Risk Management?

Segundo Whalemate, HRM não é um curso de security awareness, mas um modelo que simula, treina, mede, intervém e reporta. No site público da Whalemate também se descreve um risk score que consolida sinais de simulações, cursos, reportes e comportamento para priorizar intervenções, e não para punir.

A leitura da Whalemate é que esse modelo encaixa melhor na tensão identificada entre obrigação formal e medição limitada. Se a exposição real se distribui entre voz, SMS, mensagens e email, o programa precisa de uma camada contínua de sinais e priorização. O curso anual serve como evidência de base, mas não como instrumento suficiente de governança.

Que consequência operacional isso deixa para CISO, TI e compliance na LATAM?

A decisão habilitada é ampliar o conjunto de métricas e evidências além do curso anual e do email. Se PCI DSS 12.6 exige um programa formal, e se Bait and Phish e Coggno mostram que esse programa deve ser revisado, atualizado e cobrir phishing, social engineering e uso aceitável de tecnologias de usuário final, então vale registrar simulações e resposta humana por canal: voz, SMS, mensagens e email. Também vale incorporar métricas de taxa de engano, taxa de reporte, dificuldade e evolução longitudinal, apoiando-se em programas iterativos de HRM como os que Whalemate descreve para priorizar intervenções.

Para uma organização na LATAM, onde o relatório da marca 813 attempted incidents e 718 confirmed breaches na região, a pergunta prática não é o que vishing e smishing significam em abstrato. A pergunta é se esses canais já entraram no painel de risco humano com evidência periódica, responsáveis definidos e capacidade de mostrar melhoria.

O que ler em seguida?

• Human Risk Management na plataforma
• Whalemate e o HRM em security awareness
• APWG e PCI DSS: smishing em alta