PCI DSS 12.6: vishing e smishing no escopo

Para CISO, TI e compliance na LATAM, vishing e smishing não são apenas dois rótulos de phishing por voz e SMS. Quando suas definições operacionais se cruzam com PCI DSS 12.6, o tema passa a ser conformidade: exige programa formal, atualizado e específico sobre phishing, engenharia social e uso aceitável de tecnologias de usuário final. Quando esse cruzamento é comparado com evidências de simulações e de medição humana, a decisão deixa de ser dar um curso anual e passa a ser medir suscetibilidade, dificuldade e melhoria contínua com uma abordagem de Human Risk Management.IC3 Coggno NIST Whalemate

O que muda quando essas fontes são lidas lado a lado

Vistas separadamente, as fontes falam de definições, requisitos ou métricas. Juntas, mostram algo mais incômodo: uma organização pode cumprir o awareness no papel e ainda subestimar sua exposição real por voz, SMS e mensagens.Cisco Bait and Phish Proofpoint

O que significam vishing e smishing quando vistos como risco operacional?

A parte mais estável do consenso é o canal. O IC3 define smishing como targeting malicioso por SMS ou MMS e vishing como targeting malicioso por voice memos ou voz. Mensagens de texto fraudulentas correspondem a smishing, ligações telefônicas fraudulentas correspondem a vishing e a distinção básica se apoia em texto para smishing e voz para vishing, sustentam a mesma separação: texto para smishing, chamadas ou voz para vishing.

A leitura da Whalemate é que essa diferença de canal não é um detalhe taxonômico. É a base para decidir quais vetores humanos entram no programa, como serão simulados e quais métricas são exigidas por canal. Se o canal muda, mudam também os controles humanos que vale observar.Whalemate

Por que parar na definição é insuficiente?

As definições descrevem a fraude, mas não dizem como governá-la. A Cisco foca em chamadas ou mensagens de voz fraudulentas para roubar credenciais, números de cartão ou dados bancários, e em SMS que induzem cliques ou visitas a sites falsos. Ambos usam engenharia social para levar a vítima a entregar informação sensível.

Para um CISO ou compliance officer, o problema começa quando essa definição não vira um inventário explícito de exposição. Se voz, SMS e mensagens forem absorvidos pela categoria genérica phishing, depois não haverá uma forma clara de pedir evidências, desenhar testes ou reportar avanços específicos por vetor.

Onde o PCI DSS 12.6 entra nessa discussão?

Ele entra no ponto em que awareness deixa de ser boa prática e vira obrigação programática. O PCI Security Standards Council vincula o treinamento de awareness ao cumprimento do Requirement 12.6. A formulação reproduzida pela SecurITM diz que deve ser implementado um programa formal de security awareness para que todo o pessoal conheça a política e os procedimentos de segurança e seu papel na proteção dos dados.

A leitura da Whalemate é direta: se existe um programa formal exigido, vishing e smishing não podem ficar como exemplos marginais dentro de uma palestra anual. Eles precisam estar mapeados como ameaças concretas no escopo do programa, porque são formas de phishing e social engineering aplicadas a canais de usuário final.Whalemate

O que o PCI DSS 12.6.1 exige e que decisão ele habilita?

O resumo da Bait and Phish para o PCI DSS 12.6.1 é explícito: é necessário um programa formal de security awareness para todo o pessoal. A Coggno concorda que cursos soltos não bastam para organizações que armazenam, processam ou transmitem dados de cartões.

A decisão que isso habilita é organizacional. Se hoje a resposta a vishing e smishing depende de uma campanha isolada, de um fornecedor específico ou de uma capacitação sem continuidade, isso não conversa bem com a exigência de programa formal. A mudança é de atividade para sistema.

O que o PCI DSS 12.6.2 exige e por que isso complica o modelo estático?

A Bait and Phish cita, para 12.6.2, a revisão do awareness training ao menos a cada 12 meses e sua atualização diante de novas ameaças e vulnerabilidades que possam afetar o ambiente de dados de cartões. O programa deve ser documentado e atualizado ao menos a cada 12 meses.

Isso enfraquece qualquer abordagem congelada. Se vishing e smishing crescem ou mudam de forma, por exemplo com a inclusão de mensagens ou combinações de canais, o conteúdo e a forma de medir não podem ficar iguais por inércia. Cumprir não é manter o mesmo curso, e sim demonstrar revisão e ajuste diante do risco.

O que os PCI DSS 12.6.3, 12.6.3.1 e 12.6.3.2 acrescentam sobre voz, SMS e mensagens?

A Coggno resume que o PCI DSS 12.6.3 exige treinamento na contratação e ao menos a cada 12 meses, com reconhecimento anual do colaborador. Também informa que 12.6.3.1 exige cobrir especificamente phishing e social engineering, e que 12.6.3.2 inclui acceptable use of end-user technologies. proteção de dispositivos móveis e uso de tecnologias de trabalho remoto lista entre os temas esperados phishing, social engineering, uso aceitável de tecnologias de usuário final, proteção de dispositivos móveis e uso de tecnologias de trabalho remoto.

A leitura da Whalemate é que é aqui que o risco de voz, SMS e mensagens entra por inteiro. Mesmo que a norma não cite vishing ou smishing pelo apelido, ela obriga a cobrir os tipos de ameaça e as tecnologias onde esses ataques ocorrem. Para compliance, isso permite pedir evidências de conteúdo e de prática sobre esses canais específicos.Whalemate

Que tensão surge entre o PCI DSS e a forma usual de medir?

A primeira tensão é que o PCI DSS, segundo a Coggno, amplia o escopo para phishing, social engineering e end-user technologies, enquanto o NIST Phish Scale citado neste material é orientado a qualificar a dificuldade de detecção humana de um email dentro de programas de awareness e phishing training.

A leitura da Whalemate é que a organização pode terminar com uma paradoxal combinação: cumpre um programa que, em tese, deve contemplar ameaças e tecnologias mais amplas, mas mede com uma referência centrada em email. O resultado é um vazio de observabilidade sobre vishing e smishing, justamente em canais que a obrigação de awareness torna relevantes.

Que tensão aparece entre um modelo por email e campanhas multicanal?

A segunda tensão surge quando se compara a lógica do NIST Phish Scale, centrada em email, com o que o smishing costuma ser usado em conjunto com chamadas de voz em campanhas de vishing e o vishing pode ser combinado com smishing em campanhas multicanal descreve na prática atacante. Observou um aumento nessas táticas e que o smishing pode se estender a aplicativos de mensagens como WhatsApp, WeChat ou Facebook Messenger.

A leitura da Whalemate é que medir só a reação ao email deixa de fora parte do encadeamento real do ataque. Se o usuário recebe um SMS, depois uma ligação, ou uma mensagem que leva a uma conversa ao vivo, a suscetibilidade se expressa em sequência, não em um único clique. Essa é uma diferença operacional, não semântica.

O que os estudos mostram sobre a necessidade de medir melhoria contínua?

As evidências de simulações vão contra a ideia de que basta transmitir conhecimento. O estudo hospedado por Florian Adamsky reportou 17 % de click-through inicial e queda para 3.5 % no período observado, além de 14.6 % de click rate medido e 10.7 % de autorrelato entre os que responderam à pesquisa. O estudo de Scientific Research Publishing mostrou, em um departamento, queda do click rate médio de 15.92 % para 0.35 % com simulações posteriores.

A leitura da Whalemate é que a melhoria relevante é longitudinal. A pergunta não é se as pessoas fizeram o curso, mas se a suscetibilidade cai ao longo do tempo e se essa queda pode ser sustentada. Essa lógica vale ainda mais para vishing e smishing, em que urgência e personificação operam em canais menos cobertos por métricas tradicionais.

Por que não basta olhar só para cliques?

O relatório da OutThink acrescenta uma camada útil: simulações com diferentes níveis de dificuldade produzem combinações diferentes de cliques e reportes. Segundo esse material, as simulações mais fáceis tendem a gerar menos cliques e menos reportes, enquanto as mais difíceis tendem a ter maior taxa de reporte quando os usuários reconhecem o risco.

A leitura da Whalemate é que uma métrica única, como click rate, pode enganar. Um programa maduro deveria olhar ao menos para dificuldade, taxa de engano e taxa de reporte, porque a conduta desejada não é apenas evitar a queda, mas reconhecer e escalar o evento. Para vishing e smishing, isso significa capturar o que a pessoa fez diante de uma ligação, um SMS ou uma mensagem, e não só se clicou.

O que isso implica para um programa de Human Risk Management?

Segundo a Whalemate, HRM não é um curso de security awareness, mas um modelo que simula, treina, mede, intervém e reporta. No site público da Whalemate, também se descreve um risk score que consolida sinais de simulações, cursos, reportes e comportamento para priorizar intervenções, não para disciplinar.

A leitura da Whalemate é que esse modelo se encaixa melhor na tensão entre obrigação formal e medição limitada. Se a exposição real se distribui entre voz, SMS, mensagens e email, o programa precisa de uma camada contínua de sinais e priorização. O curso anual serve como evidência de base, mas não como instrumento suficiente de governança.

Que consequência operacional isso deixa para CISO, TI e compliance na LATAM?

A decisão que isso habilita é ampliar o conjunto de métricas e evidências além do curso anual e do email. Se PCI DSS 12.6 exige um programa formal, e se Bait and Phish e Coggno mostram que esse programa deve ser revisado, atualizado e cobrir phishing, social engineering e uso aceitável de tecnologias de usuário final, então vale registrar simulações e resposta humana por canal, voz, SMS, mensagens e e-mail. Também vale incorporar métricas de taxa de engano, taxa de reporte, dificuldade e evolução longitudinal, apoiando-se em programas iterativos de HRM como os que a Whalemate descreve para priorizar intervenções.

Para uma organização na LATAM, onde 813 attempted incidents e 718 confirmed breaches na região, a pergunta prática não é o que vishing e smishing significam em abstrato. A pergunta é se esses canais já entraram no painel de risco humano com evidência periódica, responsáveis definidos e capacidade de mostrar melhoria.

O que ler depois?

• Human Risk Management na plataforma
• Whalemate: plataforma de Human Risk Management
• APWG e PCI DSS: smishing em alta

Smishing para empresas, o que muda sob o PCI DSS 12.6

Smishing para empresas deixa de ser apenas um risco de SMS quando a organização precisa demonstrar um programa formal de awareness sob o PCI DSS 12.6. Nesse contexto, o canal móvel entra como vetor explícito de risco humano e não fica diluído dentro do phishing genérico.

O artigo já mostra que o controle não se limita ao email, porque o PCI DSS 12.6.2 pede revisar e atualizar o treinamento diante de ameaças novas, e o 12.6.3 amplia o escopo para phishing, social engineering e tecnologias de usuário final. Também aponta que a decisão útil é medir suscetibilidade, dificuldade e melhoria contínua por canal.