Por 
Phishing e spam não disputam o mesmo orçamento nem são governados pelas mesmas evidências. O cruzamento entre NIST, IETF, PCI DSS, CISA, NCSC, Brasil, APWG, Microsoft e Fortra mostra que spam e abuso pedem autenticação, reputação e filtragem de e-mail, enquanto phishing e fraude exigem também detecção automatizada, treinamento contínuo, reporte e ação sobre credenciais e acessos.
Postas lado a lado, as fontes mostram algo que raramente aparece no mesmo quadro: a taxonomia altera o controle exigido, a métrica útil e a decisão orçamentária. Também deixam claro que reduzir o volume de spam, por si só, não prova queda equivalente no risco de phishing.
| Tema | O que é | Canal | Controle principal | O que se mede | O que falha na prática | Fonte |
|---|---|---|---|---|---|---|
| Spam / abuso | O NIST define spam como lixo eletrônico ou abuso de sistemas de mensagens eletrônicas para envio indiscriminado de mensagens em massa não solicitadas. O RFC 6430 do IETF define abuse como e-mail não solicitado ou outro abuso de e-mail. | E-mail e sistemas de mensagens eletrônicas | Segundo o IETF, o DMARC permite publicar políticas sobre a autenticação do domínio do campo From, com base em DKIM ou SPF. Segundo o IETF, quando uma mensagem não está alinhada com a política DMARC, o destinatário pode marcá-la e filtrá-la como spam. | A Kaspersky informou que quase 45% de todos os e-mails no mundo foram spam durante 2025. A APWG registrou 45.355 campanhas de spam no quarto trimestre de 2025, ante 81.710 no terceiro trimestre de 2025, queda de 45%. | não especificado | NIST, IETF, Kaspersky, APWG |
| Phishing / fraude | A CISA define phishing como a tentativa de fazer alguém abrir links, e-mails ou anexos maliciosos que podem solicitar dados pessoais ou infectar dispositivos. O NIST o define como uma técnica para obter dados sensíveis por meio de solicitação fraudulenta via e-mail ou site. O RFC 6430 do IETF separa fraud como atividade de fraude ou phishing. | Segundo a CISA, pode chegar por e-mail, SMS, mensagens diretas em redes sociais ou ligações telefônicas. | O requisito PCI DSS v4.0 5.4.1 exige processos e mecanismos automatizados para detectar e proteger o pessoal contra ataques de phishing. O requisito PCI DSS v4.0 12.6.3.1 exige incluir phishing, ataques relacionados e engenharia social no treinamento. O NCSC recomenda ajudar a identificar e reportar mensagens suspeitas e responder rapidamente. O CTIR Gov recomenda notificar imediatamente diante de suspeita de phishing ou comprometimento de credenciais. | A APWG reportou 3,8 milhões de ataques de phishing observados durante 2025, contra 3,76 milhões em 2024. A Microsoft Incident Response informou que 28% das brechas analisadas começaram com phishing ou engenharia social. O NIST descreve a NIST Phish Scale para classificar a dificuldade de detectar um e-mail de phishing com base nas características da mensagem e no contexto do usuário. | A Fortra informou taxa de clique de 5,42%, taxa de envio de credenciais de 1,99% e taxa de reporte de 10,5%. Segundo a Fortra, isso significa que aproximadamente 9 em cada 10 tentativas não foram reportadas. | CISA, NIST, IETF, PCI SSC, NCSC, CTIR Gov, APWG, Microsoft, Fortra |
| Treinamento de segurança | O requisito PCI DSS 12.6.1 exige um programa formal de conscientização para que todo o pessoal conheça a política e os procedimentos de segurança e seu papel na proteção dos dados do titular do cartão. O NIST SP 800-53 AT-2 exige treinamento de alfabetização e conscientização de segurança e privacidade para usuários do sistema, incluindo gerentes, altos executivos e contratados. | Pessoal da organização e usuários do sistema, incluindo gerentes, altos executivos e contratados | O requisito PCI DSS 12.6 estabelece que a educação de conscientização é uma atividade contínua. O requisito PCI DSS 12.6.3.1 exige incluir phishing e ataques relacionados. Segundo o PCI SSC, o programa deve ser revisado pelo menos uma vez a cada 12 meses e atualizado quando necessário. | O NIST alerta que comparar taxas de clique entre campanhas e organizações pode ser problemático. Segundo o NIST, o ideal é trabalhar com linhas de base de click rate e report rate e com métricas subjetivas complementares. | Um estudo publicado pelo NIST concluiu que as pessoas ficaram cerca de 2% menos propensas a cair em phishing quando receberam algum tipo de treinamento. A Hoxhunt resume um experimento em que concluir o treinamento anual não teve relação significativa com cair no isca, e o treinamento integrado após o clique reduziu a taxa de falha em apenas 2%. Segundo a Hoxhunt, menos de 24% dos usuários concluiu formalmente os materiais exibidos. | PCI SSC, NIST, Hoxhunt |
| Resposta sobre credenciais e identidade | Segundo o CTIR Gov, phishing também deve ser tratado como possível comprometimento de credenciais. A Microsoft distingue a camada de identidade do simples e-mail. | não especificado | O CTIR Gov recomenda notificar imediatamente a equipe de tratamento de incidentes, segurança ou suporte de TI diante de suspeita de phishing ou comprometimento de credenciais. A Microsoft afirma que implementar MFA resistente a phishing pode prevenir até 99% desses ataques de identidade. | A Microsoft informou que os ataques baseados em identidade cresceram 32% na primeira metade de 2025 e que mais de 97% foram ataques em massa contra senhas. | não especificado | CTIR Gov, Microsoft |
Por que "phishing vs spam" muda o programa de controle?
O NIST define spam como lixo eletrônico ou abuso de sistemas de mensagens eletrônicas, enquanto NIST, CISA e CTIR Gov descrevem phishing como fraude e engenharia social voltadas a obter dados, credenciais ou cliques em recursos maliciosos. O RFC 6430 do IETF também separa abuse de fraud na taxonomia de reportes de e-mail. A leitura da Whalemate é que essa separação não é acadêmica, ela define se o problema é governado como higiene de e-mail ou como risco de comprometimento.
O que mostra a taxonomia do IETF que costuma se perder na prática?
O RFC 6430 do IETF separa abuse, como e-mail não solicitado ou outro abuso de e-mail, de fraud, como atividade de fraude ou phishing. Essa distinção permite que uma equipe de e-mail reporte uma coisa e uma equipe de fraude ou identidade trate outra. A leitura da Whalemate é que, quando essas categorias se misturam em um único KPI de "mail ruim bloqueado", perde-se a rastreabilidade sobre qual controle reduziu volume e qual reduziu risco real.
Por que uma queda forte no spam não equivale a uma queda no risco de phishing?
A APWG registrou 45.355 campanhas de spam no quarto trimestre de 2025, contra 81.710 no terceiro trimestre de 2025, queda de 45%. A mesma APWG observou 853.244 ataques de phishing no quarto trimestre de 2025, 4% a menos que os 892.494 do terceiro trimestre. A leitura da Whalemate é que usar a redução de spam como proxy de exposição a phishing pode induzir uma falsa sensação de melhora.
Qual controle principal corresponde a spam e qual a phishing?
Segundo o IETF, o DMARC permite publicar políticas sobre a autenticação do domínio do campo From, apoiadas em DKIM ou SPF, e quando não há alinhamento o destinatário pode tratar a mensagem de outra forma, por exemplo marcá-la e filtrá-la como spam. Já o requisito PCI DSS v4.0 5.4.1 exige processos e mecanismos automatizados para detectar e proteger o pessoal contra ataques de phishing. A leitura da Whalemate é que e-mail e phishing compartilham superfície, mas não compartilham controle suficiente.
O que o PCI DSS implica quando o problema é phishing e não simples spam?
O requisito PCI DSS v4.0 5.4.1 exige mecanismos automatizados contra phishing, e o requisito PCI DSS v4.0 12.6.3.1 exige que o treinamento inclua phishing, ataques relacionados e engenharia social. Além disso, o requisito PCI DSS 12.6 estabelece que a educação de conscientização é uma atividade contínua. A leitura da Whalemate é que filtrar e-mail não substitui nem a automação defensiva nem a evidência de treinamento contínuo.
A obrigação de treinar prova que uma plataforma de simulação seja obrigatória?
Não. Segundo o PCI SSC, o requisito PCI DSS 4.0 12.6.1 permite como exemplo um programa simples composto por um folheto colocado em um escritório ou um e-mail periódico enviado a todos os funcionários. Mas o requisito PCI DSS v4.0 5.4.1 exige mecanismos automatizados para detectar e proteger o pessoal contra phishing. A leitura da Whalemate é que compliance mínimo e eficácia operacional não são a mesma coisa, e que 12.6.1 não deveria ser usado para diluir 5.4.1.
Que tensão existe entre o mandato de treinamento contínuo e a evidência de impacto limitado?
O PCI DSS exige treinamento contínuo e o NIST SP 800-53 AT-2 exige treinamento para usuários do sistema, incluindo gerentes, altos executivos e contratados. Mas um estudo publicado pelo NIST concluiu que as pessoas ficaram cerca de 2% menos propensas a cair em phishing quando receberam algum tipo de treinamento, e o NIST também alerta que comparar taxas de clique entre campanhas e organizações pode ser problemático. A leitura da Whalemate é que o treinamento continua sendo exigível, mas seu sucesso não deve ser avaliado por um único número nem tratado como controle autossuficiente.
