Phishing: canal, alvo, controle

Para CISO, IT e compliance, os tipos de phishing não se separam por rótulo, mas por canal, objetivo, sinal observável, controle principal e métrica útil. Ao cruzar as definições da CISA com o que CISA e NIST medem, e com evidências da Verizon, Proofpoint e UNICC, surge uma lacuna operacional: boa parte da medição ainda se concentra em cliques em e-mail, embora o risco relevante também passe por roubo de credenciais com bypass de MFA, anexos maliciosos e canais fora do e-mail, como SMS, mensagens e voz.

A comparação que falta entre as fontes

Nenhuma das fontes do material monta a taxonomia operacional completa. A CISA define modalidades e métricas separadamente, a ISO/IEC 27001 exige selecionar controles conforme o risco e documentá-los, e Verizon, Proofpoint e UNICC trazem incidência e desempenho de simulações, mas não conectam tudo em uma única matriz de decisão.

Por que tratar os tipos de phishing como matriz e não como glossário?

O problema não é semântico, é de desenho de programa. Segundo a CISA, há táticas voltadas a obter credenciais e outras a implantar malware, enquanto a própria CISA também distingue spearphishing, whaling, smishing e vishing como modalidades com características próprias. A leitura da Whalemate é que, se cada modalidade muda o canal, o sinal e o objetivo, também precisa mudar o controle priorizado e a métrica usada para acompanhar o risco.

O que a CISA mede hoje e o que essa medição deixa de fora?

A CISA descreve o Phishing Campaign Assessment como uma avaliação de seis semanas que mede a propensão da força de trabalho a clicar em iscas de phishing por e-mail. A CISA também informa que o phishing vulnerability scanning identifica quantos usuários abriram e quantos clicaram no link. A leitura da Whalemate é que essas métricas ajudam, mas reduzem o risco ao e-mail e à interação visível dentro de uma simulação pontual.

Como a medição por e-mail convive com ataques que saem do e-mail?

A tensão está na própria documentação da CISA. De um lado, a CISA mede aberturas e cliques em campanhas por e-mail, mas, de outro, alerta que o escaneamento de e-mail não detecta necessariamente mensagens enviadas por SMS ou por aplicativos de mensagem como Telegram, Signal, Slack, Facebook, Twitter, Teams, iMessage e Google Chat. A leitura da Whalemate é que um programa pode mostrar melhora no e-mail e ainda assim deixar sem cobertura uma parte explícita da superfície de ataque.

O que muda quando o objetivo é roubar credenciais?

A CISA explica que, no phishing de credenciais, o atacante envia um e-mail com um link para um site impostor para que a vítima informe usuário e senha. A CISA acrescenta que alguns sites impostores também pedem códigos MFA e chama essa modalidade de MFA bypass. A leitura da Whalemate é que medir só o clique não basta, porque o risco real está em a pessoa entregar credenciais, entregar um segundo fator ou abandonar o fluxo.

Basta habilitar MFA para phishing de credenciais?

A CISA aponta que uma mitigação principal para phishing voltado a roubo de credenciais é habilitar MFA, especialmente MFA resistente a phishing como FIDO. Mas a própria CISA alerta para sites impostores que pedem códigos MFA e os usam para MFA bypass. A leitura da Whalemate é que a decisão não é apenas ativar MFA, e sim priorizar métodos resistentes a phishing e revisar que porcentagem da base ainda depende de fatores vulneráveis a relay ou à entrega voluntária.

O que os anexos maliciosos mostram sobre a métrica de falha?

A CISA define malware phishing como o envio de um anexo malicioso que a pessoa pode ser induzida a executar. No relatório 2024 State of the Phish, a Proofpoint informou que as simulações baseadas em anexos representaram 10% do total, mas tiveram a maior taxa de falha, 17%. A leitura da Whalemate é que um programa centrado em links pode subestimar o risco operacional dos anexos, mesmo que eles apareçam menos em volume.

O que Verizon e a CISA dizem sobre a relevância operacional do fator humano?

O Verizon 2025 Data Breach Investigations Report analisou mais de 22.000 incidentes de segurança, incluindo 12.195 incidentes confirmados de vazamento de dados, e apontou que a participação do fator humano permaneceu em aproximadamente 60% dos vazamentos analisados. No mesmo relatório, segundo a Verizon, o abuso de credenciais apareceu como vetor inicial em 22% dos casos. A leitura da Whalemate é que a discussão sobre tipos de phishing não é educativa, é uma discussão de exposição operacional.

O que acontece quando a taxa de clique é usada como proxy de risco?

A evidência não sustenta essa simplificação. A apresentação do Verizon 2025 DBIR divulgada pelo Office of Information Technology do Estado de Nova York informou que usuários com treinamento recente reportaram e-mails de phishing simulados em uma taxa de aproximadamente 21%, contra uma taxa-base de 5%, enquanto a DomainTools, citando o Verizon 2025 DBIR, disse que o efeito do treinamento recente sobre a taxa de clique foi muito menor, com impacto relativo de cerca de 5%. A leitura da Whalemate é que o programa pode estar melhorando uma capacidade valiosa, reportar, sem que isso apareça com a mesma força na redução do clique.

Por que separar abertura, clique, reporte e participação?

A CISA já separa usuários que abriram de usuários que clicaram no phishing vulnerability scanning, e a métrica 2.15 de CIO FISMA pede informar quantos usuários participaram de exercícios no trimestre anterior. O NIST indica que as simulações podem medir quem clica e quem reporta a mensagem como phishing. A leitura da Whalemate é que colapsar tudo em uma única taxa apaga comportamentos distintos, com valor diferente para o risco e para a intervenção.

Quanto o resultado muda conforme a isca usada?

Muda bastante. Um estudo do NIST sobre suscetibilidade diferencial encontrou quatro e-mails simulados com taxas de clique de 53,8%, 54,7%, 29,1% e 5,1%, e concluiu que as pontuações do Phish Scale correspondiam de perto às taxas observadas. O relatório 2024 da UNICC também informou que, ao aplicar o NIST Phish Scale, as mensagens de dificuldade alta tiveram taxa de clique de 36,15%, contra 5,74% nas de dificuldade baixa. A leitura da Whalemate é que comparar campanhas sem normalizar a dificuldade ou o tipo de isca pode gerar leituras erradas do risco.

O que Proofpoint e UNICC dizem sobre desenho de campanhas e reporte?

A Proofpoint informou em 2024 uma taxa geral de reporte de phishing simulado de 18,3% e uma taxa geral de falha de 9,3%, enquanto em 2025 informou uma taxa média de falha de 4,93% e uma taxa média de reporte de 18,65% nas campanhas analisadas. A UNICC informou que 45% das organizações tinham integrado um botão de reporte de phishing no cliente corporativo de e-mail, e que as organizações com essa função registraram taxa média de reporte de 16%, contra 8,5% entre as que não tinham. A leitura da Whalemate é que a capacidade de reporte depende tanto do treinamento quanto do desenho operacional do canal.

O que a ISO/IEC 27001 implica para esse problema de cobertura?

A ISO/IEC JTC 1/SC 27 explica que a ISO/IEC 27001, cláusula 6.1.3 b), exige determinar os controles de segurança da informação necessários para reduzir a exposição ao risco a um nível aceitável. O mesmo comitê explica que a ISO/IEC 27001, cláusula 6.1.3 c), exige comparar os controles necessários definidos pela organização com os controles do Anexo A e verificar se nenhum controle necessário foi omitido. A leitura da Whalemate é que, se o risco identificado inclui SMS, mensagens, voz, anexos e bypass de MFA, medir apenas e-mail deixa uma lacuna difícil de justificar na aplicabilidade dos controles.

O que a prática regional mostra sobre canais e setores expostos?

Segundo informações atribuídas pela Securitic ao ESET Security Report 2025, 73% das empresas da América Latina consultadas afirmaram ter sido alvo de campanhas de phishing durante 2025. A mesma informação atribuída ao ESET Security Report 2025 apontou incidência de 81,4% em educação, 81,1% em manufatura, 79,6% em bancos e finanças, 72,6% em governo e 67,6% em saúde. A leitura da Whalemate é que, mesmo sem uma taxa latino-americana comparável de modalidades, há evidência suficiente para não tratar phishing como um único cenário homogêneo.

Que decisão isso habilita amanhã para CISO, IT e compliance na América Latina?

A decisão prática é redesenhar o programa de phishing como uma matriz por tipo, canal, função e comportamento observado. Para phishing de credenciais, a CISA prioriza MFA resistente a phishing como FIDO; para anexos maliciosos, a evidência da Proofpoint justifica controles e simulações específicos para arquivos; para smishing e vishing, a CISA e a FTC exigem cobertura de verificação fora de banda e canais não cobertos pelo e-mail; e para spearphishing e whaling, a ISO/IEC JTC 1/SC 27 sustenta treinamento regular e específico por função, com registro de participação e adaptação conforme tendências de incidentes. Se a PCI DSS 12.6 exige um programa de conscientização em segurança, e não um curso isolado, então usar uma única taxa de clique como proxy de risco deixa de ser suficiente para demonstrar cobertura, priorização e intervenção.

O que ler em seguida?

• Conscientização na plataforma
• LATAM: o que avaliar em plataformas de awareness
• NIST e CISA explicam engenharia social