--- title: "Phishing: canal, alvo, controle | Whalemate" description: "Para CISO, TI e compliance, phishing se gerencia por canal, objetivo, controle e métrica, não por uma lista de nomes." url: https://www.whalemate.com/br/recursos/blog/phishing-canal-alvo-controle/ lang: pt-BR updated: 2026-11-09 alternates: es: https://www.whalemate.com/recursos/blog/tipos-phishing-medir-control-aplicar/ en: https://www.whalemate.com/en/resources/blog/phishing-types-need-separate-metrics/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # Phishing: canal, alvo, controle Para CISO, TI e compliance, phishing se gerencia por canal, objetivo, controle e métrica, não por uma lista de nomes. 9 de nov. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 10 min de leitura [Conscientização](https://www.whalemate.com/br/recursos/blog/tema/conscientizacao/) ![Phishing: canal, alvo, controle](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-canal-alvo-controle.webp) Neste artigo 1. [A comparação que falta entre as fontes](#s1) 2. [Por que tratar os tipos de phishing como matriz e não como glossário?](#s2) 3. [O que a CISA mede hoje e o que essa medição deixa de fora?](#s3) 4. [Como a medição por e-mail convive com ataques que saem do e-mail?](#s4) 5. [O que muda quando o objetivo é roubar credenciais?](#s5) 6. [Basta habilitar MFA para phishing de credenciais?](#s6) 7. [O que os anexos maliciosos mostram sobre a métrica de falha?](#s7) 8. [O que Verizon e a CISA dizem sobre a relevância operacional do fator humano?](#s8) 9. [O que acontece quando a taxa de clique é usada como proxy de risco?](#s9) 10. [Por que separar abertura, clique, reporte e participação?](#s10) 11. [Quanto o resultado muda conforme a isca usada?](#s11) 12. [O que Proofpoint e UNICC dizem sobre desenho de campanhas e reporte?](#s12) 13. [O que a ISO/IEC 27001 implica para esse problema de cobertura?](#s13) 14. [O que a prática regional mostra sobre canais e setores expostos?](#s14) 15. [Que decisão isso habilita amanhã para CISO, IT e compliance na América Latina?](#s15) 16. [O que ler em seguida?](#s16) Para CISO, IT e compliance, os tipos de phishing não se separam por rótulo, mas por canal, objetivo, sinal observável, controle principal e métrica útil. Ao cruzar as definições da CISA com o que CISA e NIST medem, e com evidências da Verizon, Proofpoint e UNICC, surge uma lacuna operacional: boa parte da medição ainda se concentra em cliques em e-mail, embora o risco relevante também passe por roubo de credenciais com bypass de MFA, anexos maliciosos e canais fora do e-mail, como SMS, mensagens e voz. ## A comparação que falta entre as fontes Nenhuma das fontes do material monta a taxonomia operacional completa. A CISA define modalidades e métricas separadamente, a ISO/IEC 27001 exige selecionar controles conforme o risco e documentá-los, e Verizon, Proofpoint e UNICC trazem incidência e desempenho de simulações, mas não conectam tudo em uma única matriz de decisão. | Tipo de phishing | Canal | Objetivo | Sinal observável | Controle principal | O que se mede hoje | Fonte | | --- | --- | --- | --- | --- | --- | --- | | Phishing de credenciais | e-mail com link para site impostor | levar a vítima a informar usuário e senha, e alguns sites impostores também pedem códigos MFA | link para site impostor | habilitar MFA, especialmente MFA resistente a phishing como FIDO | CISA mede propensão ao clique, e NIST indica que simulações podem medir quem clica e quem reporta a mensagem como phishing | CISA, NIST | | Malware phishing | e-mail com anexo | implantar malware, enviando um anexo malicioso que a pessoa pode ser induzida a executar | anexo suspeito | não especificado | A Proofpoint informou que simulações baseadas em anexos tiveram a maior taxa de falha, 17% | CISA, Proofpoint / CDW | | Smishing | mensagens de texto, SMS ou mensageria | fazer a vítima clicar em um link, baixar arquivos ou aplicativos, ou iniciar uma conversa | mensagem de texto com link ou pedido de ação | cobertura fora do e-mail, porque o escaneamento de e-mail não detecta necessariamente mensagens de phishing enviadas por SMS ou por aplicativos de mensagem | não especificado | CISA | | Vishing | comunicação por voz | induzir a vítima a conversar e gerar confiança | ligação ou mensagem de voz que aparenta vir de uma fonte confiável | verificar a solicitação usando um telefone, e-mail ou site conhecido como legítimo, segundo a FTC | não especificado | CISA, Federal Trade Commission | | Spearphishing | não especificado | phishing direcionado a uma pessoa com a inclusão de informações-chave sobre ela | personalização com informações-chave sobre a vítima | treinamento regular e específico por função, incluindo phishing simulado, segundo a ISO/IEC JTC 1/SC 27 | não especificado | CISA, ISO/IEC JTC 1/SC 27 | | Whaling | não especificado | phishing direcionado a uma pessoa de alto perfil para roubar informações sensíveis e de alto valor | ataque direcionado a uma pessoa de alto perfil | treinamento regular e específico por função, incluindo phishing simulado, segundo a ISO/IEC JTC 1/SC 27 | não especificado | CISA, ISO/IEC JTC 1/SC 27 | ## Por que tratar os tipos de phishing como matriz e não como glossário? O problema não é semântico, é de desenho de programa. Segundo a CISA, há táticas voltadas a obter credenciais e outras a implantar malware, enquanto a própria CISA também distingue spearphishing, whaling, [smishing e vishing](https://www.whalemate.com/br/recursos/blog/pci-dss-12-6-medir/) como modalidades com características próprias. A leitura da Whalemate é que, se cada modalidade muda o canal, o sinal e o objetivo, também precisa mudar o controle priorizado e a métrica usada para acompanhar o risco. ## O que a CISA mede hoje e o que essa medição deixa de fora? A CISA descreve o Phishing Campaign Assessment como uma [avaliação de seis semanas](https://www.cisa.gov/sites/default/files/2023-02/phishing-infographic-508c_0.pdf) que mede a propensão da força de trabalho a clicar em iscas de phishing por e-mail. A CISA também informa que o phishing vulnerability scanning identifica quantos usuários abriram e quantos clicaram no link. A leitura da Whalemate é que essas métricas ajudam, mas reduzem o risco ao e-mail e à interação visível dentro de uma simulação pontual. ## Como a medição por e-mail convive com ataques que saem do e-mail? A tensão está na própria documentação da CISA. De um lado, a CISA mede aberturas e cliques em campanhas por e-mail, mas, de outro, alerta que o escaneamento de e-mail não detecta necessariamente mensagens enviadas por SMS ou por aplicativos de mensagem como Telegram, Signal, Slack, Facebook, Twitter, Teams, iMessage e Google Chat. A leitura da Whalemate é que um programa pode mostrar melhora no e-mail e ainda assim deixar sem cobertura uma parte explícita da superfície de ataque. ## O que muda quando o objetivo é roubar credenciais? A CISA explica que, no phishing de credenciais, o atacante envia um e-mail com um link para um site impostor para que a vítima informe usuário e senha. A CISA acrescenta que alguns sites impostores também pedem códigos MFA e chama essa modalidade de MFA bypass. A leitura da Whalemate é que medir só o clique não basta, porque o risco real está em a pessoa entregar credenciais, entregar um segundo fator ou abandonar o fluxo. ## Basta habilitar MFA para phishing de credenciais? A CISA aponta que uma mitigação principal para phishing voltado a roubo de credenciais é habilitar MFA, especialmente MFA resistente a phishing como FIDO. Mas a própria CISA alerta para sites impostores que pedem códigos MFA e os usam para MFA bypass. A leitura da Whalemate é que a decisão não é apenas ativar MFA, e sim priorizar métodos resistentes a phishing e revisar que porcentagem da base ainda depende de fatores vulneráveis a relay ou à entrega voluntária. ## O que os anexos maliciosos mostram sobre a métrica de falha? A CISA define malware phishing como o envio de um anexo malicioso que a pessoa pode ser induzida a executar. No relatório 2024 State of the Phish, a Proofpoint informou que as simulações baseadas em anexos representaram 10% do total, mas tiveram a maior taxa de falha, 17%. A leitura da Whalemate é que um programa centrado em links pode subestimar o risco operacional dos anexos, mesmo que eles apareçam menos em volume. ## O que Verizon e a CISA dizem sobre a relevância operacional do fator humano? O Verizon 2025 Data Breach Investigations Report analisou mais de 22.000 incidentes de segurança, incluindo 12.195 incidentes confirmados de vazamento de dados, e apontou que a participação do fator humano permaneceu em aproximadamente 60% dos vazamentos analisados. No mesmo relatório, segundo a Verizon, o abuso de credenciais apareceu como vetor inicial em 22% dos casos. A leitura da Whalemate é que a discussão sobre tipos de phishing não é educativa, é uma discussão de exposição operacional. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## O que acontece quando a taxa de clique é usada como proxy de risco? A evidência não sustenta essa simplificação. A apresentação do Verizon 2025 DBIR divulgada pelo Office of Information Technology do Estado de Nova York informou que usuários com treinamento recente reportaram e-mails de phishing simulados em uma taxa de aproximadamente 21%, contra uma taxa-base de 5%, enquanto a DomainTools, citando o Verizon 2025 DBIR, disse que o efeito do treinamento recente sobre a [taxa de clique](https://www.whalemate.com/br/recursos/blog/nist-cisa-phishing-com-contexto/) foi muito menor, com impacto relativo de cerca de 5%. A leitura da Whalemate é que o programa pode estar melhorando uma capacidade valiosa, reportar, sem que isso apareça com a mesma força na redução do clique. ## Por que separar abertura, clique, reporte e participação? A CISA já separa usuários que abriram de usuários que clicaram no phishing vulnerability scanning, e a métrica 2.15 de CIO FISMA pede informar quantos [usuários participaram](https://www.cisa.gov/sites/default/files/publications/FY%25202018%2520CIO%2520FISMA%2520Metrics_V2.0.1_final_0.pdf) de exercícios no trimestre anterior. O NIST indica que as simulações podem medir quem clica e quem reporta a mensagem como phishing. A leitura da Whalemate é que colapsar tudo em uma única taxa apaga comportamentos distintos, com valor diferente para o risco e para a intervenção. ## Quanto o resultado muda conforme a isca usada? Muda bastante. Um estudo do NIST sobre suscetibilidade diferencial encontrou quatro e-mails simulados com taxas de clique de [53,8%, 54,7%, 29,1% e 5,1%](https://csrc.nist.gov/csrc/media/Projects/human-centered-cybersecurity/documents/Canham-Dawkins-Jacobs_2024_Not%20All%20Victims%20Are%20Created%20Equal%20-%20Investigating%20Differential%20Phishing%20Susceptibility.pdf), e concluiu que as pontuações do Phish Scale correspondiam de perto às taxas observadas. O relatório 2024 da UNICC também informou que, ao aplicar o NIST Phish Scale, as mensagens de dificuldade alta tiveram taxa de clique de 36,15%, contra 5,74% nas de dificuldade baixa. A leitura da Whalemate é que comparar campanhas sem normalizar a dificuldade ou o tipo de isca pode gerar leituras erradas do risco. ## O que Proofpoint e UNICC dizem sobre desenho de campanhas e reporte? A Proofpoint informou em 2024 uma taxa geral de reporte de phishing simulado de 18,3% e uma taxa geral de falha de 9,3%, enquanto em 2025 informou uma taxa média de falha de 4,93% e uma taxa média de reporte de 18,65% nas campanhas analisadas. A UNICC informou que 45% das organizações tinham integrado um botão de reporte de phishing no cliente corporativo de e-mail, e que as organizações com essa função registraram taxa média de reporte de 16%, contra 8,5% entre as que não tinham. A leitura da Whalemate é que a capacidade de reporte depende tanto do treinamento quanto do desenho operacional do canal. ## O que a ISO/IEC 27001 implica para esse problema de cobertura? A ISO/IEC JTC 1/SC 27 explica que a ISO/IEC 27001, cláusula 6.1.3 b), exige determinar os controles de segurança da informação necessários para reduzir a exposição ao risco a um nível aceitável. O mesmo comitê explica que a ISO/IEC 27001, cláusula 6.1.3 c), exige comparar os controles necessários definidos pela organização com os controles do Anexo A e verificar se nenhum controle necessário foi omitido. A leitura da Whalemate é que, se o risco identificado inclui SMS, mensagens, voz, anexos e bypass de MFA, medir apenas e-mail deixa uma lacuna difícil de justificar na aplicabilidade dos controles. ## O que a prática regional mostra sobre canais e setores expostos? Segundo informações atribuídas pela Securitic ao ESET Security Report 2025, 73% das empresas da América Latina consultadas afirmaram ter sido alvo de campanhas de phishing durante 2025. A mesma informação atribuída ao ESET Security Report 2025 apontou incidência de 81,4% em educação, 81,1% em manufatura, 79,6% em bancos e finanças, 72,6% em governo e 67,6% em saúde. A leitura da Whalemate é que, mesmo sem uma taxa latino-americana comparável de modalidades, há evidência suficiente para não tratar phishing como um único cenário homogêneo. ## Que decisão isso habilita amanhã para CISO, IT e compliance na América Latina? A decisão prática é redesenhar o programa de phishing como uma matriz por tipo, canal, função e comportamento observado. Para phishing de credenciais, a CISA prioriza MFA resistente a phishing como FIDO; para anexos maliciosos, a evidência da Proofpoint justifica controles e simulações específicos para arquivos; para smishing e vishing, a CISA e a FTC exigem cobertura de verificação fora de banda e canais não cobertos pelo e-mail; e para [spearphishing e whaling](https://www.whalemate.com/br/recursos/blog/phishing-spear-phishing-mudam-medicao/), a ISO/IEC JTC 1/SC 27 sustenta treinamento regular e específico por função, com registro de participação e adaptação conforme tendências de incidentes. Se a PCI DSS 12.6 exige um programa de conscientização em segurança, e não um curso isolado, então usar [uma única taxa de clique](https://www.whalemate.com/br/recursos/blog/nist-medir-awareness/) como proxy de risco deixa de ser suficiente para demonstrar cobertura, priorização e intervenção. ## O que ler em seguida? - [Conscientização na plataforma](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) - [LATAM: o que avaliar em plataformas de awareness](https://www.whalemate.com/br/recursos/blog/latam-avaliar-plataformas-awareness/) - [NIST e CISA explicam engenharia social](https://www.whalemate.com/br/recursos/blog/nist-cisa-explicam-engenharia-social/) [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) Perguntas ## Perguntas frequentes **Quais tipos de phishing mais importam para uma organização?** Os que mudam decisões de controle e medição. Segundo a CISA, convém separar phishing de credenciais, malware phishing, spearphishing, whaling, smishing e vishing, porque não compartilham o mesmo canal nem o mesmo objetivo. Para uma equipe de segurança, essa diferença define se convém priorizar MFA resistente a phishing, controles sobre anexos, verificação fora de banda ou treinamento específico por função. **A taxa de clique é suficiente para medir risco de phishing?** Não, sozinha não. A CISA mede aberturas e cliques em simulações de e-mail, mas o NIST também considera o reporte, e a métrica 2.15 de CIO FISMA incorpora participação em exercícios. Além disso, a evidência apresentada pela Verizon mostra que o treinamento recente melhora muito mais a taxa de reporte do que a redução do clique, então uma única métrica pode ocultar capacidades relevantes. **Por que smishing e vishing costumam ficar fora do programa?** Porque muitas medições e controles nasceram em torno do e-mail. A CISA alerta que o escaneamento de e-mail não detecta necessariamente phishing enviado por SMS ou por aplicativos de mensagem, e define vishing como phishing por voz. Se a organização não estender simulação, treinamento e procedimentos a esses canais, a cobertura real do programa fica incompleta. **O que a ISO/IEC 27001 exige diante desse tipo de risco?** Segundo a ISO/IEC JTC 1/SC 27, a ISO/IEC 27001, cláusula 6.1.3 b), exige determinar os controles necessários para reduzir a exposição ao risco a um nível aceitável, e a cláusula 6.1.3 c) exige compará-los com os controles do Anexo A para que nenhum controle necessário seja omitido. Em phishing, isso leva a justificar cobertura por modalidade, e não apenas por e-mail. **Que decisão concreta uma equipe deveria tomar amanhã?** Separar o programa por modalidade e medir comportamentos distintos. Isso implica, no mínimo, distinguir campanhas de credenciais, anexos e canais fora do e-mail; medir abertura, clique, reporte e participação separadamente; e usar o resultado para priorizar intervenções por função, canal e comportamento observado. Na Whalemate, essa abordagem se traduz em Human Risk Management, com simulação, treinamento, analítica e intervenção sobre sinais combinados. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPhishing%3A%20canal%2C%20alvo%2C%20controle%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPhishing%3A%20canal%2C%20alvo%2C%20controle%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [A comparação que falta entre as fontes](#s1) 2. [Por que tratar os tipos de phishing como matriz e não como glossário?](#s2) 3. [O que a CISA mede hoje e o que essa medição deixa de fora?](#s3) 4. [Como a medição por e-mail convive com ataques que saem do e-mail?](#s4) 5. [O que muda quando o objetivo é roubar credenciais?](#s5) 6. [Basta habilitar MFA para phishing de credenciais?](#s6) 7. [O que os anexos maliciosos mostram sobre a métrica de falha?](#s7) 8. [O que Verizon e a CISA dizem sobre a relevância operacional do fator humano?](#s8) 9. [O que acontece quando a taxa de clique é usada como proxy de risco?](#s9) 10. [Por que separar abertura, clique, reporte e participação?](#s10) 11. [Quanto o resultado muda conforme a isca usada?](#s11) 12. [O que Proofpoint e UNICC dizem sobre desenho de campanhas e reporte?](#s12) 13. [O que a ISO/IEC 27001 implica para esse problema de cobertura?](#s13) 14. [O que a prática regional mostra sobre canais e setores expostos?](#s14) 15. [Que decisão isso habilita amanhã para CISO, IT e compliance na América Latina?](#s15) 16. [O que ler em seguida?](#s16) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[CISA e NIST medem simulações de ciberataque\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/cisa-nist-medem-simulacoes-ciberataque.webp)](https://www.whalemate.com/br/recursos/blog/cisa-nist-medem-simulacoes-ciberataque/) Conscientização 10 de nov. de 2026 Por Federico Hombre ### CISA e NIST medem simulações de ciberataque CISA, NIST e ISO/IEC 27001 apontam o que medir em simulações: cliques, reportes, aberturas, dificuldade Ler mais [!\[NIST, ISO e CISA elevam o phishing\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nist-iso-cisa-elevam-phishing.webp)](https://www.whalemate.com/br/recursos/blog/nist-iso-cisa-elevam-phishing/) Conscientização 6 de nov. de 2026 Por Federico Hombre ### NIST, ISO e CISA elevam o phishing NIST, ISO, CISA e Brasil mostram que não basta medir cliques nem fazer campanha anual para reduzir risco de phishing. Ler mais [!\[NIST e o que medir em awareness\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nist-medir-awareness.webp)](https://www.whalemate.com/br/recursos/blog/nist-medir-awareness/) Conscientização 4 de nov. de 2026 Por Federico Hombre ### NIST e o que medir em awareness NIST alerta que só clicar não basta. Um painel útil reúne reporte, abertura, envio de dados, tempo de resposta e dificuldade da mensagem. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)