Por 
A diferença operacional entre phishing e spear phishing muda as métricas e os controles que um CISO precisa usar. NIST, PCI DSS e CIS convergem ao exigir capacitação contínua e a capacidade de reconhecer e reportar engenharia social, mas o material reunido não sustenta medir apenas cliques nem tratar a capacitação tradicional como prova suficiente de eficácia. Para decidir bem, o CISO precisa separar campanhas em massa de ataques direcionados, comparar resultados com controle da dificuldade do isca e priorizar credenciais entregues, reportes e tempo de resposta.
Lidas em conjunto, as fontes mostram algo que não aparece quando analisadas isoladamente. As normas descrevem obrigações de awareness e evidência, as guias sugerem formas de medição, e os benchmarks e estudos deixam claro que o clique, sozinho, não basta para interpretar o risco humano.
| Tema | Tipo de ataque | Como se define | Objetivo | Traço distintivo | O que se mede | Decisão que habilita | Fonte |
|---|---|---|---|---|---|---|---|
| Phishing | Família geral de enganos | Técnica para tentar obter dados sensíveis por meio de uma solicitação fraudulenta por e-mail ou site, além do uso de e-mail falsificado para coletar informações privadas, distribuir malware ou cometer fraude | Público amplo, normalmente com mensagens genéricas | Busca convencer uma pessoa a entregar dados sensíveis a um impostor | A CISA descreve uma avaliação de seis semanas que mede a propensão da força de trabalho a clicar em iscas de phishing. A Fortra reporta taxa de cliques, taxa de envio de credenciais e taxa de reporte. O NIST Cybersecurity Framework 2.0 Concept Paper traz como exemplo o número de tentativas de phishing evitadas e o fato de 80% dos usuários relatarem tentativas conhecidas | Direcionar capacitação e conscientização antiphishing e avaliar eficácia com mais de uma métrica, não apenas cliques | NIST, NIST SP 800-177 Rev. 1, CISA, Fortra, NIST Cybersecurity Framework 2.0 Concept Paper |
| Spear phishing | Variante direcionada de phishing | Ataque de phishing altamente direcionado, normalmente contra uma pessoa ou departamento específico dentro de uma organização, em que o adversário conhece o perfil da vítima e usa informação contextual para fazer a mensagem parecer legítima | Uma única pessoa, grupo, organização ou departamento específico | Escolha do alvo, investigação prévia e personalização com informação contextual ou dados pessoais conhecidos. A ENISA acrescenta uso frequente de OSINT | Não especificado como benchmark único nas normas. O NIST Phish Scale foi desenhado para classificar a dificuldade humana de detectar um e-mail de phishing e tornar comparáveis as simulações entre iscas. O INCIBE indica ações posteriores se credenciais foram entregues | Segmentar por função ou criticidade e não comparar campanhas de dificuldade distinta sem normalização da isca | NIST, NIST SP 800-177 Rev. 1, ENISA, NIST Phish Scale, INCIBE |
| NIST SP 800-53 Rev. 5 | Não separa exigência específica entre phishing e spear phishing, mas menciona spear phishing em exercícios | Exige security and privacy literacy training para usuários, gestores e contratados. Também exige capacitação para reconhecer e reportar instâncias potenciais e reais de engenharia social e social mining | Todos os usuários do sistema, incluindo managers, senior executives e contractors | Exige exercícios práticos que simulem eventos e incidentes, inclusive tentativas de engenharia social sem aviso e a simulação do impacto de abrir anexos maliciosos ou ativar links maliciosos por meio de spear phishing | Não especifica uma métrica numérica única. AT-4 trata os registros de treinamento como evidência separada da atividade formativa | Separar evidência de conformidade da eficácia real e usar simulações práticas, inclusive spear phishing, não apenas formação inicial | NIST SP 800-53 Rev. 5, NIST |
| PCI DSS v4.0 | Phishing e ataques relacionados dentro de awareness, com controle técnico separado para phishing | A capacitação deve incluir conscientização sobre ameaças e vulnerabilidades que possam afetar a segurança do CDE, incluindo literalmente phishing and related attacks e social engineering | Todo o pessoal | PCI DSS v4.0.1 estabelece que security awareness education is an ongoing activity. Além disso, diferencia o requisito 5.4.1 de controles técnicos e automatizados para detectar e proteger o pessoal contra phishing do requisito 12.6.3.1 de treinamento | Não especificado como KPI. Mas exige programa formal e o resumo de mudanças para a v4.0 identifica revisar e atualizar o programa ao menos a cada 12 meses | Não considerar phishing como cumprido só com awareness nem só com tecnologia. Exige sustentar os dois frentes separadamente | PCI DSS v4.0.1, PCI DSS v4.0, PCI Security Standards Council |
| CIS Controls v8.1 | Phishing como exemplo de engenharia social a ser reconhecida | Exige estabelecer e manter um programa de security awareness e treinar a força de trabalho para reconhecer ataques de engenharia social, como phishing, BEC, pretexting e tailgating | Workforce members | A política-modelo esclarece que um programa eficaz não deve se limitar a um vídeo anual genérico acompanhado de testes periódicos de phishing. Além da capacitação anual, devem existir mensagens e notificações temáticas mais frequentes | Não especificado em KPI numérico no controle citado | Evitar programas de conformidade mínima baseados só em curso anual e testes periódicos. Sustentar intervenções mais frequentes | CIS Controls v8.1, Center for Internet Security |
| Métricas operacionais observadas | Campanhas simuladas de phishing | Benchmarks de comportamento humano diante de simulações e medição de resposta | Destinatários de campanhas de simulação | A Fortra reporta 5,42% de cliques, 1,99% de envio de credenciais e 10,50% de reporte sobre 13,9 milhões de destinatários e 7.504 campanhas. A Proofpoint reporta 4,93% de taxa média de falha, 6,59% em campanhas baseadas em anexos e 2,46% em campanhas de entrada de dados. Também informa que 10% dos usuários foram responsáveis por 100% dos cliques dentro de uma determinada onda | Cliques, entrega de credenciais, reporte, tipo de isca e concentração de risco por usuário | Priorizar credenciais entregues e reporte, e focar controles sobre grupos ou usuários de maior risco, em vez de ler a taxa de cliques como indicador suficiente | Fortra, Proofpoint |
Phishing e spear phishing exigem a mesma medição?
Não. O NIST define phishing como a família geral de enganos e spear phishing como uma variante altamente direcionada contra uma pessoa ou departamento específico. O NIST SP 800-177 Rev. 1 acrescenta que, no spear phishing, o adversário conhece o perfil da vítima e usa informação contextual. A leitura da Whalemate é que essa diferença muda a medição: campanhas em massa admitem KPIs agregados, enquanto as dirigidas exigem segmentar por função, exposição, criticidade e grau de personalização.
O que muda quando o ataque é massivo e não direcionado?
Segundo o NIST, o phishing geral costuma mirar um público amplo e usar mensagens genéricas. A CISA descreve o Phishing Campaign Assessment como uma avaliação de seis semanas que mede a propensão da força de trabalho a clicar em iscas de phishing. A leitura da Whalemate é que, nesse plano, a medição serve para enxergar comportamento agregado, mas continua incompleta se for reduzida a cliques e não somar credenciais entregues, reportes e tempo até o reporte.
O que muda quando o ataque é spear phishing?
NIST e ENISA concordam que o spear phishing inclui seleção do alvo, pesquisa prévia e personalização. A ENISA acrescenta que essa personalização costuma se apoiar em OSINT. A leitura da Whalemate é que não faz sentido comparar uma campanha genérica com uma dirigida sem controlar a dificuldade humana da isca, e por isso o NIST Phish Scale deixa de ser um detalhe metodológico para virar uma condição de interpretação dos resultados sem autoengano.
As normas pedem awareness contínuo ou basta um curso?
Não basta um curso isolado. O NIST SP 800-53 Rev. 5, em AT-2, exige impartir security and privacy literacy training como parte da capacitação inicial e com uma frequência definida pela organização, e também exige treinamento para reconhecer e reportar instâncias potenciais e reais de engenharia social e social mining. O PCI DSS v4.0.1, no requisito 12.6, estabelece literalmente que security awareness education is an ongoing activity. A leitura da Whalemate é que conformidade pede continuidade, não um evento anual.
As normas distinguem awareness de controles técnicos?
Sim, e esse ponto costuma se perder na prática. O PCI DSS v4.0 diferencia o requisito 5.4.1, de controles técnicos e automatizados para detectar e proteger o pessoal contra phishing, do requisito 12.6.3.1, de treinamento. O NIST SP 800-53 Rev. 5 também separa a atividade formativa de seus registros, já que AT-4 trata os registros de treinamento como evidência distinta. A leitura da Whalemate é que há três planos separados: formação, tecnologia e evidência documental.
A evidência respalda usar cliques como KPI principal?
Não como indicador único. A CISA usa cliques em uma avaliação específica, mas a Fortra reporta também envio de credenciais e reporte, com 5,42% de cliques, 1,99% de envio de credenciais e 10,50% de reporte sobre 13,9 milhões de destinatários e 7.504 campanhas. O NIST Cybersecurity Framework 2.0 Concept Paper traz como exemplos de medição tentativas de phishing evitadas e usuários que relatam tentativas conhecidas. A leitura da Whalemate é que o clique é um sinal inicial, não uma leitura suficiente do risco.
O que a prática mostra sobre o risco real por trás de uma taxa baixa de cliques?
A Proofpoint informa que até empresas consideradas best-in-breed ainda registravam mais de 1% de cliques em suas medições, então uma taxa baixa não equivale a risco zero. O mesmo relatório da Proofpoint diz que, em uma medição de ataques maliciosos, 10% dos usuários foram responsáveis por 100% dos cliques dentro de uma determinada onda, e que 40% dos cliques costuma vir de usuários que clicaram uma única vez. A leitura da Whalemate é que a média pode ocultar concentração de risco e usuários críticos.
