--- title: "Phishing e spear phishing mudam a medição do CISO | Whalemate" description: "A diferença entre ataques massivos e dirigidos muda métricas e controles. Medir só cliques ou depender de um curso anual não basta." url: https://www.whalemate.com/br/recursos/blog/phishing-spear-phishing-mudam-medicao/ lang: pt-BR updated: 2026-10-27 alternates: es: https://www.whalemate.com/recursos/blog/phishing-vs-spear-phishing-cambia/ en: https://www.whalemate.com/en/resources/blog/phishing-vs-spear-phishing-what/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # Phishing e spear phishing mudam a medição do CISO A diferença entre ataques massivos e dirigidos muda métricas e controles. Medir só cliques ou depender de um curso anual não basta. 27 de out. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 12 min de leitura [Conscientização](https://www.whalemate.com/br/recursos/blog/tema/conscientizacao/) ![Phishing e spear phishing mudam a medição do CISO](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-spear-phishing-mudam-medicao.webp) Neste artigo 1. [Phishing e spear phishing exigem a mesma medição?](#s1) 2. [O que muda quando o ataque é massivo e não direcionado?](#s2) 3. [O que muda quando o ataque é spear phishing?](#s3) 4. [As normas pedem awareness contínuo ou basta um curso?](#s4) 5. [As normas distinguem awareness de controles técnicos?](#s5) 6. [A evidência respalda usar cliques como KPI principal?](#s6) 7. [O que a prática mostra sobre o risco real por trás de uma taxa baixa de cliques?](#s7) 8. [A capacitação contínua funciona sempre?](#s8) 9. [Então exercícios interativos também não servem?](#s9) 10. [Por que a dificuldade da isca importa tanto?](#s10) 11. [O que medir em tempo de resposta além do resultado final?](#s11) 12. [O que obriga a separar phishing em massa de spear phishing na gestão diária?](#s12) 13. [O que isso significa para compliance na América Latina?](#s13) 14. [Consequência operacional](#s14) 15. [O que ler em seguida?](#s15) A diferença operacional entre phishing e spear phishing muda as métricas e os controles que um CISO precisa usar. NIST, PCI DSS e CIS convergem ao exigir capacitação contínua e a capacidade de [reconhecer e reportar](https://www.whalemate.com/br/recursos/blog/nist-cis-medir-engenharia-social/) engenharia social, mas o material reunido não sustenta medir apenas cliques nem tratar a capacitação tradicional como prova suficiente de eficácia. Para decidir bem, o CISO precisa separar campanhas em massa de ataques direcionados, comparar resultados com controle da dificuldade do isca e priorizar credenciais entregues, reportes e tempo de resposta. Lidas em conjunto, as fontes mostram algo que não aparece quando analisadas isoladamente. As normas descrevem obrigações de awareness e evidência, as guias sugerem formas de medição, e os benchmarks e estudos deixam claro que o clique, sozinho, não basta para interpretar o [risco humano](https://www.whalemate.com/br/recursos/blog/human-risk-management-mede-habilita/). | Tema | Tipo de ataque | Como se define | Objetivo | Traço distintivo | O que se mede | Decisão que habilita | Fonte | | --- | --- | --- | --- | --- | --- | --- | --- | | Phishing | Família geral de enganos | Técnica para tentar obter dados sensíveis por meio de uma solicitação fraudulenta por e-mail ou site, além do uso de e-mail falsificado para coletar informações privadas, distribuir malware ou cometer fraude | Público amplo, normalmente com mensagens genéricas | Busca convencer uma pessoa a entregar dados sensíveis a um impostor | A CISA descreve uma avaliação de seis semanas que mede a propensão da força de trabalho a clicar em iscas de phishing. A Fortra reporta taxa de cliques, taxa de envio de credenciais e taxa de reporte. O NIST Cybersecurity Framework 2.0 Concept Paper traz como exemplo o número de tentativas de phishing evitadas e o fato de 80% dos usuários relatarem tentativas conhecidas | Direcionar capacitação e conscientização antiphishing e avaliar eficácia com mais de uma métrica, não apenas cliques | NIST, NIST SP 800-177 Rev. 1, CISA, Fortra, NIST Cybersecurity Framework 2.0 Concept Paper | | Spear phishing | Variante direcionada de phishing | Ataque de phishing altamente direcionado, normalmente contra uma pessoa ou departamento específico dentro de uma organização, em que o adversário conhece o perfil da vítima e usa informação contextual para fazer a mensagem parecer legítima | Uma única pessoa, grupo, organização ou departamento específico | Escolha do alvo, investigação prévia e personalização com informação contextual ou dados pessoais conhecidos. A ENISA acrescenta uso frequente de OSINT | Não especificado como benchmark único nas normas. O NIST Phish Scale foi desenhado para classificar a dificuldade humana de detectar um e-mail de phishing e tornar comparáveis as simulações entre iscas. O INCIBE indica ações posteriores se credenciais foram entregues | Segmentar por função ou criticidade e não comparar campanhas de dificuldade distinta sem normalização da isca | NIST, NIST SP 800-177 Rev. 1, ENISA, NIST Phish Scale, INCIBE | | NIST SP 800-53 Rev. 5 | Não separa exigência específica entre phishing e spear phishing, mas menciona spear phishing em exercícios | Exige security and privacy literacy training para usuários, gestores e contratados. Também exige capacitação para reconhecer e reportar instâncias potenciais e reais de engenharia social e social mining | Todos os usuários do sistema, incluindo managers, senior executives e contractors | Exige exercícios práticos que simulem eventos e incidentes, inclusive tentativas de engenharia social sem aviso e a simulação do impacto de abrir anexos maliciosos ou ativar links maliciosos por meio de spear phishing | Não especifica uma métrica numérica única. AT-4 trata os registros de treinamento como evidência separada da atividade formativa | Separar evidência de conformidade da eficácia real e usar simulações práticas, inclusive spear phishing, não apenas formação inicial | NIST SP 800-53 Rev. 5, NIST | | PCI DSS v4.0 | Phishing e ataques relacionados dentro de awareness, com controle técnico separado para phishing | A capacitação deve incluir conscientização sobre ameaças e vulnerabilidades que possam afetar a segurança do CDE, incluindo literalmente phishing and related attacks e social engineering | Todo o pessoal | PCI DSS v4.0.1 estabelece que security awareness education is an ongoing activity. Além disso, diferencia o requisito 5.4.1 de controles técnicos e automatizados para detectar e proteger o pessoal contra phishing do requisito 12.6.3.1 de treinamento | Não especificado como KPI. Mas exige programa formal e o resumo de mudanças para a v4.0 identifica revisar e atualizar o programa ao menos a cada 12 meses | Não considerar phishing como cumprido só com awareness nem só com tecnologia. Exige sustentar os dois frentes separadamente | PCI DSS v4.0.1, PCI DSS v4.0, PCI Security Standards Council | | CIS Controls v8.1 | Phishing como exemplo de engenharia social a ser reconhecida | Exige estabelecer e manter um programa de security awareness e treinar a força de trabalho para reconhecer ataques de engenharia social, como phishing, BEC, pretexting e tailgating | Workforce members | A política-modelo esclarece que um programa eficaz não deve se limitar a um vídeo anual genérico acompanhado de testes periódicos de phishing. Além da capacitação anual, devem existir mensagens e notificações temáticas mais frequentes | Não especificado em KPI numérico no controle citado | Evitar programas de conformidade mínima baseados só em curso anual e testes periódicos. Sustentar intervenções mais frequentes | CIS Controls v8.1, Center for Internet Security | | Métricas operacionais observadas | Campanhas simuladas de phishing | Benchmarks de comportamento humano diante de simulações e medição de resposta | Destinatários de campanhas de simulação | A Fortra reporta 5,42% de cliques, 1,99% de envio de credenciais e 10,50% de reporte sobre 13,9 milhões de destinatários e 7.504 campanhas. A Proofpoint reporta 4,93% de taxa média de falha, 6,59% em campanhas baseadas em anexos e 2,46% em campanhas de entrada de dados. Também informa que 10% dos usuários foram responsáveis por 100% dos cliques dentro de uma determinada onda | Cliques, entrega de credenciais, reporte, tipo de isca e concentração de risco por usuário | Priorizar credenciais entregues e reporte, e focar controles sobre grupos ou usuários de maior risco, em vez de ler a taxa de cliques como indicador suficiente | Fortra, Proofpoint | ## Phishing e spear phishing exigem a mesma medição? Não. O NIST define phishing como a família geral de enganos e spear phishing como uma variante altamente direcionada contra uma pessoa ou departamento específico. O NIST SP 800-177 Rev. 1 acrescenta que, no spear phishing, o adversário conhece o perfil da vítima e [usa informação contextual](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-177r1.pdf). A leitura da Whalemate é que essa diferença muda a medição: campanhas em massa admitem KPIs agregados, enquanto as dirigidas exigem segmentar por função, exposição, criticidade e grau de personalização. ## O que muda quando o ataque é massivo e não direcionado? Segundo o NIST, o phishing geral costuma mirar um [público amplo](https://www.cisa.gov/news-events/news/phishing-whats-name) e usar mensagens genéricas. A CISA descreve o Phishing Campaign Assessment como uma avaliação de seis semanas que mede a propensão da força de trabalho a clicar em iscas de phishing. A leitura da Whalemate é que, nesse plano, a medição serve para enxergar comportamento agregado, mas continua incompleta se for reduzida a cliques e não somar credenciais entregues, reportes e tempo até o reporte. ## O que muda quando o ataque é spear phishing? NIST e ENISA concordam que o spear phishing inclui seleção do alvo, pesquisa prévia e personalização. A ENISA acrescenta que essa personalização costuma se apoiar em OSINT. A leitura da Whalemate é que não faz sentido comparar uma campanha genérica com uma dirigida sem controlar a dificuldade humana da isca, e por isso o NIST Phish Scale deixa de ser um detalhe metodológico para virar uma condição de interpretação dos resultados sem autoengano. ## As normas pedem awareness contínuo ou basta um curso? Não basta um curso isolado. O NIST SP 800-53 Rev. 5, em AT-2, exige impartir security and privacy literacy training como parte da capacitação inicial e com uma frequência definida pela organização, e também exige treinamento para reconhecer e reportar instâncias potenciais e reais de engenharia social e social mining. O PCI DSS v4.0.1, no requisito 12.6, estabelece literalmente que security awareness education is an ongoing activity. A leitura da Whalemate é que conformidade pede continuidade, não um evento anual. ## As normas distinguem awareness de controles técnicos? Sim, e esse ponto costuma se perder na prática. O PCI DSS v4.0 diferencia o requisito 5.4.1, de controles técnicos e automatizados para detectar e proteger o pessoal contra phishing, do requisito 12.6.3.1, de treinamento. O NIST SP 800-53 Rev. 5 também separa a atividade formativa de seus registros, já que AT-4 trata os registros de treinamento como evidência distinta. A leitura da Whalemate é que há três planos separados: formação, tecnologia e evidência documental. ## A evidência respalda usar cliques como KPI principal? Não como indicador único. A CISA usa cliques em uma avaliação específica, mas a Fortra reporta também envio de credenciais e reporte, com 5,42% de cliques, 1,99% de envio de credenciais e 10,50% de reporte sobre 13,9 milhões de destinatários e 7.504 campanhas. O NIST Cybersecurity Framework 2.0 Concept Paper traz como exemplos de medição tentativas de phishing evitadas e usuários que relatam tentativas conhecidas. A leitura da Whalemate é que o clique é um sinal inicial, não uma leitura suficiente do risco. ## O que a prática mostra sobre o risco real por trás de uma taxa baixa de cliques? A Proofpoint informa que até empresas consideradas best-in-breed ainda registravam mais de 1% de cliques em suas medições, então uma taxa baixa não equivale a risco zero. O mesmo relatório da Proofpoint diz que, em uma medição de ataques maliciosos, 10% dos usuários foram responsáveis por 100% dos cliques dentro de uma determinada onda, e que 40% dos cliques costuma vir de usuários que clicaram uma única vez. A leitura da Whalemate é que a média pode ocultar concentração de risco e usuários críticos. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## A capacitação contínua funciona sempre? Não de forma uniforme. Um estudo experimental em larga escala disponível no arXiv reportou uma [taxa geral de cliques](https://arxiv.org/pdf/2506.19899) de 10,4% e não encontrou diferenças estatisticamente significativas entre grupo de controle, grupo com capacitação e grupo com capacitação mais exercício nem na taxa de cliques, com p=0,450, nem na taxa de reporte, com p=0,417. A leitura da Whalemate é que a obrigação normativa de capacitar segue válida, mas não autoriza presumir eficácia comportamental só porque a formação tradicional foi aplicada. ## Então exercícios interativos também não servem? A evidência do material é mista, não negativa de forma absoluta. O estudo apresentado no simpósio CERIAS de Purdue reportou que o grupo interativo informou phishing [37% mais vezes](https://www.cerias.purdue.edu/symposium/index.php/posters/year/2025/T5I-7DS) que o grupo de referência e 25% mais vezes que o grupo de capacitação tradicional. O estudo da UC San Diego Health, segundo o HR Reporter, associou a capacitação interativa concluída a uma redução de 19% na taxa de falhas. Um estudo publicado pela ACM encontrou que a capacitação adiada foi mais eficaz do que a imediata para reduzir cliques e outros resultados, com H(1)=8,09 e p\<0,05. A leitura da Whalemate é que importa menos cumprir com "dar treinamento" e mais desenhar bem o tipo, o momento e a persistência da intervenção. ## Por que a dificuldade da isca importa tanto? Porque, sem controlar a dificuldade, a comparação engana. A Proofpoint reporta diferenças claras entre campanhas baseadas em anexos, com 6,59% de taxa de falha, e campanhas de entrada de dados, com 2,46%, segundo sua medição publicada sobre simulações. O NIST Phish Scale existe justamente para classificar a dificuldade humana de detectar um e-mail de phishing e tornar comparáveis as simulações entre iscas. A leitura da Whalemate é que uma melhora aparente pode vir do fato de a isca ter sido mais fácil, não de o programa ter funcionado melhor. ## O que medir em tempo de resposta além do resultado final? Isso acrescenta uma dimensão operacional crítica. O estudo experimental disponível no arXiv reportou mediana de 21 minutos até o reporte e que 90% dos reportes ocorreram dentro de 18,8 horas após o envio. Segundo a síntese publicada pela Swif.ai sobre dados do Verizon 2025 DBIR, a mediana até clicar foi de 21 segundos e a mediana até reportar foi de 28 minutos. A leitura da Whalemate é que, se o clique ocorre em segundos e o reporte demora dezenas de minutos, a janela de contenção depende de acelerar detecção humana e resposta. ## O que obriga a separar phishing em massa de spear phishing na gestão diária? A própria natureza do ataque. O NIST define spear phishing como altamente direcionado e a ENISA o caracteriza como uma das variantes mais bem-sucedidas contra redes corporativas. Além disso, a orientação conjunta de CISA, NSA, FBI e MS-ISAC identifica a personificação de supervisores ou colegas de confiança e o uso de ferramentas públicas para campanhas de spear phishing. A leitura da Whalemate é que funções expostas, como finanças, compras, RH ou executivos, não devem ser medidas nem treinadas da mesma forma que a base geral. ## O que isso significa para compliance na América Latina? Significa que guardar certificados de curso não esgota a evidência útil. O NIST SP 800-53 Rev. 5 trata os registros de treinamento como um artefato separado da atividade formativa, e o PCI DSS v4.0 exige um programa formal de awareness enquanto mantém controles técnicos diferenciados para phishing. O Tribunal de Contas da União do Brasil inclui [controles administrativos, técnicos](https://www.whalemate.com/br/recursos/blog/nist-pci-brasil-engenharia-social/), conscientização e simulações de phishing como componentes de defesa, e a ANPD do Brasil identifica phishing como um incidente comum. A leitura da Whalemate é que compliance precisa demonstrar programa, atualização, evidência e coordenação com controles operacionais. ## Consequência operacional Para um CISO, TI ou compliance na América Latina, a decisão prática é redesenhar a medição e a evidência em três planos distintos. Primeiro, separar phishing em massa de spear phishing direcionado e, neste último, segmentar por função, exposição, criticidade do ativo e nível de personalização. Segundo, não usar a taxa de cliques como único KPI: segundo a Fortra, vale registrar ao menos cliques, credenciais entregues e reportes, e somar o tempo até o reporte com base na evidência do arXiv e na síntese da Swif.ai sobre dados do Verizon 2025 DBIR. Terceiro, comparar campanhas apenas se a dificuldade da isca for comparável, por exemplo com o NIST Phish Scale, e distinguir entre conformidade documental de treinamento, controles técnicos antiphishing e eficácia comportamental observada. Se a organização só guarda registros de curso anual, pode sustentar evidência de formação, mas continua cega para usuários que entregam credenciais, não reportam ou demoram demais para fazê-lo. ## O que ler em seguida? - [Conscientização na plataforma](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) - [NIST e CISA explicam engenharia social](https://www.whalemate.com/br/recursos/blog/nist-cisa-explicam-engenharia-social/) - [PCI DSS e phishing vs spam na LATAM](https://www.whalemate.com/br/recursos/blog/pci-dss-phishing-vs-spam/) [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) Perguntas ## Perguntas frequentes **Phishing e spear phishing são a mesma coisa para medir risco?** Não. Segundo o NIST, spear phishing é uma variante altamente direcionada do phishing geral. Isso muda a medição: em campanhas em massa você pode observar comportamento agregado, mas em spear phishing precisa segmentar por função, criticidade e personalização. Se você comparar os dois cenários com o mesmo KPI e sem controlar a dificuldade, o resultado pode induzir decisões erradas. **Quais métricas mínimas um programa sério deveria acompanhar?** Segundo a Fortra, as métricas úteis incluem cliques, envio de credenciais e reporte. O material também acrescenta tempo até o reporte, a partir do estudo no arXiv e da síntese da Swif.ai sobre dados do Verizon 2025 DBIR. Para spear phishing, também convém registrar o segmento afetado, o nível de personalização e a dificuldade da isca com um método comparável, como o NIST Phish Scale. **Um curso anual serve para compliance e para reduzir risco?** Serve como parte do compliance, mas por si só não prova redução de risco. NIST SP 800-53 Rev. 5 e PCI DSS exigem continuidade, e o NIST separa a evidência de capacitação da sua efetividade real. Além disso, o estudo no arXiv não encontrou melhorias significativas com capacitação tradicional, então concluir cursos não basta para inferir mudança comportamental. **Por que não convém usar apenas a taxa de cliques?** Porque o clique não captura todo o risco. A Fortra mostra que também importa quantos usuários entregam credenciais e quantos reportam. A Proofpoint acrescenta que uma taxa baixa não equivale a risco zero e que o risco pode se concentrar em poucos usuários. Um programa que apenas reduz cliques, mas não melhora reportes nem reduz a entrega de credenciais, continua deixando exposição relevante. **Que decisão separar phishing de spear phishing habilita?** Isso habilita decidir melhor onde intervir. Se o problema estiver em campanhas em massa, pode ser conveniente ajustar o awareness geral e os mecanismos de reporte. Se o problema aparecer em spear phishing, a prioridade passa para funções expostas, simulações mais contextualizadas, controle de dificuldade e resposta rápida diante da entrega de credenciais. Essa separação evita tratar todo o risco humano como se fosse homogêneo. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPhishing%20e%20spear%20phishing%20mudam%20a%20medi%C3%A7%C3%A3o%20do%20CISO%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPhishing%20e%20spear%20phishing%20mudam%20a%20medi%C3%A7%C3%A3o%20do%20CISO%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [Phishing e spear phishing exigem a mesma medição?](#s1) 2. [O que muda quando o ataque é massivo e não direcionado?](#s2) 3. [O que muda quando o ataque é spear phishing?](#s3) 4. [As normas pedem awareness contínuo ou basta um curso?](#s4) 5. [As normas distinguem awareness de controles técnicos?](#s5) 6. [A evidência respalda usar cliques como KPI principal?](#s6) 7. [O que a prática mostra sobre o risco real por trás de uma taxa baixa de cliques?](#s7) 8. [A capacitação contínua funciona sempre?](#s8) 9. [Então exercícios interativos também não servem?](#s9) 10. [Por que a dificuldade da isca importa tanto?](#s10) 11. [O que medir em tempo de resposta além do resultado final?](#s11) 12. [O que obriga a separar phishing em massa de spear phishing na gestão diária?](#s12) 13. [O que isso significa para compliance na América Latina?](#s13) 14. [Consequência operacional](#s14) 15. [O que ler em seguida?](#s15) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[Campanha de conscientização: o que exige e o que mede\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/campanha-conscientizacao-exige-mede.webp)](https://www.whalemate.com/br/recursos/blog/campanha-conscientizacao-exige-mede/) Conscientização 30 de out. de 2026 Por Federico Hombre ### Campanha de conscientização: o que exige e o que mede ISO, PCI DSS, CIS, NIST, ENISA e Califórnia não exigem a mesma coisa. O cruzamento mostra o que medir, guardar Ler mais [!\[LATAM: o que avaliar em plataformas de awareness\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-avaliar-plataformas-awareness.webp)](https://www.whalemate.com/br/recursos/blog/latam-avaliar-plataformas-awareness/) Conscientização 29 de out. de 2026 Por Federico Hombre ### LATAM: o que avaliar em plataformas de awareness Para CISO, TI e compliance, uma plataforma de awareness serve para medir, segmentar e auditar comportamento, não só para treinar. Ler mais [!\[PCI, CISA e NIST: phishing vs vishing\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-cisa-nist-phishing-vs.webp)](https://www.whalemate.com/br/recursos/blog/pci-cisa-nist-phishing-vs/) Conscientização 28 de out. de 2026 Por Federico Hombre ### PCI, CISA e NIST: phishing vs vishing PCI DSS, NIST, CISA e CTIR mostram que phishing e vishing exigem controles diferentes. Métricas, evidências e compliance mudam. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)