Selo ISO 27001 Certified da A-LIGNNovidadeA Whalemate está certificada ISO/IEC 27001:2022Ver Trust Center

Conscientização em cibersegurança para bancos

Em instituições financeiras o programa não pode ser um curso anual. Precisa gerar evidência para o BCRA, PCI DSS e ISO 27001, e um índice que a diretoria consiga ler.

Agendar uma demo
Como funciona

Onde concentrar o programa

Evidência, não capturas de tela

O relatório de conscientização é exportado por período. Acabou a pasta de capturas de tela montada antes de cada auditoria.

O comercial é a área mais exposta

A área com menos tempo é a que recebe mais iscas. O Agente ajusta dificuldade e momento — não manda o mesmo e-mail para a tesouraria e para as agências.

Phishing de folha de pagamento e fornecedores

Modelos que imitam os fluxos reais de um banco: holerite, fornecedores, tokens, central de ajuda.

Marco regulatório

Referências que orientam o programa

O escopo exato depende da jurisdição e dos controles aplicáveis a cada organização.

BCRAPCI DSS 12.6ISO/IEC 27001 A.6.3
Caso do setor

Evidências de clientes reais

Veja como organizações da região mediram e reduziram o risco humano com a Whalemate.

Banca e finanças

O auditor pede evidência. O CISO precisa saber quem ainda clica.

Em uma instituição financeira o programa não pode ser um curso uma vez por ano. Tem de produzir evidência para BCRA, PCI DSS e ISO/IEC 27001, e um índice que o conselho consiga ler.

O phishing que chega a um banco não é um concurso de spam. Imita folha de pagamento, fornecedores, tokens e a mesa de ajuda. Quem tem menos tempo — comercial, a agência, o analista que aprova um pagamento — é quem recebe mais iscas. O mesmo curso para todo o quadro não muda essa assimetria. O programa tem de ajustar canal, dificuldade e momento. Se tesouraria e a rede de agências recebem o mesmo e-mail, o exercício não está medindo o risco que importa.

Quem toca dinheiro, identidade e tickets de suporte está exposto. Também quem trabalha no celular com WhatsApp misturado ao e-mail corporativo. A LATAM coloca esse canal na mesa. O CISO já sabe disso; o que falta é um quadro vivo e um índice que não se arma na semana anterior à auditoria. People tem de incluir o recém-contratado no primeiro dia. IT tem de conectar o diretório sem um agente no endpoint.

O que o auditor quer ver é evidência de conscientização, não uma pasta de screenshots. PCI DSS 12.6 pede um programa que cubra phishing e engenharia social, com revisão. ISO/IEC 27001 A.6.3 pede conscientização atada ao papel. BCRA e normas locais pedem que o controle exista e possa ser mostrado. O relatório exporta por período. Deixa de ser montado à mão. Isso não certifica a instituição: dá material para a conversa que vocês já têm de ter.

Vetores do setor

Três iscas que um banco já viu

Não é uma lista exaustiva de ameaças. É o tipo de campanha que o programa tem de saber correr.

Phishing de folha e de token

E-mails que imitam holerite, recálculo, um token de acesso ou o vencimento de uma senha. O comercial abre no celular entre um cliente e o outro. A campanha tem de parecer o fluxo real da instituição…

Fraude de fornecedor e BEC

Pedidos de troca de conta, faturas alteradas, um thread que parece tesouraria. O dano não é um clique: é uma transferência. A simulação treina o hábito de verificar em um segundo canal. Não afirmamos…

Engenharia social na mesa de ajuda

O atacante nem sempre mira o CEO. Mira quem reseta um usuário ou entrega um token. A isca se disfarça de incidente interno. O programa tem de incluir o suporte com cenários próprios, não o mesmo…

Perguntas sobre banca e finanças

Que evidência posso mostrar ao auditor?
Participação, resultados de simulação e evolução do índice por período — exportáveis. O relatório diz quem estava no quadro e o que recebeu. Não é um screenshot de LMS. O auditor continua sendo quem interpreta o controle. Não assinamos um parecer de BCRA nem de PCI. Entregamos a matéria-prima para a pasta não ser improvisada.
Como cobrimos agências, comercial e sede em um único quadro?
O diretório sincroniza entradas, saídas e unidade organizacional. O Agente ajusta cenário e momento. Vocês não precisam de um programa paralelo por canal. People e segurança definem as regras; a plataforma não exige que todo mundo receba o mesmo e-mail na mesma terça. Se uma rede está fora do IdP, essa lacuna aparece na implementação — não se esconde.
Isso nos torna compliant com BCRA ou PCI por si só?
Não. O programa produz evidência alinhada a esses pedidos. O compliance é da instituição e do seu auditor. Ninguém deveria vender “cumprimos BCRA” como um toggle. O card nomeia as normas para vocês saberem qual pasta vão poder montar — não para herdarem a nossa certificação.
O que este módulo não cobre?
Não é um SOC, não monitora transações e não substitui o antifraude de canal. Não instala um agente no endpoint. Não usa o score para um expediente de RH: isso fica fora do contrato de uso do dado. Também não é um curso anual com certificado de quarenta minutos apresentado como o controle completo.
Navegação por setor

Outros setores

Seguros

Produtores, call centers e a matriz não compartilham nem horário nem nível de exposição.

Saúde

Turnos rotativos, dados clínicos e um phishing que se passa por laboratório ou plano de saúde.

Governo

Órgãos com milhares de pessoas, compras públicas e o dever de documentar que o programa existe.

Varejo

Filiais, QR code na área de vendas e uma rotatividade de pessoal que torna inútil o treinamento de integração.

Tecnologia

Equipes que já "entendem de segurança" e mesmo assim caem em uma thread do Slack ou em um repositório falso.

Bancos e finanças — Conscientização e risco humano

O programa se calibra do mesmo jeito. Mostramos na demo.

Agendar uma demo