Teste de phishing: como conversar com quem clicou

Um teste de phishing é uma versão controlada e inofensiva do ataque que a sua equipe já enfrenta: um e-mail feito para parecer convincente, enviado com autorização da empresa para as pessoas do time, com uma página segura atrás do link no lugar de uma página fraudulenta. Ele registra quem clicou, quem ignorou e, quando a empresa tem um canal para reportar, quem levantou a mão. O relatório costuma chegar em poucos dias. O que ele não faz é dizer o que falar em seguida. E é essa parte que decide se o teste deixou a empresa mais segura ou só produziu um número.

Este é o plano em três passos:

• Primeiros dias. Leia os números e depois converse com as pessoas que clicaram, uma de cada vez e em particular. Agradeça a quem reportou, e faça isso em público.
• Na primeira semana. Dê a todos um canal para reportar e-mails suspeitos. Ative a autenticação multifator onde ainda estiver desligada. Avise ao time que testes acontecem e vão continuar.
• Nunca. Publicar a lista, punir um clique ou tratar o resultado como nota.

Vamos primeiro explicar os números do relatório, porque a conversa flui melhor quando você sabe o que eles significam. O resto da página é a conversa em si, o que não fazer e as três mudanças que deixam a próxima mais rápida.

O que os números significam

A maioria dos relatórios começa com duas taxas. A taxa de abertura é quantas pessoas abriram o e-mail, e é o número menos confiável: programas de e-mail bloqueiam imagens de rastreamento, o painel de pré-visualização conta como abertura e os scanners de segurança podem abrir tudo. Trate como contexto, não como resultado. A taxa de cliques é quantas pessoas seguiram o link ou abriram o anexo, e é o número principal em toda ferramenta. Muitos fornecedores juntam cliques e outras interações em um indicador só, o Phish-Prone Percentage (PPP), algo como "percentual de propensão ao phishing", também chamado de taxa de falha: a porcentagem de destinatários que interagem com um e-mail de phishing simulado, seja clicando em um link ou abrindo um anexo. Alguns testes vão um passo além e contam quem digitou a senha na página falsa. Na maioria dos testes, a página atrás do link não coleta nada, então o clique é o principal sinal e não representa um incidente.

Os cliques nunca vão chegar a zero. Uma isca bem construída existe para ser clicada, e quem vive de construir essas iscas faz isso bem. Por isso algumas empresas acompanham um terceiro número, a taxa de reporte: quantas pessoas, em vez de clicar ou apagar em silêncio, avisaram alguém. Se o seu relatório traz esse número, é ele que diz se a sua empresa está mais segura. Um time que reporta dá a você os minutos necessários para avisar os outros, travar um pagamento ou trocar uma senha antes do estrago real. "Ignorou" parece seguro, mas é silencioso, e silêncio é o que o atacante precisa.

Analise os números contra o e-mail enviado, não só contra as pessoas. Um bom relatório inclui o e-mail que foi enviado, com os sinais de alerta indicados. Se a isca combinava com o trabalho da pessoa, ela era difícil por definição: uma "contestação de cliente" com anexo, enviada para quem cuida de reembolsos o dia inteiro, é um e-mail que o trabalho dessa pessoa exige que ela abra. O NIST, o instituto de padrões e tecnologia do governo americano, construiu um método inteiro em cima disso, a Phish Scale, e a sua conclusão central é que, quando a mensagem combina com o trabalho de alguém, a pessoa presta atenção nos sinais que combinam e desconta os que não combinam. Um clique em um e-mail difícil diz que o e-mail era bom, não diz que a pessoa foi descuidada.

Então vem a pergunta que todo mundo faz: três em dez é ruim? É o comum. A maior base pública de dados, o relatório de benchmarking 2026 da KnowBe4, mede exatamente esse Phish-Prone Percentage. Ele coloca um primeiro teste em cerca de um terço dos destinatários e mostra o que acontece com um programa contínuo:

A frase do próprio relatório é que "a mudança de comportamento mais significativa acontece entre o terceiro e o décimo segundo mês". Seu primeiro número é a linha de base. O que você fizer na semana seguinte decide se ele também será o pico.

Como conversar com quem clicou

Uma pessoa de cada vez, em particular. Nada de responder a todos, nada de slide na reunião semanal. Uma conversa curta ou uma mensagem direta, no aplicativo de mensagem mesmo, de alguém em quem a pessoa confia.

Comece pelo e-mail, não pela pessoa. Abram o e-mail juntos, com as anotações do relatório ao lado, e aponte o sinal: o endereço real do remetente, o link que não levava aonde dizia, a pressão para agir agora. A mensagem que precisa ficar é "este foi feito para ser clicado, e aqui está o que entrega o teste", não "você falhou".

Pergunte como foi o momento. A maioria dos cliques acontece em um minuto específico: ao telefone, entre duas mensagens de clientes, esperando exatamente aquele boleto. Perguntar não é interrogatório. Mostra quais iscas combinam com o trabalho do seu time, que é o que o próximo teste precisa saber, e transforma a conversa de veredito em aprendizado.

Diga o que teria acontecido de verdade, em uma frase. Para uma loja: "a versão real disso coloca alguém dentro da caixa de e-mail que fala com os nossos clientes, ou na frente do painel onde os reembolsos são aprovados".

Dê o próximo passo, e torne-o seguro. Duas regras, as duas simples. Quando um e-mail parecer estranho, reporte em vez de apagar. E se clicou, avise na hora, porque uma brecha resolvida em minutos fecha logo as portas abertas, enquanto a mesma brecha pode custar caro depois de algumas horas. Quem admite o clique na mesma manhã fez a segunda melhor coisa possível. Garanta que a pessoa saiba disso.

Algo assim funciona, no aplicativo de mensagem ou pessoalmente:

Oi, Ana. Aquele e-mail de "contestação de chargeback" de terça foi um teste que a gente rodou, e você foi uma das pessoas que clicou. Nenhum problema, a página era inofensiva. Queria te mostrar as duas coisas que entregavam o golpe, porque os de verdade são iguais. E, da próxima vez, clicando ou não, só me avisa. Um aviso rápido vale mais do que um aviso perfeito.

Quem reportou é quem você nomeia. Agradeça pelo nome, na frente dos outros. É o único lugar em todo esse exercício em que um nome deve aparecer em público, porque você está mostrando a todos o comportamento que quer ver repetido.

Quem ignorou é a maioria. Diga a eles o mesmo que disse a quem clicou: da próxima vez, reporte. Um phishing ignorado protege uma caixa de entrada. Um phishing reportado protege a empresa.

O que não fazer

Não exponha nem envergonhe. A lista de quem clicou não é um ranking. Em dezembro de 2020, a GoDaddy mandou aos funcionários um e-mail de teste prometendo um bônus de fim de ano e depois avisou às centenas que clicaram que tinham falhado e refariam o treinamento; a empresa pediu desculpas publicamente. Três meses antes, a Tribune Publishing tinha rodado um teste acenando com bônus em um ano de licenças não remuneradas e cortes de salário, e chamou o próprio teste, no pedido de desculpas, de "enganoso e insensível". As duas histórias trazem duas lições. A isca passou do limite, e é por isso que um teste bem feito fica longe de salário, demissões e saúde. E a reação tratou o clique como falha pessoal, que é o que as pessoas lembram anos depois, muito depois de terem esquecido o próprio teste.

Não conte com a página de treinamento. O hábito do mercado é mandar quem clicou direto para uma lição. Os dois maiores estudos independentes sobre esse hábito concluíram que ele faz pouco. A ETH Zurich acompanhou mais de 14 mil funcionários por quinze meses e concluiu que o treinamento embutido "não torna os funcionários mais resistentes ao phishing", e pode ter efeitos colaterais que pioram as coisas. A UC San Diego Health fez um estudo randomizado com 19.500 funcionários ao longo de oito meses: a página de treinamento reduziu as falhas em cerca de dois pontos percentuais, três quartos das pessoas que a viram passaram menos de um minuto nela, e o curso anual de conscientização não fez diferença mensurável nenhuma. A lição não é que as pessoas não aprendem. É que elas aprendem com a conversa acima e com as mudanças abaixo, não com uma página que elas fecham em segundos.

Não puna. Uma punição ensina exatamente uma coisa: esconder o clique. Esse é o único desfecho pior que o clique, porque tudo o que limita o estrago de um ataque real depende de ficar sabendo dele em minutos.

Não faça a lista circular. Resultados por pessoa são dados pessoais dos seus funcionários, sob a LGPD no Brasil, sob o GDPR na Europa e sob as suas próprias políticas trabalhistas em qualquer lugar. O relatório de um teste deve ir para quem o autorizou e para mais ninguém. Mantenha assim: o dono, o gestor da pessoa e quem cuida da TI. Não é documento para a pasta do RH nem para avaliação de desempenho.

Não anuncie o próximo. Avise ao time que testes acontecem e vão continuar. Nunca diga quando.

As três mudanças que movem o número

Como o time de segurança que você não precisa contratar, é isto que a gente mudaria na semana seguinte a um primeiro teste, nesta ordem.

1. Dê às pessoas um lugar para reportar, e responda. Um botão de "reportar phishing" no Outlook ou no Gmail, ou simplesmente um endereço que todo o time conhece, acompanhado por alguém que responde. A resposta importa: um reporte que some no silêncio é o último que aquela pessoa envia. A outra conclusão do estudo da ETH Zurich foi que isso funciona em escala: os funcionários reportam rápido e com precisão suficiente para funcionar como o sistema de detecção da empresa. É também a única medida desta página que pega o ataque real que você ainda não sabe que existe.

2. Torne o clique recuperável. Os autores da UC San Diego terminaram o artigo apontando para longe do treinamento e na direção dos controles técnicos, acima de tudo a autenticação em dois fatores e "gerenciadores de senha que só funcionam no domínio certo". Concordamos. Com a autenticação multifator ligada, uma senha digitada numa página de login falsa é um incidente limitado. Sem ela, é uma conta tomada. Se a isca era um boleto ou uma troca de dados bancários, acrescente o hábito de pagamento do nosso artigo sobre a fraude do CEO: todo novo favorecido confirmado por ligação para um número que você já tinha.

3. Teste de novo, e continue testando. Um teste é uma fotografia. O número só se move dentro de um programa: uma isca diferente a cada vez, um canal diferente de vez em quando, o aplicativo de mensagem incluído, e uma taxa de reporte que você vê subir. É daí que vem o "do terceiro ao décimo segundo mês" do benchmark. Se este foi o seu primeiro, o segundo é onde o número começa a se mover. Se você ainda não fez nenhum, comece com um teste de phishing gratuito para funcionários e volte a esta página no dia em que o relatório chegar.

Perguntas frequentes

Devo avisar o time que vem um teste? Avise que testes acontecem, na política que eles já assinam e em uma frase sua. Não diga quando. Um teste anunciado mede memória. Um teste sem aviso mede o reflexo.

Uma taxa de cliques de um em três é ruim? É típica de um primeiro teste sem treinamento prévio. Ruim seria o mesmo número no quarto teste.

E se eu cliquei? Conte ao time. O dono admitindo um clique é o jeito mais rápido de tornar seguro para todo mundo admitir um, e é essa admissão que salva você em um ataque real.

A IA torna os testes de phishing inúteis? O contrário. Tudo o que escrevemos este ano sobre ataques conduzidos por IA termina na mesma porta: a única pessoa que disse não. A IA eliminou os erros de ortografia e a gramática desajeitada que todos nós aprendemos a procurar, então os sinais de superfície sumiram. O reflexo de parar e reportar é o que sobrou, e um teste é o único jeito de medi-lo.

Com que frequência devemos testar? Trimestral é o mínimo. Programas contínuos, com uma campanha pequena a cada poucas semanas, são de onde vêm os números acima, e eles impedem que o time "decore o teste", como um teste anual convida a fazer.

Para o seu time de TI. Direcione os reportes para uma caixa que um humano lê, exija MFA com correspondência de número e migre para passkeys onde a plataforma permitir. Configure SPF, DKIM e DMARC para que a falsificação do domínio exato não chegue à caixa de entrada. Registre o roteiro do "eu cliquei": revogar sessões, trocar a senha, checar regras e encaminhamentos da caixa de e-mail, revisar os logins recentes. A gente mantém a versão técnica disso para quem cuida desse lado da sua operação. Veja o que a gente checaria →

---

O relatório é o começo de um programa, não o fim de um teste. Se você prefere que o time de segurança que você não precisa contratar conduza os próximos doze meses, fale com a gente.