Phishing por e-mail: treine a equipe sem pagar nada
Sim: dá para treinar uma equipe contra phishing por e-mail sem gastar nada em plataformas. O treinamento anti-phishing eficaz em uma PME combina três elementos que não têm custo: simulados enviados manualmente, material oficial gratuito e um canal de reporte claro. A urgência é real — o phishing liderou a lista dos crimes cibernéticos mais notificados em 2024, segundo o relatório anual do FBI citado pela CISA — e a maioria dos ataques começa com um único clique em uma mensagem falsa. Este guia mostra como montar o programa em cinco passos manuais, o que verificar em cada e-mail suspeito e como medir o resultado mês a mês, tudo com as ferramentas que a empresa já usa. O método funciona presencial ou remoto, cabe em cerca de duas horas de preparação por mês, e o escopo aqui é o e-mail corporativo: não tratamos de simulações automatizadas nem de plataformas pagas.
Por que o treinamento funciona
A CISA resume a lógica: mensagens falsas servem para roubar credenciais, acessar contas corporativas ou instalar ransomware, e a maioria dos ataques online começa com um clique. Na orientação da agência, ataques de phishing costumam ser evitados quando os funcionários são treinados para reconhecer mensagens suspeitas — ou seja, o controle mais barato não é um filtro novo, é uma equipe que percebe a armadilha antes de clicar. A própria página da CISA lembra que ninguém precisa criar material do zero: provedores de TI, associações setoriais e organizações sem fins lucrativos costumam oferecer conteúdo sem custo.
No lado europeu, a ENISA enquadra a prática como cultura, não como evento. Para a agência, um foco central das campanhas de conscientização é melhorar a cyber hygiene — a chamada higiene cibernética —, capacitando pessoas e organizações com o conhecimento e os hábitos necessários para identificar e mitigar riscos cotidianos. Na prática, isso significa reforço regular em vez de treinamento anual isolado. Se a sua empresa já quer um programa estruturado, o guia de treino anti-phishing para colaboradores publicado aqui no blog detalha cadência e métricas.
Uma nota sobre responsabilidade: em PMEs sem time dedicado, o simulado fica bem com quem já cuida do e-mail ou da TI, mesmo que em meio período. O papel dessa pessoa é facilitar, não policiar — a cultura de reporte morre na primeira advertência por alguém ter caído no teste.
Simulado manual em cinco passos
O simulado é o coração do treinamento e não exige plataforma: você escreve as mensagens falsas, envia para um grupo pequeno e conduz a conversa depois. O roteiro abaixo é um exemplo próprio desta redação, adaptável a qualquer tamanho de equipe — não é um caso medido de cliente nem uma estatística de mercado.
- Escolha três cenários plausíveis: fatura de fornecedor, pedido urgente da direção e aviso de redefinição de senha estão entre os mais comuns.
- Escreva com base em e-mails reais já recebidos, trocando remetente e destino dos links; envie de uma conta externa, nunca da conta corporativa de um diretor.
- Teste primeiro em um grupo-piloto de cinco a dez pessoas, avisando apenas uma pessoa de confiança; observe por 48 horas.
- Faça um debrief de 20 minutos: mostre a mensagem na tela, aponte os sinais e repita a regra de ouro — reportar, não responder.
- Repita todo mês com cenários diferentes, registrando quem reportou, quem clicou e quanto tempo o primeiro aviso levou.
| Passo | Objetivo | Erro comum |
|---|---|---|
| Cenário | Imitar um golpe real | Exagero óbvio que ninguém acredita |
| Envio | Observar reação espontânea | Anunciar o teste antes do envio |
| Observação | Medir cliques e respostas | Transformar quem clicou em punição |
| Debrief | Ensinar os sinais na prática | Constranger pessoas em público |
| Repetição | Converter alerta em hábito | Fazer uma vez e abandonar |
Uma regra separa simulado de punitividade: quem clicou aprende, quem reportou ensina. Se alguém clicou ou respondeu dados de acesso, trate como incidente real na mesma hora — troque senhas, verifique a conta afetada e siga um plano de resposta a incidentes de uma página.
Checklist de verificação do e-mail
O checklist abaixo cabe em um cartaz ao lado do monitor e resume as verificações que a CISA recomenda antes de qualquer clique: passar o mouse sobre o link para ver o destino real, procurar o contato oficial em um buscador e confirmar por um canal já conhecido quando a mensagem parecer vir de alguém conhecido.
- Remetente: o domínio depois do @ é exatamente o oficial, sem letras trocadas ou sufixos estranhos?
- Pedido: a mensagem pede senha, pagamento, transferência ou abertura de anexo inesperado?
- Pressão: há prazo imediato, ameaça de bloqueio ou tom de emergência forçada?
- Link: com o mouse parado sobre o endereço, o destino corresponde ao texto exibido?
- Confirmação: é possível confirmar por telefone ou canal já conhecido antes de agir?
Quando alguém confirmar o golpe, a ordem é fixa: não responder, não clicar, encaminhar para o canal de reporte com a mensagem original anexada e apagar o e-mail depois. Quem responde ensina ao atacante que o endereço existe e está ativo — e a caixa passa a receber mais tentativas.
Para material pronto em português, o CERT.br publica a Cartilha de Segurança para Internet: fascículos com recomendações e dicas sobre como o usuário deve se comportar para aumentar a própria segurança, em linguagem simples, que serve de apoio direto nos debriefs mensais. A CISA também oferece exercícios de mesa sem custo, úteis para ensaiar quem faz o quê quando o golpe vira incidente.
Medir e melhorar sem gastar
Sem plataforma, a métrica mora na planilha — e três números bastam: taxa de reporte (quantas pessoas avisaram), taxa de clique (quantas caíram) e tempo até o primeiro aviso. A meta saudável é subir o primeiro número e encurtar o terceiro; a taxa de clique cai como consequência, sem precisar de dashboard. Uma planilha simples com data, cenário, número de destinatários, reportes e cliques já sustenta a conversa de melhoria no fim de cada ciclo.
Sobre a cadência, a CISA é objetiva: treinamento uma vez por ano não é suficiente, porque as ameaças mudam constantemente; o reforço contínuo é o que mantém a equipe atenta e rápida para reagir. Quando o caso escapar do e-mail e virar incidente, volte ao plano de resposta.
Se a sua empresa preferir apoio externo para montar o programa ou triar os reportes, converse com a AtalaiaSec para um diagnóstico inicial das mensagens que sua equipe já recebe.
Fontes
Revisão editorial: time editorial da AtalaiaSec, outubro de 2026.