Simulação de phishing: o que é e como fazer na empresa

01O que é simulação de phishing?

Simulação de phishing, também chamada de teste de phishing ou campanha de phishing interna, é um exercício em que a empresa dispara para o próprio time mensagens que imitam o formato de um golpe: um pedido urgente, um link para "conferir" algo, uma cobrança fora do comum. A diferença para o golpe de verdade está no que acontece depois do clique.

Num golpe, o clique entrega senha, acesso ou dinheiro. Numa simulação bem feita, o clique não entrega nada: a pessoa vê na hora que era um teste, entende o que deixou passar e recebe a explicação do golpe. Nenhuma senha é capturada e nada do que é digitado sai do navegador.

02Por que testar as pessoas, e não só o filtro de e-mail?

Porque a maior parte das violações passa por alguém. O Verizon DBIR 2026 registra que 62% das violações analisadas envolveram o elemento humano, e o Mandiant M-Trends 2026 aponta o golpe por voz como o segundo vetor de acesso inicial mais observado.

Firewall, EDR e antivírus cuidam de máquina e de software. Eles não veem a conversa em que alguém se passa pelo suporte e pede um código. O golpe também já não chega só pelo e-mail: ele começa numa mensagem de aplicativo, continua numa ligação e termina num pedido de pagamento, como mostra o relatório da Check Point sobre engenharia social multicanal. Testar só a caixa de entrada mede um pedaço do caminho.

03Como fazer uma campanha de phishing interna, passo a passo?

Uma campanha que ensina, e não só contabiliza cliques, segue sete passos:

• Autorização por escrito: quem responde pela empresa aprova o programa, os canais, os domínios e a vigência. RH e jurídico leem antes do primeiro disparo.
• Aviso ao time: a empresa comunica uma vez que o programa existe. Não se anuncia cada disparo, senão o teste perde o sentido.
• Base e canais: a lista de colaboradores entra na plataforma e cada canal é preparado. No e-mail, isso inclui verificar o domínio, liberar as simulações no provedor e passar num teste de entrega.
• Pretexto com limite: o tema da mensagem imita o que chega de verdade (suporte de TI, documento compartilhado, cobrança), sem explorar medo pessoal.
• Disparo em janela: o administrador escolhe quando, para quem e por qual canal. Espalhar os disparos ao longo de dias evita que um avise o outro.
• Explicação no clique: quem cai vê na hora o que aconteceu e abre a aula sobre aquele golpe.
• Medir e repetir: o resultado de uma rodada define o pretexto e o canal da próxima. Programa contínuo ensina mais que um teste por ano.

O ciclo completo da BeSafe, do primeiro acesso à métrica mostra esses passos dentro da plataforma.

04Quais pretextos não usar numa simulação?

O pretexto é a história que a mensagem conta. Ele precisa ser plausível, mas há temas que machucam mais do que ensinam e que quebram a confiança no programa. Uma boa regra é deixar de fora:

• demissão, salário, bônus ou benefício falso;
• saúde, luto, assédio ou violência;
• ameaça policial ou judicial e catástrofe;
• imitação de autoridade pública, ou do RH e do jurídico da própria empresa sem autorização deles.

05O que medir além da taxa de clique?

A taxa de clique diz quem caiu, mas não diz se o time sabe reagir. O indicador mais útil é a taxa de reporte: quantas pessoas reconheceram a mensagem e avisaram o time de segurança. Ela sobe quando o programa funciona e é o comportamento que barra um golpe real.

Também valem a leitura por canal (o time cai mais no Teams do que no e-mail?), a conclusão do treino depois do clique e a tendência entre uma rodada e outra. O que não ajuda é ranking de pessoas: placar de quem caiu ensina o time a esconder o erro, que é o contrário do que se quer.

06O que fazer com quem cai?

Explicar na hora. O minuto seguinte ao clique é quando a pessoa mais presta atenção, porque ainda lembra do que viu e do que fez. Um e-mail de advertência no dia seguinte ou um curso no mês seguinte chegam tarde.

Na BeSafe, quem clica vê uma tela que diz que foi um golpe simulado, mostra quais dados da empresa teriam sido comprometidos e quais estariam em risco, e tem um botão que abre o vídeo dentro do módulo daquele golpe. Ninguém é tratado como culpado e ninguém entra em ranking. Veja o que acontece com quem cai no golpe.

07Por quais canais fazer a simulação?

Pelos canais em que o time recebe pedidos de trabalho. Na BeSafe, as simulações saem por e-mail, Outlook, Slack e Teams, escolhidos pelo administrador em cada disparo.

O WhatsApp é diferente: a política da Meta proíbe conteúdo enganoso, então por ele a BeSafe envia só conteúdo educativo, como pílulas, quiz e lembretes, para quem aceitou receber. Simulação de golpe pelo WhatsApp, nunca.

08Simulação de phishing é compatível com a LGPD?

Pode ser, desde que o programa tenha finalidade definida, use só os dados de contato corporativos necessários, não capture o que a pessoa digita e esteja descrito para o time. A página de LGPD da BeSafe explica quem é controladora, quem é operadora e qual base legal sustenta o disparo simulado. Ela não substitui a análise do jurídico da sua empresa, que deve acontecer antes do primeiro envio.