Como este tema funciona no porte da sua empresa
Risco maior é você ou seu único funcionário caindo em phishing e expondo senha de sistema crítico. Risco também é perda de acesso total (ransomware). Proteção mínima é essencial: MFA no email, backup em HD externo. Uma pessoa caindo é 100% de exposição.
Risco maior é funcionário cair em phishing. Volume de pessoas = mais risco estatístico (se 30 pessoas recebem phishing, 1-2 vão clicar por descuido). Proteção: MFA obrigatório, treinamento trimestral, simulação de phishing com ferramenta (PhishER, KnowBe4).
Risco maior é sofisticação (spear phishing — dirigido a CFO, diretor, alguém com poder de decisão/acesso). Proteção: email security avançada (SPF/DKIM/DMARC), treinamento contínuo, simulação mensal, inteligência sobre ataques dirigidos.
Phishing é técnica social que explora confiança — email parece legítimo mas é falso, objetivando roubar credencial, fazer clique em malware, ou criar acesso persistente. Engenharia social é manipulação psicológica ("urgência", "autoridade", "confiança") para fazer alguém fazer algo que não deveria. Phishing é vetor número 1 de ataque contra PME (estatísticas: 80% de brechas começam com email).[1]
Como isso muda conforme o tipo de negócio
Alvo típico: gerente de inventário, operacional (cria credencial falsa). Risco: acesso ao estoque, integração com fornecedor falsificada, desvio de mercadoria. Solução: MFA, treinamento operacional, acesso restrito.
Alvo: gerente de produção, TI (acesso a CAD/sistema crítico). Risco: parada de produção (ransomware), roubo de projeto. Solução: MFA, backup offline, simulação dirigida a liderança operacional.
Alvo: consultor (para acessar cliente), financeiro (para transferência fraudulenta). Risco: muito alto (acesso a confidencial, dano à reputação). Solução: MFA forte, email security avançada, simulação dirigida, aprovação dupla para transferência.
Alvo: dev (para acessar produção/código), gerência (para credencial admin). Risco: muito alto (dados de cliente comprometidos, negócio parado). Solução: MFA obrigatório, email security avançada, simulação mensal, acesso condicional por localização/dispositivo.
Como funciona phishing: a técnica social
Atacante cria email falso que parece de banco/fornecedor/seu colega/seu chefe. Email pede ação urgente: "confirme sua senha em 1 hora", "clique neste link para aprovar pagamento", "abra anexo com dados de cliente". Vítima faz, cai na armadilha.
Resultado depende do objetivo: (1) roubar credencial (senha ou token), (2) instalarmã malware (ransomware, backdoor), (3) enganar (fake invoice, fake order), (4) criar acesso persistente para exploração futura.
Sinais visuais para reconhecer phishing:
- Email address falso: olhar com cuidado. "amaz0n.com" (zero) vs "amazon.com" (letra O). "google-security.com" vs "security.google.com". Atacante cria domínio similar, espera que você não repare.
- Falta de assinatura ou assinatura genérica ("Equipe de Suporte" em vez de nome real)
- Escrita com erros de português/inglês (indicador clássico, mas sofisticados não fazem mais)
- Senso de urgência artificial: "seu acesso será bloqueado em 2 horas", "confirme dados agora ou perca conta"
- Link para URL suspeita: passe mouse sobre link antes de clicar — veja URL real (não o texto que aparece)
- Pede informação que a empresa nunca pediria: senha, CPF, dados de cartão por email
- Design meio estranho ou logo de má qualidade (grandes empresas fazem design impecável)
Teste educativo: Qual é URL real? Passe mouse: href="http://195.154.25.118/amazon/". Vê? Não é Amazon, é IP estranho. É phishing.
Phishing dirigido (spear phishing): o sofisticado
Email falso que parece do seu chefe ("CEO aqui. Pode fazer uma transferência de R$ 50k para esse fornecedor? Urgente, não fale com ninguém, não deixe rastro de email"). Ou do cliente ("Vocês nos devem R$ 100k. Enviem para essa conta agora ou cancelamos contrato").
Por que é difícil reconhecer? Porque atacante pesquisou: sabe nome do seu chefe, sabe que você tem relação com cliente, sabe que tem fornecedor recente. Usa contexto real. Assinatura parece legítima.
Defesa contra spear phishing: Sempre confirmar em canal separado se dúvida. "Chefe pediu transferência por email?" Liga para chefe: "Fui eu que pedi?" Resposta errada = é phishing. Email é assinado pelo cliente?" Entra em contato com cliente por telefone confirmado (não número que aparece no email).
Custo baixo: 2 minutos de ligação. Risco alto de não confirmar: transferência de 50k para banco fraudulento.
Tipos de phishing além de email
SMS phishing (smishing): "Conta bloqueada. Clique aqui para desbloquear." Link vai para site fake que rouba senha.
Telefone phishing (vishing): Ligação falsa: "Aqui é suporte do banco. Confirme sua senha por favor." Ninguém legítimo pede senha por telefone.
Falsa login page: Email com link para "confirmar dados". Link leva a site que parece banco/Salesforce/Gmail, você digita senha, site falso captura e usa.
Phishing por QR code: Email ou panfleto com QR code. Você escaneia, vai para site malicioso.
MFA: o controle mais importante
MFA = Autenticação Multifator = 2+ formas de provar identidade. Exemplo: senha + código de telefone. Ou: senha + chave de segurança física.
Por que protege contra phishing: Mesmo que atacante roubar sua senha (você clicar em phishing, digitar no site falso), ele não consegue acessar conta sem segundo fator. Código de telefone é enviado só pra você, chave de segurança só você tem.
Custo: Grátis (código de SMS) a R$ 50-100/pessoa/ano (chave de segurança física, mais segura). Se MFA custar R$ 50/ano e ransom é R$ 50.000, é investimento óbvio.
Onde ativar: Email corporativo (Gmail workspace, Microsoft 365), Slack, ERP, CRM, banco. Qualquer sistema que guarda dados ou autoriza transação.
Desafio real: Usuário acha MFA "inconveniente" (recebe código, digita, demora 10 segundos). Mentalidade precisa mudar: "segurança > conveniência".
Email security: proteção técnica com SPF/DKIM/DMARC
SPF/DKIM/DMARC são protocolos que impedem spoofing (falsificar que email veio de você).
Como funciona: Atacante quer enviar email que PARECE de seudomínio (@seuemail.com.br). Sem proteção, consegue. Com SPF/DKIM/DMARC, email é rejeitado ou marcado como suspeito.
Setup: Você configura no DNS da sua empresa (é técnico, mas fornecedor de email pode fazer). Uma vez feito, funciona automaticamente.
Resultado: Reduz phishing dirigido a sua empresa. Não elimina (atacante pode enviar de domínio parecido ou de provedor comprometido), mas reduz.
Simulação de phishing: treinar antes do ataque real
Ferramenta (PhishER, KnowBe4, Proofpoint) envia email de phishing fake ao seu time. Parece phishing real mas é controlado.
Quem clica em link/abre anexo: recebe notificação que caiu, acesso a treinamento automático (5-10 minutos sobre como reconhecer).
Resultado: Taxa de clique cai de 30-40% (sem treinamento) para 3-5% (com treinamento regular).[2]
Frequência: Solo/pequena: 1x ao trimestre. Média: 1x ao mês.
Tom importante: Não culpe quem cai. Use como oportunidade de aprender. Ambiente onde é OK "cair na simulação e aprender" resulta em melhor comportamento do que ambiente de punição.
Resposta imediata se funcionário caiu
Passo 1 (minuto 0-10): Isolar máquina (desconectar da rede) se malware foi instalado. Mudar senha daquele usuário em máquina limpa.
Passo 2 (minuto 10-30): Investigar: que aconteceu? Qual é o link que clicou? Que dados o atacante pode ter acessado?
Passo 3 (hora 1): Avisar TI/segurança. Ativar monitoramento de conta (anormal activity). Se email foi comprometido, verificar se atacante enviou phishing para contatos (listar email de funcionário, cliente, fornecedor).
Passo 4 (hora 2-24): Se vazamento de dados, reportar à ANPD e cliente (ver artigo "O que fazer em caso de incidente de segurança").
Sinais de que sua empresa é vulnerável a phishing
Se você se reconhece em três ou mais destes cenários, é hora de agir:
- A empresa recebe phishing constantemente (múltiplos por semana) mas não tem treinamento
- Um funcionário já clicou em phishing e não soubemos como responder
- Não tem MFA no email corporativo
- Alguém do time já caiu em phishing dirigido (email falso do chefe)
- Queremos fazer simulação de phishing mas não sabemos como/com qual ferramenta
- Email da empresa é enviado — ninguém valida quem é o remetente real
- Funcionário compartilha senha via email (nunca foi orientado que não faz isso)
Caminhos para proteger empresa contra phishing
Você ativa MFA no email corporativo (30 min). Faz comunicação simples sobre risco ("não clique em link estranho"). Treina time uma vez ao trimestre (30 minutos). Cria regra: "confirme em outro canal se dúvida".
- Perfil necessário: Você (dono) + alguém tech para ativar MFA
- Tempo estimado: 2-3 horas para MFA + comunicação inicial; 30 min/trimestre treinamento
- Faz sentido quando: Empresa é pequena, você tem tempo para reforce
- Risco principal: Sem reforce contínuo, time esquece (3 meses depois voltam ao velho hábito)
Contratar simulação de phishing com empresa especializada (PhishER, KnowBe4). Empresa faz simulação mensal, identifica quem é mais vulnerável, oferece treinamento automatizado, você só monitora resultados.
- Tipo de fornecedor: Consultoria segurança, especialista em security awareness training, empresa de simulação
- Vantagem: Simulação profissional + treinamento automático + relatório de progresso, você não precisa fazer nada além de ativar
- Faz sentido quando: Você quer garantir que time está protegido, empresa é média, dados são sensíveis
- Resultado típico: Vulnerabilidade reduz 30-50% em 3 meses, mentalidade de segurança muda em 6 meses
Sua PME já foi alvo de phishing ou você quer se preparar?
Phishing é ataque mais comum contra PME — e também o mais prevenível com treinamento + MFA + simulação. Na oHub, você conecta com especialistas em security awareness, consultores de segurança, e fornecedores de simulação que já protegeram centenas de PMEs. Sem custo inicial, sem compromisso.
Encontrar fornecedores de PME no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
Como reconhecer um email de phishing?
Olhar email address falso (domínio parecido mas não igual), falta de assinatura legítima, senso de urgência artificial, link para URL estranha (passe mouse para confirmar), pedida de informação que empresa nunca pediria por email (senha, CPF).
Meu funcionário clicou em link suspeito — e agora?
Passo 1: isole máquina (desconecte da rede). Passo 2: mude senha dele em máquina limpa. Passo 3: avise TI para monitorar atividade anormal. Passo 4: investigue o que ele acessou/baixou. Se dados vazaram, reportar à ANPD.
Qual é o vetor de ataque mais comum em PME?
Phishing. 80% de brechas começam com email phishing bem-sucedido. Segundo é senha fraca/reutilizada. Terceiro é falta de backup (cria urgência pagar ransomware).
MFA impede phishing? Como funciona?
MFA não impede você clicar em phishing. Mas impede atacante usar a credencial roubada: mesmo que roubar senha, não consegue acessar sem segundo fator (código de telefone, chave de segurança). É proteção crucial.
Email spoofing — como saber se é email falso?
Verificar email address real (não apenas nome visível). "De: Banco do Brasil
Posso testar simulação de phishing com meu time?
Sim. Ferramentas como PhishER, KnowBe4 enviam email fake. Quem clica, recebe notificação que caiu + treinamento automático. Frequência: trimestral para pequena, mensal para média. Tom importante: aprenderé, não punir.
Fontes e referências
- Verizon. Data Breach Investigations Report (DBIR). 2024. — Estatísticas de 80% de brechas começando com phishing.
- CERT.br — Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança. Estatísticas de Phishing no Brasil. 2024.
- Microsoft. Security for SMBs — Guia de Segurança para Pequenas Empresas. Portal de recursos. 2024.