Um teste de engenharia social simula técnicas que atacantes usam para enganar pessoas, como e-mail falso, mensagem e ligação, e mede quantos colaboradores entregam informação ou credencial. Bem conduzido, ele mostra também o que um atacante conseguiria fazer com o que foi entregue.
Uma campanha de conscientização ensina. Um teste de segurança mede o impacto real de uma credencial obtida.
O que os números mostram
Nas simulações do Panorama do Risco Cibernético 2026, estudo da Vultus, foram mais de 80 mil abordagens de phishing por e-mail. A cada 34 pessoas que abriram a mensagem, 3 entregaram uma credencial válida.
A taxa parece baixa para quem defende. Para o atacante, é suficiente, porque uma credencial já permite começar. Numa empresa de mil funcionários, a questão é quantas pessoas vão entregar a credencial.
Os dados internacionais confirmam a escala. A ENISA identificou o phishing como principal vetor de intrusão inicial na Europa, com cerca de 60% dos casos, e aponta que campanhas apoiadas por IA já representavam mais de 80% da engenharia social observada no início de 2025. Nos Estados Unidos, phishing e spoofing lideraram o número de denúncias ao FBI em 2025, com 191.561 registros.
Por que a lista de quem clicou diz pouco
Muitas campanhas terminam numa lista de quem clicou e numa conversa constrangedora com essas pessoas. O resultado são funcionários com receio de reportar erros e a impressão de que o problema é individual.
Se uma credencial dá acesso ao e-mail, à nuvem e à rede sem segundo fator, o risco está no fato de um clique bastar. A pergunta mais útil é até onde as credenciais obtidas levariam um atacante.
Como um bom teste funciona
Na metodologia da Vultus, a campanha passa por planejamento, construção dos materiais sob medida para a empresa, execução com consolidação de quem abriu, clicou e entregou credencial, e um ataque focado: com as credenciais obtidas, um teste rápido e controlado do que elas abrem. Depois vêm a consolidação, o relatório executivo e técnico e a capacitação dos colaboradores. O ciclo completo leva cerca de quatro semanas.
A engenharia social também é multicanal. Uma ligação de alguém que se apresenta como suporte de TI, seguida de uma mensagem com link para validar o acesso, tende a ter mais sucesso que um e-mail isolado. Conteúdos manipulados por IA ampliam esse risco, como mostra o artigo O que é deepfake.
Exemplo fictício: a credencial do estagiário
Uma empresa de logística roda uma campanha sobre atualização de benefícios, e doze pessoas entregam credencial. O primeiro impulso da diretoria é reforçar o treinamento dos cargos operacionais.
No ataque focado, a credencial de um estagiário do financeiro abre o e-mail, que não tem segundo fator. Na caixa de entrada há uma planilha com senhas de portais bancários compartilhada pela equipe. As correções incluem segundo fator no e-mail, cofre de senhas para o financeiro e revisão de acessos, e o treinamento vem depois, para todos.
Como medir a evolução
Os indicadores que mostram melhora:
- Entrega de credencial: mais relevante que a taxa de clique.
- Taxa de reporte: quantas pessoas avisaram a segurança.
- Tempo até o primeiro reporte: quanto antes chega, mais cedo a segurança pode agir.
- Alcance da credencial: o que o ataque focado conseguiu acessar.
Campanhas periódicas com temas variados funcionam melhor que uma grande ação anual. Com regras claras, objetivo de proteção, temas que não explorem situações pessoais sensíveis e resultados tratados de forma agregada, o teste preserva a confiança dos colaboradores.
Engenharia social com ataque focado
A Vultus executa testes de engenharia social multicanal e mede o alcance das credenciais obtidas, conectando o resultado a correções técnicas e de processo. Conheça os testes de engenharia social da Vultus e leia sobre gestão de identidade e acessos.
