Um amplo estudo sobre simulações de phishing indica que avaliar a eficácia de programas de conscientização apenas pela taxa de cliques pode oferecer uma visão incompleta sobre o nível real de exposição das organizações.

A análise foi realizada pela Pistachio, empresa norueguesa especializada em gestão automatizada de risco humano, treinamentos de conscientização em segurança e simulações de phishing. Entre 1º de junho de 2025 e 31 de maio de 2026, a companhia enviou 2,47 milhões de tentativas simuladas de phishing para mais de 123 mil funcionários de aproximadamente 1.200 organizações.

O estudo analisou três comportamentos principais dos usuários: clicar em links maliciosos simulados, fornecer informações ou credenciais e reportar mensagens suspeitas.

Os resultados mostram diferenças significativas entre setores e áreas de atuação, além de indicarem que organizações podem precisar olhar além da taxa de cliques para compreender seu verdadeiro nível de resiliência contra phishing.

Profissionais de tecnologia também apresentam exposição elevada

Um dos resultados que chama atenção envolve profissionais de tecnologia.

Segundo o levantamento, 30,27% dos funcionários de desenvolvimento de tecnologia clicaram em pelo menos uma simulação de phishing durante o período analisado. Entre profissionais de TI, o índice chegou a 28,53%.

Os dados contrariam a percepção de que equipes com maior conhecimento técnico necessariamente apresentam menor exposição a ataques baseados em engenharia social.

Também foram encontradas diferenças expressivas entre departamentos. A proporção de usuários que clicaram ao menos uma vez variou de 26,35% nas equipes de Design para 41,31% no setor de Construção.

No segmento de Construção e Mercado Imobiliário, quase 20% dos participantes chegaram a fornecer credenciais após uma tentativa simulada bem-sucedida.

Já o setor de Serviços Financeiros apresentou os melhores resultados entre os segmentos avaliados, registrando desempenho superior em taxas de cliques, fornecimento de credenciais e reporte de mensagens suspeitas.

Os resultados reforçam a ideia de que uma organização não possui necessariamente um único perfil de risco relacionado ao phishing. Áreas, funções e grupos de funcionários podem apresentar comportamentos significativamente diferentes diante das mesmas ameaças.

Inteligência artificial personalizou as simulações

As campanhas foram realizadas por meio da própria plataforma da Pistachio e distribuídas por canais como e-mail e Microsoft Teams.

A dificuldade e o conteúdo das mensagens eram definidos de acordo com a função do destinatário dentro da organização e seu comportamento em simulações anteriores.

De acordo com a empresa, o uso de automação e inteligência artificial permitiu realizar em 12 meses um volume de testes que, se executado manualmente, demandaria aproximadamente 23 anos de trabalho.

Essa abordagem também permitiu adaptar progressivamente os testes ao comportamento de cada participante, criando cenários diferentes conforme sua resposta às campanhas anteriores.

Taxa de cliques não conta toda a história

Um dos principais argumentos apresentados pelo relatório é que programas de conscientização não deveriam ser avaliados exclusivamente pela quantidade de pessoas que clicam em links de phishing simulados.

Na avaliação da Pistachio, o clique representa apenas uma etapa do comportamento do usuário. Para medir a resiliência de maneira mais completa, também seria necessário observar se o funcionário fornece credenciais ou outras informações e se consegue reconhecer e reportar uma mensagem suspeita.

Uma taxa de cliques reduzida, portanto, pode não significar necessariamente que a organização apresenta baixo risco.

O risco aumenta especialmente quando, depois do clique, o funcionário fornece credenciais, informações confidenciais ou realiza alguma outra ação solicitada pela tentativa de phishing.

Ao mesmo tempo, a capacidade de identificar e reportar mensagens suspeitas permite que as equipes de segurança atuem mais rapidamente para proteger outros usuários da organização.

Segundo o relatório, um indicador mais consistente de evolução deve observar conjuntamente como as taxas de clique, fornecimento de informações e reporte mudam ao longo do tempo.

Joe Jones, CEO e cofundador da Pistachio, afirma que uma baixa taxa de cliques pode criar uma falsa percepção de segurança quando analisada isoladamente. Para ele, é necessário avaliar o comportamento posterior do funcionário, incluindo se ele entrega credenciais, interrompe a interação após reconhecer a ameaça ou reporta o conteúdo para que a empresa possa agir.

Primeiras simulações ainda registram vazamento de credenciais

Os dados também revelam que, já na primeira simulação, mais usuários reportaram mensagens suspeitas do que clicaram nelas.

Ainda assim, 1,57% dos participantes forneceram credenciais durante esse primeiro teste.

Segundo a estimativa apresentada no relatório, em uma organização com 500 funcionários essa proporção representaria aproximadamente oito pessoas dispostas a fornecer suas informações de login em uma tentativa de phishing simulada.

O levantamento também reforça que equipes técnicas não devem ser automaticamente classificadas como grupos de baixo risco. As taxas registradas entre profissionais de desenvolvimento e TI mostram que conhecimento técnico, por si só, não elimina a possibilidade de interação com mensagens fraudulentas.

Resultados melhoram com treinamento contínuo

Outro ponto destacado pelo estudo é que a melhora na resistência ao phishing não acontece necessariamente logo nas primeiras campanhas.

Durante os seis primeiros meses do programa analisado pela Pistachio, as taxas de cliques e de fornecimento de informações chegaram a aumentar antes de começarem a apresentar redução.

Ao final dos 12 meses, entretanto, os participantes reportavam mensagens suspeitas quase duas vezes mais frequentemente do que clicavam nelas.

Para os pesquisadores, os resultados sugerem que programas contínuos podem desenvolver maior capacidade de identificação e reporte de ameaças, em vez de simplesmente reduzir o número de cliques.

A análise também indica que campanhas isoladas podem não ser suficientes para medir ou modificar de maneira consistente o comportamento dos funcionários. A evolução deve ser acompanhada ao longo do tempo e considerar diferentes indicadores.

Estudo não apresenta comparação geográfica

Apesar do volume de participantes e organizações envolvidas, o relatório não apresenta uma análise baseada na localização geográfica dos usuários.

O estudo compara setores econômicos, departamentos e funções, mas não mostra se existem diferenças relevantes no comportamento de profissionais de diferentes países ou regiões.

Esse tipo de informação poderia ajudar empresas multinacionais a identificar se determinadas unidades apresentam níveis distintos de exposição e, consequentemente, se determinados grupos necessitam de treinamentos ou ações específicas.

Mesmo sem essa comparação, o levantamento evidencia que a eficácia de programas de conscientização em phishing não deve ser medida por uma única métrica.

A combinação entre redução de cliques e fornecimento de credenciais, aumento no reporte de mensagens suspeitas e acompanhamento contínuo do comportamento dos usuários pode oferecer às organizações uma visão mais ampla sobre sua capacidade de responder a ataques de engenharia social.

Para saber mais, clique aqui.