Phishing: Como Identificar e Treinar sua Equipe

Phishing é um ataque de engenharia social: um criminoso se faz passar por uma pessoa ou empresa confiável — quase sempre por e-mail — para induzir você a clicar num link, abrir um anexo infectado ou entregar dados sensíveis como senha, cartão ou código bancário. É simples. E é justamente por isso que funciona tão bem: a tese em uma frase é que o phishing não invade o sistema, invade a pessoa — por isso a defesa que mais funciona não é técnica, é treinar o olhar da equipe e blindar as contas com MFA para o dia em que alguém, inevitavelmente, clicar.

Este guia mostra como o phishing funciona, quais são os tipos (do spear phishing ao golpe por QR Code), como identificar um e-mail falso mesmo quando ele é bem feito, como treinar a equipe com simulações e por que o MFA é a rede de segurança que segura o estrago. É uma das peças centrais de qualquer estratégia de cibersegurança para PMEs.

Como o phishing funciona

Phishing é engenharia social: em vez de explorar uma falha técnica, o criminoso manipula o comportamento humano. Ele não precisa invadir o banco para roubar sua senha — basta convencer você a digitá-la numa página falsa. O nome é um trocadilho com fishing (pescar): o golpista lança a isca (a mensagem falsa) para muita gente e espera alguém morder.

O ataque quase sempre segue a mesma cadeia, e há um ponto claro em que ele pode ser interrompido:

Os tipos de phishing

"Phishing" costuma se referir ao e-mail em massa, mas a mesma técnica aparece em vários canais e com diferentes níveis de personalização. Conhecer as variantes ajuda a equipe a reconhecê-las:

A maioria dos ataques ainda chega por e-mail, mas os princípios de identificação valem para todos os canais.

Anatomia de um e-mail de phishing

Ver os golpes de perto treina o olho. Os exemplos abaixo são ilustrativos, mas reúnem os padrões que aparecem no dia a dia.

O clássico: "sua conta será fechada"

Remetente security-alert@goggle.com (repare: é goggle), assunto "URGENTE: sua conta será fechada em 24 horas". O corpo alega "atividade suspeita" e manda verificar a identidade em https://goo.g1-verify.com/account/login. Os sinais se acumulam: domínio com letra trocada, URL que só imita o Google, urgência artificial e a saudação genérica ("Prezado Usuário", sem o seu nome).

O sofisticado: "atualize seus dados por exigência do Banco Central"

Vindo de um noreply@ que parece do seu banco, o texto invoca uma autoridade (o Banco Central) para soar legítimo e até inclui o aviso "seu banco nunca pede senha por e-mail" — uma tática reversa, que cria falsa confiança. O link (seu-banco-seguranca.com.br/atualizar) parece oficial, mas o domínio é falso. A regra que nunca falha: banco não pede para você atualizar cadastro clicando em link de e-mail. Na dúvida, abra o app oficial por conta própria.

O direcionado: "sua autenticação multifator expirou"

Este é um spear phishing: chama a vítima pelo nome real (colhido do LinkedIn), cita um sistema que a empresa usa (a VPN) e manda "reautenticar" num link falso. O detalhe mais revelador é a instrução "seu navegador pode avisar que o site é inseguro — ignore, é normal durante a manutenção". Pedir para ignorar avisos de segurança é um sinal de alerta gritante — nunca faça isso. Se você digitar as credenciais, a página falsa captura usuário, senha e até o código do MFA.

Como identificar um phishing

Os golpes mudam de roupa, mas os sinais se repetem. Ensine a equipe a checar:

• O remetente e o domínio. Domínios imitados são clássicos: google.com é real; goggle.com, g00gle.com e google-security.com são falsos. Passe o mouse sobre o nome do remetente para revelar o endereço real que ele tenta esconder.
• O link, antes de clicar. Passe o cursor sobre o link (sem clicar) e leia o endereço real no rodapé do navegador. Se o texto diz "acesse o Google" mas o destino é malicious-site.com/fake-google, é phishing.
• A urgência e a ameaça. "Sua conta será fechada", "pague em 24 horas", "última chance": a pressa serve para você agir antes de pensar. Desconfie de todo prazo curto.
• Os anexos inesperados. Cuidado com .exe, .zip, .scr, .vbs e documentos com macro (.xlsm, .docm), que podem executar código malicioso. Se você não esperava o anexo, confirme com o remetente por outro canal antes de abrir.
• A personalização — dos dois lados. Um "Prezado Usuário" genérico é suspeito, mas um e-mail que sabe seu nome também pode ser spear phishing (dados públicos do LinkedIn). Personalização, sozinha, não prova legitimidade.
• O cadeado não é garantia. O HTTPS (o cadeado) só significa que a conexão é criptografada, não que o site é confiável — criminosos também emitem certificados. Verifique sempre o domínio, não apenas o cadeado.

MFA: sua rede de segurança

Nenhum treinamento zera o risco: mais cedo ou mais tarde, alguém clica. É aí que entra o MFA (autenticação multifator). Mesmo que o funcionário revele a senha, o criminoso ainda precisa do segundo fator — um código no celular ou uma aprovação no app. A Microsoft afirma que ativar o MFA bloqueia a esmagadora maioria dos ataques automatizados a contas.

Nem todo MFA é igual, em ordem crescente de segurança:

• SMS: um código por mensagem. Melhor que nada, mas vulnerável ao SIM swap (o criminoso transfere seu número).
• Aplicativo autenticador (Google Authenticator, Microsoft Authenticator): o código nasce no próprio celular, não trafega por SMS. Gratuito e bem mais seguro.
• Notificação push: o app pergunta "foi você que tentou entrar?" e você aprova ou nega — evita o roubo do código digitado.
• Chave física (FIDO2): um dispositivo que você conecta ou aproxima. O mais seguro (resiste até a páginas que capturam códigos), embora menos prático.

Para a maioria das empresas, comece pelo aplicativo autenticador no e-mail corporativo e em todo acesso remoto. Ao ativar, guarde os códigos de backup num lugar seguro (nem no celular, nem no e-mail): sem eles, perder o telefone tranca você para fora da conta. E lembre que o phishing é o principal vetor de entrada do ransomware — blindar as contas fecha duas portas de uma vez.

Treine a equipe com simulações

A melhor forma de treinar contra phishing é a prática: uma simulação envia um e-mail falso (inofensivo) para a equipe, mede quem clica e transforma o resultado em aprendizado. Ferramentas gratuitas e de código aberto, como o GoPhish, montam campanhas de teste, acompanham aberturas e cliques e geram relatórios. Alguns princípios separam educar de assustar:

• Combine com a direção antes de rodar — simulação-surpresa cria desconfiança, não cultura de segurança.
• Deixe claro que é educativo, não punitivo. O objetivo é aprender, nunca expor ninguém.
• Nunca colete senhas reais. A simulação registra o clique, não a credencial.
• Feche com feedback: um treinamento curto (5 a 15 minutos) sobre os sinais que passaram batido, e reconheça quem identificou o golpe.

Uma boa cadência é mensal para áreas de maior risco (financeiro, RH, diretoria) e trimestral para as demais.

Filtros e ferramentas técnicas

A educação é a defesa número 1, mas a camada técnica reduz quanto phishing chega até as pessoas:

Para a PME típica, a combinação de filtro nativo + MFA + treinamento com simulações já entrega uma proteção sólida. O SPF/DKIM/DMARC, no fim, protege também sua reputação: evita que golpistas mandem e-mails se passando pelo seu domínio — assunto que se conecta ao papel do firewall e das demais camadas de rede.

Se alguém clicar: plano de resposta

Quando um colaborador avisa que clicou ou digitou dados, a rapidez decide o tamanho do estrago:

1. Isole o equipamento. Desconecte da rede (cabo e Wi-Fi) para conter uma possível propagação.
2. Troque a senha na hora. Faça isso de outro dispositivo — nunca do que foi comprometido — e encerre as sessões abertas.
3. Revise a atividade. Confira os logs de acesso (que IP, que horário?), e-mails enviados e dados tocados.
4. Verifique malware. Rode uma varredura com antivírus atualizado; em caso de infecção, reinstale o sistema do zero.
5. Comunique quem precisa saber. Se credenciais vazaram, avise os demais usuários e o TI. Havendo exposição de dados pessoais, a LGPD pode exigir notificação.
6. Eduque, não puna. Punir quem avisou só ensina a próxima pessoa a esconder — e o silêncio é o que realmente custa caro.

Perguntas frequentes sobre phishing

Como sei se um link é falso antes de clicar?

Passe o mouse sobre o link, sem clicar, e leia o endereço real que aparece no rodapé do navegador (no celular, segure o link para ver o destino). Se o domínio for diferente do que o texto promete, ou tiver letras trocadas e subdomínios estranhos, é phishing. Na dúvida, não clique: acesse o site digitando o endereço você mesmo.

Caí num phishing e digitei minha senha. E agora?

Aja rápido. Troque a senha imediatamente, de preferência em outro dispositivo, e ative o MFA se ainda não usa. Reveja o histórico de acessos da conta (horários e locais estranhos), encerre as sessões abertas e, se for uma conta corporativa, avise o TI para monitorar. Trocar a senha nos primeiros minutos costuma bastar para trancar o criminoso do lado de fora.

O MFA pode ser burlado?

Pode, mas com muito mais dificuldade. O MFA por SMS é o mais frágil, porque é vulnerável ao SIM swap (o criminoso transfere seu número para o celular dele). Aplicativos autenticadores são bem mais seguros, e as chaves físicas (FIDO2) resistem até a páginas de phishing que capturam o código. Em ordem de segurança: SMS < aplicativo < chave física.

Simular phishing com a própria equipe é legal?

Sim, desde que seja um teste controlado e educativo: a direção autoriza, você registra que se trata de uma simulação, não coleta senhas reais e não pune quem cai. O objetivo é treinar, não constranger. Diferente de um ataque real, aqui não há intenção de causar dano nem de espionar o funcionário.

Como faço a equipe reportar phishing em vez de esconder?

Crie um ambiente sem punição: quem cai num phishing e avisa deve ser tratado melhor do que quem escondeu. Deixe o report fácil, com um botão de "reportar phishing" no cliente de e-mail, e sempre dê retorno de que a mensagem foi tratada. Reconhecer quem identifica golpes transforma a segurança em hábito coletivo.

Conclusão

Phishing é um dos ataques mais comuns e, ao mesmo tempo, um dos mais evitáveis. A parte técnica é a mais fácil de resolver — filtros e MFA fazem muito. O desafio é humano: gente com pressa clica, e o spear phishing bem feito engana até os atentos.

Por isso a defesa é em camadas: treinamento (a linha de frente, com simulações e feedback), MFA (a rede que segura a queda quando a senha vaza), filtros de e-mail (que barram parte dos golpes antes de chegarem) e um plano de resposta pronto para o dia do incidente. Com esses quatro, você já fica à frente da maioria das empresas — e vale combiná-los com uma postura de Zero Trust, que nunca confia por padrão. Para orientação oficial e gratuita, o CERT.br mantém a Cartilha de Segurança com material sobre golpes e phishing. No fim, a conta é simples: um colaborador que reconhece a isca é a sua melhor defesa.