Simulação de phishing e engenharia social

Pretextos sob medida

Simulação com template genérico mede quase nada: o time aprende a reconhecer o template, não o ataque. Nossos pretextos são construídos a partir de reconhecimento do que está exposto sobre a sua empresa — o que um atacante real usaria.

Isso inclui o vocabulário interno que vaza em vagas de emprego, a estrutura de times visível em redes profissionais, fornecedores mencionados publicamente e o calendário de eventos do setor.

• Credential harvesting com página clonada e domínio verossímil.
• Cenários de bypass de MFA, incluindo fadiga de push e proxy de sessão.
• Anexos e documentos com pretexto de processo interno.
• Vishing e pretexting por telefone, quando incluído no escopo.
• Campanhas dirigidas a grupos específicos, como financeiro ou liderança.

O que medimos

A taxa de cliques é a métrica menos interessante da campanha. O que importa é o que aconteceu depois dela.

• Tempo até o primeiro reporte — o indicador que melhor prevê a contenção de um ataque real.
• Proporção entre quem reportou e quem interagiu, por área e por campanha.
• Se o reporte chegou ao canal certo e o que a equipe de resposta fez com ele.
• Quais controles técnicos bloquearam, alertaram ou deixaram passar.
• Evolução entre campanhas, que é onde o valor do programa aparece.

Como tratamos as pessoas

Uma campanha mal conduzida destrói confiança e ensina o time a esconder erros — o oposto do objetivo. Por isso operamos com regras firmes.

Resultados individuais não são usados para punição, e não entregamos ranking de quem clicou. O relatório trabalha com dados agregados por grupo; a identificação individual só existe quando necessária para orientar treinamento, e permanece com quem você definir.

Quem interage com a simulação recebe orientação imediata, no momento em que a lição é mais eficaz, com o que deveria ter chamado atenção naquele pretexto específico.

O que você recebe

• Relatório com métricas por comportamento e por grupo, sem exposição individual desnecessária.
• Análise dos pretextos que funcionaram e por quê, com os indicadores que passaram despercebidos.
• Avaliação dos controles técnicos que atuaram, ou deveriam ter atuado, em cada etapa.
• Recomendações para o canal de reporte e para o fluxo de resposta.
• Material de conscientização derivado dos cenários reais usados na sua campanha.

Quando faz sentido

• Como linha de base, antes de investir em um programa de conscientização.
• De forma recorrente, para medir evolução em vez de fotografar um momento.
• Antes de uma operação de red team, para calibrar o vetor de acesso inicial.
• Quando o setor da sua empresa está sob campanha ativa e você precisa saber onde está.

Perguntas frequentes

Vocês entregam a lista de quem clicou?

Por padrão, não. O relatório trabalha com dados agregados por grupo, porque campanha usada para punição ensina o time a esconder incidentes. Se a sua organização precisar de identificação individual para direcionar treinamento, isso é acordado antes e o acesso fica restrito a quem você definir.

Precisamos avisar os funcionários?

A organização autoriza formalmente a campanha, mas os destinatários não são avisados — do contrário não há o que medir. Recomendamos comunicar previamente que simulações fazem parte do programa de segurança, sem informar datas ou pretextos.

Conseguem simular bypass de MFA?

Sim. Trabalhamos com cenários de fadiga de push e de proxy de sessão, que são as técnicas em uso por adversários reais hoje. É especialmente útil para organizações que consideram o MFA um problema resolvido.

Outros serviços

• Pentest de aplicações e infraestrutura
• Red team e simulação de adversário
• Treinamentos em segurança ofensiva
• CTFs corporativos sob medida