- O treinamento embutido contra phishing reduziu o clique em apenas 2% em um experimento de oito meses com 19.500 funcionários (IEEE S&P, Oakland 2025).
- Mesmo depois de mais de dez simulações prévias, a probabilidade de cair diminuiu cerca de dois terços, mas nunca desapareceu (JAMA Network Open, 2019).
- Segundo a Phish Scale do NIST, quanto mais um pretexto se parece com o contexto real da vítima, menos atenção ela presta aos sinais de alerta.
- A CISA chama a autenticação resistente a phishing (FIDO/WebAuthn) de "gold standard", porque ela não depende de a pessoa detectar o engano a tempo.
Em 2025, uma equipe de pesquisadores mediu na UC San Diego Health aquilo que o setor de capacitação raramente mede: quanto o comportamento real muda depois de treinar. O módulo que aparece após clicar em um e-mail-armadilha reduziu em apenas 2% a probabilidade de cair de novo, e concluir a capacitação anual não teve relação significativa com o risco.
Venho ouvindo a mesma promessa em discursos de venda alheios há anos: capacite sua equipe e o risco diminui. Diminui, é verdade, mas essa frase nunca diz quanto risco sobra depois, e a evidência diz que nunca é zero.
Esta peça não cataloga as técnicas pontuais: discute por que conhecê-las não basta.
O treinamento reduz o risco, mas nunca a zero
O treinamento diminui o risco de cair, mas nenhum dos dois estudos que cito aqui o levou a zero. O da UC San Diego Health, de Grant Ho e sua equipe, saiu no IEEE Symposium on Security and Privacy, uma das conferências acadêmicas de segurança de primeiro nível.
Acompanhou durante oito meses mais de 19.500 funcionários com dez campanhas simuladas e mediu o módulo que aparece após o clique: reduziu em 2% a probabilidade de cair de novo. Três quartos das pessoas interagiram com ele por um minuto ou menos; um terço fechou a página sem ler.
Um estudo da JAMA Network Open de 2019, com quase três milhões de e-mails simulados em seis instituições de saúde dos Estados Unidos, mediu outra coisa: a exposição repetida a simulações de phishing e smishing. Após mais de dez campanhas prévias, a probabilidade de clicar caiu cerca de 67% em comparação com quem nunca viu uma simulação, mas não chegou a zero: a coorte mais treinada continuava clicando.
Os dois medem intervenções diferentes, um módulo pontual e a habituação por repetição, e não se contradizem.
O motivo não é falta de conhecimento: é que o contexto desliga a verificação
A Phish Scale do NIST explica. Além de contar os sinais de alerta de um e-mail (erros, remetente estranho, urgência mal executada), mede quão bem o pretexto se encaixa no papel e no contexto de quem o recebe. Quanto maior esse alinhamento, diz o NIST, menos provável é que a pessoa note, dê atenção ou pense nos sinais suspeitos.
Conhecer uma técnica é saber sobre sinais genéricos, e é aí que está o limite. O e-mail que imita o fornecedor de folha de pagamento, enviado no dia do pagamento, não engana porque a vítima não saiba o que é phishing: engana porque o contexto desliga a verificação antes que os sinais sejam processados.
O mecanismo de fundo é carga cognitiva: com pressão de tempo ou estresse, a pessoa processa o e-mail de forma rápida e heurística em vez de analítica. Um experimento de 2025 publicado na Information & Computer Security mediu isso com 200 pessoas que classificavam e-mails com 15 ou 7 segundos por mensagem. Sob pressão, a sensibilidade de detecção caiu de 1,07 para 0,45 (p < 0,001).
A autoridade e a reciprocidade enganam mais do que a escassez
Nesse mesmo experimento, os princípios de persuasão que foram pior detectados foram a reciprocidade e a autoridade: o favor a retribuir e o pedido de um superior. A escassez e a prova social, ao contrário do esperado, foram os que as pessoas detectaram melhor.
A pressão degradou a detecção em geral, sem importar o tipo de isca. A amostra foi majoritariamente universitária: que o mecanismo persista em pessoas já treinadas é sustentado pelos dois estudos anteriores, feitos em organizações reais.
O que de fato resiste: um desenho em que a credencial roubada não serve
Um guia conjunto da CISA, NSA, FBI e MS-ISAC de 2023 coloca o treinamento primeiro em uma lista de seis controles, junto ao DMARC, ao monitoramento de mensagens internas e às credenciais com autenticação multifator resistente a phishing. E esclarece que nem o MFA comum basta se o segundo fator for do tipo errado.
A CISA chama a autenticação FIDO/WebAuthn de "gold standard" e pede priorizar a migração. O protocolo verifica criptograficamente o domínio antes de completar o login: mesmo que a vítima clique e digite sua senha em um site falso, o segundo fator não se completa contra um domínio que não é o legítimo, diferentemente de um MFA tradicional por SMS ou código.
Por isso, a engenharia social é vencida com um desenho em que o engano bem-sucedido deixa de importar, mais do que ensinando a reconhecê-lo melhor.
O que a VU faz
Na VU, trabalhamos com autenticação pensada para este problema pontual: que o segundo fator não dependa de a pessoa detectar o engano no momento exato do ataque. Conheça a autenticação da VU.
O treinamento reduz o risco. O desenho do sistema é a única coisa que o torna irrelevante.
Vamos falar sobre sua autenticação.
