- MITRE ATT&CK define spear phishing como phishing direcionado a uma pessoa, empresa ou setor específico; o não direcionado é o das campanhas massivas de spam.
- ENISA (Threat Landscape 2023) define whaling como um spear phishing contra pessoas em cargos altos, como executivos ou políticos.
- NIST SP 800-63B-4 (julho de 2025) define a resistência ao phishing como uma propriedade que não depende da vigilância de quem se autentica, e exclui os códigos inseridos manualmente, como os OTP.
- CISA pede priorizar a MFA resistente ao phishing em administradores e outras contas de alto valor (2022) e repete isso em suas metas de cibersegurança de dezembro de 2025.
Em maio de 2025, o responsável por um think tank dos Estados Unidos recebeu o e-mail de um suposto assessor estrangeiro que lhe pedia sua opinião sobre a península da Coreia. Para responder, ele precisava escanear um código QR. Em junho de 2025, uma consultora de assessoria estratégica recebeu o convite para uma conferência que não existia, e o QR levava a uma página falsa de login do Google.
O FBI documentou esses casos em seu alerta FLASH AC-000001-MW, de 8 de janeiro de 2026, e os atribui a Kimsuky, um ator norte-coreano. Cada pretexto era feito sob medida para o trabalho de quem o recebia.
O caso é dos Estados Unidos e não encontramos um equivalente publicado por um órgão latino-americano. Esse ajuste ao destinatário é o que define o spear phishing, e o alvo não precisa ser uma pessoa: para MITRE ATT&CK, o ataque pode mirar uma pessoa, uma empresa ou um setor inteiro.
O que torna um phishing "spear" é como ele escolhe sua vítima
A diferença entre spear phishing e phishing está na seleção do alvo: o atacante decide antes para quem escreve. MITRE ATT&CK diz isso na técnica T1566: no spear phishing, o adversário mira "a specific individual, company, or industry", enquanto o não direcionado é o das campanhas massivas de malware por spam.
A ENISA, a agência de cibersegurança da União Europeia, o descreve como uma versão mais sofisticada do phishing, direcionada a organizações ou pessoas específicas. E nomeia um subtipo: o whaling, um spear phishing contra usuários em cargos altos.
O canal é outro eixo. MITRE divide o spear phishing por via de entrega: anexo (T1566.001), link (T1566.002), serviços de terceiros em vez do e-mail corporativo (T1566.003) e voz (T1566.004).
Sua matriz para dispositivos móveis, em T1660, inclui o phishing direcionado junto com o smishing por SMS, que a ENISA também define pelo canal. Dessas duas definições deduzimos que um SMS escrito para uma pessoa em particular é smishing e spear phishing ao mesmo tempo. As diferenças entre phishing, smishing e vishing estão em phishing e smishing.
A personalização vem do que já está exposto
O atacante monta a mensagem com o que a organização e suas pessoas já expuseram, em sites abertos, redes sociais ou vazamentos, e reúne isso antes de escrever. MITRE modela essa etapa como reconhecimento, a tática TA0043, e suas técnicas descrevem o que se busca:
- Identidade das vítimas (T1589) — nomes de funcionários, endereços de e-mail e também credenciais ou a configuração da autenticação multifator.
- Funções (T1591.004) — quem é pessoal-chave e a quais dados ou recursos tem acesso.
- Redes sociais (T1593.001) — anúncios de negócio e informações sobre as funções, as localizações e os interesses do pessoal.
Em T1589 e T1591, MITRE escreve que o que foi reunido pode abrir oportunidades de acesso inicial, e coloca o phishing como exemplo.
Os vazamentos são a outra fonte: o CERT.br, o centro de resposta a incidentes do Brasil, adverte em sua cartilha sobre vazamento de dados de janeiro de 2024 que depois de um vazamento se esperam mais tentativas de golpe por mensagens, e-mails e ligações, "desde phishing direcionado" até a extorsão.
O guia conjunto de CISA, NSA, FBI e MS-ISAC de outubro de 2023 descreve o resultado: atacantes que se fazem passar por supervisores, colegas de confiança ou pessoal de TI para enviar e-mails direcionados e obter credenciais.
Uma mensagem sob medida apaga os sinais que são treinados para detectar
Uma mensagem sob medida perde ao menos um dos sinais que são ensinados a procurar. Em seu guia de 2021 para evitar a engenharia social, a CISA lista como indicadores fortes de phishing a saudação genérica, do tipo "Prezado cliente", e a falta de dados de contato na assinatura. Um e-mail que nomeia o destinatário e o tema em que ele trabalha não tem saudação genérica. A CISA não apresenta isso sobre o spear phishing: aplicar sua lista a uma mensagem personalizada é uma inferência deste artigo.
Segundo o alerta do FBI, operações de quishing como estas costumam terminar com o roubo e a reutilização do token de sessão, que contorna a autenticação multifator sem disparar os alertas habituais de tentativa malsucedida. Depois, os atacantes se instalam na organização e enviam um segundo spear phishing a partir da caixa de correio comprometida, com o que o remetente passa a ser uma conta real.
O mesmo alerta recomenda confirmar a origem de um código QR por outra via, por exemplo contatando diretamente quem o enviou. Aplicar esse critério a qualquer pedido incomum que chega com o nome correto é uma extensão nossa.
O controle que resiste não depende de a pessoa notar o engano
O NIST define a resistência ao phishing sem contar que a pessoa detecte a fraude. A revisão 4 da SP 800-63B, publicada em julho de 2025, formula isso em sua seção 3.2.5: é a capacidade do protocolo de autenticação de impedir que os segredos e as saídas válidas do autenticador cheguem a um verificador impostor "without relying on the vigilance of the claimant". Ele consegue isso vinculando criptograficamente a resposta ao canal ou à identidade do verificador.
A seção acrescenta que não importa como a pessoa chegou ao verificador falso, por um buscador ou por um e-mail. Se essa frase for levada ao spear phishing (o passo é nosso, não do NIST), o quão convincente é a mensagem deixa de pesar: para um autenticador resistente, um e-mail feito sob medida e um massivo e grosseiro são o mesmo ataque.
A norma exclui de forma explícita os autenticadores que exigem inserir sua saída manualmente, como os códigos OTP e os fora de banda: "SHALL NOT be considered phishing-resistant", porque a inserção manual não vincula o código à sessão. As senhas também não são. O guia conjunto da CISA de 2023 nomeia como resistente a MFA baseada em padrões FIDO ou em PKI. O detalhe está em a comparação por fator.
As contas com mais acesso vêm primeiro
A CISA pede começar pelas contas que mais servem a um atacante.
Seu fact sheet de outubro de 2022 chama a MFA resistente ao phishing de padrão ouro e insta os administradores de sistemas e outros "high-value targets" a migrar. Ela os define como as poucas contas com acessos ou privilégios adicionais que toda organização tem, e dá exemplos: o administrador de sistemas, os advogados com permissões de e-discovery para ler o e-mail do pessoal e a equipe de recursos humanos.
O guia conjunto de 2023 pede priorizar administradores e usuários privilegiados. As metas de desempenho de cibersegurança da CISA, versão 2.0 de dezembro de 2025, repetem isso na meta 3.E: ordenam a MFA com a resistente ao phishing primeiro e o SMS ou a voz no final, e pedem priorizar as contas de maior risco.
A CISA também tem um guia de comunicações móveis (versão 2.0, novembro de 2025) para pessoas que são alvo direcionado, e ali diz que a MFA por SMS não é autenticação forte para elas.
Esse guia fala a cargos altos de governo, militares e políticos. Levá-lo aos funcionários com acesso privilegiado de uma empresa é uma extensão nossa, embora para essas contas o fact sheet de 2022 e as metas de 2025 peçam sim priorizar a MFA resistente ao phishing.
Juntamos duas fontes que não se citam entre si: MITRE descreve que o atacante busca quem tem acesso a quê (T1591.004), e a CISA pede proteger primeiro essas contas.
O que a VU faz
Autentica, a funcionalidade de autenticação da VU, suporta sete fatores: rosto, TOTP, OTP por SMS, OTP por e-mail, link mágico, senha e documento de identidade. Que fator cada conta exige é decidido pela organização. Para as contas com mais acesso, o critério é NIST SP 800-63B-4: a norma deixa de fora por texto expresso os OTP e a senha, e qualquer outro fator deve ser comparado com a definição da seção 3.2.5 antes de ser atribuído.
A funcionalidade da VU que oferece contexto sobre o dispositivo é Protege contra fraudes, com reconhecimento do equipamento a partir do qual se opera com base em sinais de browser e de mobile. A decisão sobre o que fazer com esse sinal, e o monitoramento da operação, são resolvidos em outra camada que a VU não fornece.
Quanto melhor montado está um spear phishing, menos adianta pedir que a pessoa o perceba, e a defesa que resiste é a que não depende disso.
agende uma conversa.
