Phishing: cinco vulnerabilidades que ainda expõem empresas a golpes

Phishing continua sendo uma das principais ameaças à segurança das empresas.

O phishing, uma técnica de ataque que utiliza mensagens fraudulentas para roubar dados ou instalar malwares, permanece como uma das principais portas de entrada para ataques contra empresas, mesmo com o avanço das ferramentas de proteção disponíveis no mercado. O problema reside nas brechas do comportamento humano e na maneira como as organizações abordam a segurança, frequentemente negligenciando a formação e conscientização de seus colaboradores.

Um estudo recente revelou que 33,1% dos usuários, em simulações de ataques, clicam em links ou interagem com mensagens de phishing. Os dados foram obtidos a partir de 67,7 milhões de simulações, envolvendo 14,5 milhões de usuários em mais de 62 mil organizações. Isso evidencia a vulnerabilidade dos funcionários, que muitas vezes não estão preparados para identificar tais ameaças.

Especialistas alertam que muitas organizações ainda encaram o phishing como um problema puramente tecnológico, ignorando seu vínculo direto com o comportamento humano. Sem um treinamento contínuo e uma cultura de segurança robusta, mesmo as melhores ferramentas de segurança podem falhar. A conscientização sobre a importância da segurança deve ser uma prioridade nas empresas.

A partir dessa análise, foram identificados cinco pontos cegos que explicam a eficácia contínua do phishing nas organizações:

• Treinamento tratado como ação pontual: Programas de treinamento contínuos têm mostrado resultados significativos. Em apenas 90 dias, a taxa de suscetibilidade ao phishing pode diminuir em até 40%;
• Cultura de segurança frágil: Mensagens que imitam comunicações internas, como avisos de Recursos Humanos ou Tecnologia da Informação, são as que mais geram cliques nas simulações, evidenciando a exploração da confiança dos colaboradores;
• Falta de visibilidade sobre o risco humano: Embora muitas empresas monitorem ameaças técnicas, elas frequentemente ignoram o comportamento dos usuários. Métricas como o Phish-prone Percentage (PPP) são essenciais para avaliar esse risco;
• Excesso de confiança: Muitos profissionais acreditam que conseguiriam identificar uma tentativa de phishing, mas os dados mostram que, antes do treinamento, cerca de um terço dos usuários interage com mensagens simuladas;
• Dependência excessiva de tecnologia: Embora filtros de e-mail e outras camadas de proteção sejam essenciais, eles não garantem a segurança total. Quando uma mensagem maliciosa chega à caixa de entrada, a decisão do usuário é crucial.

Estudos indicam que programas contínuos de treinamento e conscientização podem reduzir o risco de phishing em até 86% após um ano. Isso reforça a necessidade de tratar o comportamento humano como um componente central na estratégia de cibersegurança das empresas.