Um colaborador recebe um e-mail sobre uma fatura em atraso. Alguns minutos depois, alguém liga, parece ser o seu superior hierárquico, e pede-lhe para a aprovar. Um programa de simulação de phishing que apenas testa links suspeitos num e-mail não abrange uma situação como esta.
As ferramentas de simulação de phishing permitem que os colaboradores pratiquem a forma de lidar com estes pedidos através de exercícios controlados. A plataforma adequada ajuda as pessoas a questionar instruções invulgares e a comunicar atividades suspeitas. Além disso, fornece às equipas de segurança informações úteis sobre as áreas em que os colaboradores necessitam de apoio. As nove ferramentas abaixo abrangem diferentes necessidades, desde campanhas de e-mail personalizadas até à prática adaptativa e exercícios coordenados de suplantação de identidade.
{{cta}}
Que ferramentas de simulação de phishing deve considerar?
Se quiseres especificar as simulações por função
- Noon Security: Personaliza exercícios de phishing, chamadas de voz e deepfake de acordo com a função e o histórico de cada colaborador.
- Segurança Adaptativa: Realiza campanhas coordenadas que se desenvolvem através de e-mail, chamadas de voz e chat, tal como acontece nos ataques reais.
Se pretender combinar a formação dos colaboradores com a proteção em tempo real
- Noon Security: Integra simulações numa plataforma que também protege caixas de entrada, dispositivos e a utilização da IA.
- IRONSCALES: Combina as suas simulações e formação com os seus próprios planos de proteção de e-mail.
Se pretender criar cenários que reflitam a sua organização
- Noon Security: Utiliza um criador de cenários baseado em IA para conceber exercícios em torno das decisões com que a sua equipa se depara na prática.
- KnowBe4: Oferece modelos e páginas de destino editáveis, com coordenação AIDA para campanhas recorrentes.
Se precisar de aproveitar um investimento já realizado na Microsoft
- Microsoft Defender for Office 365: Realiza a formação « simulação de ataques » no portal do Defender para equipas com o Plano 2 ou o E5.
Se quiser realizar campanhas na infraestrutura que controla
- Gophish: oferece às equipas técnicas controlo sobre campanhas de e-mail alojadas internamente, desde que se encarreguem da sua manutenção e segurança.
As limitações frequentes das ferramentas de simulação de phishing
O exercício é demasiado genérico
Um e-mail falso sobre a entrega de uma encomenda não dá praticamente nenhuma informação a um colaborador sobre como aprovar os novos dados bancários de um fornecedor. O exercício que vale a pena realizar consiste em verificar se alguém segue efetivamente o processo de verificação já em vigor na vossa organização. No caso do departamento financeiro, isso pode significar ligar de volta ao fornecedor para um número que tenham registado antes de a solicitação chegar. No caso do serviço de assistência, pode significar recusar-se a ignorar as verificações de recuperação de conta para quem liga com pressa.
O ataque fica-se pela caixa de entrada
Um pedido que começa por e-mail prossegue por telefone, SMS ou mensagem no Slack, e é o segundo contacto que dá credibilidade ao primeiro. Um programa limitado ao e-mail nunca simula essa dinâmica. Apoiar vários canais ajuda, mas enviar mensagens desconexas por cada um deles testa algo diferente de uma sequência coordenada, em que uma voz familiar dá seguimento ao que já foi plantado na caixa de entrada.
Cada clique conta da mesma forma
Uma taxa de cliques sem contexto não diz muito sobre um ataque de phishing. Um pedido específico para uma função e um isco genérico óbvio não constituem o mesmo teste, mas muitas ferramentas tratam-nos de forma idêntica. A «Phish Scale» do NIST oferece às equipas uma forma de avaliar o grau de dificuldade de um e-mail simulado, o que confere significado aos resultados. A rapidez com que as pessoas comunicam o incidente e a forma como se recuperam após um erro são tão importantes quanto o facto de terem clicado ou não.
O treino é o que faz com que tudo resulte
A prática é importante, mas por mais que se pratique, um colaborador não pode ser responsável por detetar todos os ataques. A proteção técnica continua a ser necessária para bloquear as mensagens perigosas, os pacotes maliciosos e os pedidos de acesso que nunca deveriam ter sido concedidos. Um programa de simulação deve complementar uma proteção mais abrangente da força de trabalho, capaz de detetar o que as pessoas não conseguem.
Como avaliámos estas ferramentas: Cada entrada abaixo baseia-se nas páginas do produto e na documentação do próprio fornecedor, consultadas na altura da redação deste artigo, bem como na nossa própria experiência prática, sempre que a tivemos. Nos casos em que uma funcionalidade depende de um nível específico de licença ou de auto-hospedagem, indicámos esse facto.
Comparação de ferramentas de simulação de phishing
A tabela descreve as configurações abordadas a seguir. A disponibilidade dos canais, os conteúdos de formação e a proteção adicional podem depender da subscrição ou dos serviços selecionados.
As 9 melhores ferramentas de simulação de phishing
1. Noon Security
O que faz: O Noon é a plataforma de segurança da força de trabalho d Aikido Security. As suas simulações de ataques vão além dos e-mails de phishing, abrangendo vishing, smishing e falsificação de identidade através de deepfakes, sendo cada uma delas personalizada de acordo com a função e o comportamento anterior de cada colaborador. As campanhas em várias etapas e um criador de cenários baseado em IA permitem que as equipas vão além do envio de um modelo idêntico e facilmente reconhecível a todos.
Por que se destaca: Concebido para se adaptar à forma como as pessoas tomam efetivamente decisões no trabalho. Uma equipa financeira pode simular a verificação de um pedido de pagamento urgente, e um colaborador que atenda uma chamada aparentemente de assistência técnica aprende a confirmar quem está realmente ao telefone, de modo a que o resultado seja uma resposta repetível, mesmo quando a mensagem parece convincente. As campanhas podem ser executadas automaticamente com base na função e no comportamento anterior, ou um administrador pode escolher o cenário. Se falhar numa simulação, a lição é enviada de forma privada, através do Noon, do Slack, do Teams ou do Google Chat. A acompanhar as simulações, há proteção de e-mail, proteção de dispositivos contra software malicioso e governança de IA que identifica as ferramentas a que as pessoas se ligam e faz cumprir a política da equipa.
O que é preciso saber. O Noon está em acesso antecipado, por isso verifique o que está disponível hoje e quando é que o resto será enviado.
2. Formação em Sensibilização para a Segurança da KnowBe4
O que faz: O KnowBe4 combina exercícios de phishing com conteúdos de formação e relatórios. Os modelos e páginas de destino editáveis permitem-lhe criar cenários específicos para a sua organização, e a sua funcionalidade «Simulated Vishing» alarga o exercício do e-mail às chamadas de voz.
Por que se destaca: A sua «AIDA Orchestration» é o principal atrativo para equipas que pretendem automatização sem abdicar do controlo. Os administradores definem os grupos e os conteúdos restritos, e a AIDA personaliza então a atividade de cada pessoa de acordo com o seu risco individual. Essa combinação é adequada para um programa suficientemente grande para que as campanhas decorram de forma autónoma, mas suficientemente regulamentado para exigir limites explícitos quanto ao que cada colaborador recebe.
O que é preciso saber: O AIDA Orchestration está incluído nas subscrições AIDA ou SAT Advanced; por isso, confirme os seus direitos relativos à voz e ao retorno de chamada no pacote proposto. A KnowBe4 também comercializa o Defend e o PhishER Plus, mas estas são funcionalidades de segurança de e-mail em tempo real e devem ser consideradas numa rubrica orçamental separada da própria formação.
3. Formação adaptativa sobre phishing da Hoxhunt
O que faz: O Hoxhunt ajusta a dificuldade, a cadência e o tipo de cada exercício com base na função e no histórico do colaborador. A sua cobertura abrange exercícios por e-mail, SMS, voz e retorno de chamada, Microsoft Teams e vídeo deepfake.
Por que se destaca: A ênfase está na prática recorrente e no acompanhamento imediato assim que alguém comete um deslize, em vez de uma campanha trimestral criada manualmente. Os relatórios de « Threat Intelligence » e os casos reais de phishing alimentam os cenários, e cada ronda de cliques e denúncias define o que se segue. Isso torna-a a solução ideal quando uma equipa de segurança pretende um programa de aprendizagem contínua e quer dedicar menos tempo à preparação de cada campanha a partir do zero.
O que deve saber: Confirme quais os canais que o seu pacote inclui efetivamente e qual o grau de controlo que tem sobre a sequência de uma campanha específica. A «Automatização da Resposta a Incidentes por E-mail» da Hoxhunt é um produto separado, pelo que a aquisição apenas da formação não lhe proporcionará um serviço completo de resposta à caixa de entrada.
4. Segurança adaptativa
O que faz: O Adaptive Security executa campanhas por e-mail, voz, SMS e chat, incluindo áudio sintético e suplantação de identidade por vídeo. Os cenários podem basear-se em informações públicas e no contexto dos colaboradores, com mensagens e experiências de destino que pode editar.
Por que se destaca: O seu fluxo de trabalho Auto-Phish cria e implementa simulações assim que definir a frequência e os alvos, e as personagens geradas por IA permitem-lhe controlar efetivamente quem o atacante parece ser. A plataforma revela todo o seu valor quando se pretende simular um pedido que surge por e-mail e ganha credibilidade através de uma chamada de acompanhamento — a sequência que costuma confundir as pessoas em incidentes reais.
O que é preciso saber: Estabeleça limites claros relativamente às informações pessoais utilizadas para criar cenários e decida quem aprova os exercícios sensíveis de suplantação de identidade antes de estes serem realizados. A oferta de segurança de e-mail da Adaptive é independente do trabalho de simulação aqui referido, e uma lição de acompanhamento não equivale à eliminação de uma ameaça real.
5. Rede de retenção
O que faz: O simulador de phishing da Keepnet integra-se a produtos separados de simulação de SMS e chamadas de voz. As equipas têm à disposição modelos realistas, criação de cenários assistida por IA e relatórios de campanhas para testar a forma como os colaboradores respondem em mais do que um canal.
Por que se destaca: O simulador de vishing é a parte mais interessante. Este permite realizar conversas de voz bidirecionais com IA que se adaptam às respostas do colaborador, enquanto a vertente de smishing realiza exercícios controlados por SMS com feedback sobre as respostas. Esta solução é ideal para um programa que já ultrapassou a fase de testes apenas por e-mail e pretende analisar os resultados canal a canal.
O que é preciso saber: Identifique quais simuladores e quais conteúdos de formação estão efetivamente incluídos na compra. Se o que precisa é de uma conversa coordenada entre e-mail e telefone, peça para ver essa sequência exata a ser demonstrada, porque as funcionalidades separadas por canal não se traduzem automaticamente numa única campanha orquestrada. As ferramentas de resposta a incidentes constituem, mais uma vez, um âmbito à parte.
6. Formação sobre phishing da Cofense
O que faz: O Cofense Phishing Training, que alguns leitores conhecem como PhishMe, utiliza informações reais sobre phishing para moldar as suas simulações e conteúdos de sensibilização. A plataforma baseia-se na competência comprovada dos colaboradores e no seu comportamento em termos de comunicação de incidentes, bem como na identificação das áreas em que a cobertura da formação é insuficiente.
Por que se destaca: Inclui cenários de phishing por SMS, voz e códigos QR e, para programas que requerem especificamente o exercício de «e-mail para telemóvel», o serviço Callback Phishing, encomendado separadamente, encarrega-se da entrega e do acompanhamento. A Cofense também pode enviar simulações enquanto as pessoas estão a trabalhar ativamente na sua caixa de entrada, o que integra padrões de trabalho reais no calendário de um teste.
O que é preciso saber: Confirme como é fornecido cada canal de que necessita e quais os serviços que estão efetivamente incluídos no pacote. Os relatórios e a formação dos colaboradores não incluem automaticamente os serviços separados da Cofense relativos a investigação, correção ou defesa gerida; por isso, certifique-se de que estes são incluídos no âmbito do programa, caso o seu programa dependa deles.
7. IRONSCALES
O que faz: IRONSCALES O Human Risk Management combina simulações, formação de sensibilização e uma pontuação de risco por utilizador. Em conjunto com o seu plano Email Protect, reúne as práticas dos colaboradores e a defesa em tempo real da caixa de entrada numa única plataforma.
Por que se destaca: O seu Agente de Simulação de Phishing utiliza informações da Web pública para criar exercícios direcionados, e os resultados, os desfechos da formação e as mensagens comunicadas contribuem todos para a pontuação de risco de cada utilizador, com as tarefas de formação a serem atribuídas automaticamente. Isto é ideal para uma equipa que pretende que os relatórios dos colaboradores e os resultados dos exercícios impulsionem um programa contínuo de segurança de e-mail, em vez de ficarem confinados a um silo de sensibilização separado.
O que deve saber: Especifique tanto o plano de e-mail como as funcionalidades de gestão de recursos humanos (HRM) que pretende incluir na aquisição, uma vez que os prestadores de serviços geridos também oferecem HRM de forma independente. Verifique o plano e os complementos nos casos em que o seu programa de formação necessite de mais conteúdo e lembre-se de que um resultado de simulação e a remoção de uma ameaça real são aspetos distintos que devem ser avaliados separadamente.
8. Microsoft Defender for Office 365 Formação «simulação de ataques »
O que faz: A Formação « simulação de ataques » da Microsoft permite aos administradores selecionar uma técnica de ataque por e-mail e uma carga útil, escolher os destinatários, atribuir a formação e analisar os resultados no portal do Defender. As técnicas disponíveis incluem pedidos de credenciais, cenários baseados em anexos e pedidos de consentimento para aplicações.
Por que se destaca: As suas automatizações de simulação gerem campanhas recorrentes e a formação a elas associada. O verdadeiro atrativo é a proximidade. Se os exercícios por e-mail satisfazem as suas necessidades imediatas e já dispõe das licenças adequadas, executá-los num portal que a sua equipa já gere é a opção mais simples.
O que é preciso saber: O « simulação de ataques » requer o Microsoft 365 E5 ou o plano 2 do Defender para o Office 365, pelo que não está incluído em todas as subscrições da Microsoft. As caixas de correio locais têm funcionalidades de relatório reduzidas, e os conteúdos de e-mail e códigos QR não devem ser confundidos com canais de simulação de voz ou chat, que não são abrangidos por esta funcionalidade.
9. Gophish
O que faz: O Gophish é uma estrutura de código aberto para exercícios de phishing autorizados. Uma equipa gere os seus grupos de destinatários, modelos de e-mail, páginas de destino, envios agendados e eventos de campanha numa infraestrutura que ela própria gere.
Por que se destaca: O seu principal atrativo é o controlo sobre o alojamento e a configuração. Uma equipa com capacidade técnica pode realizar uma campanha de e-mail delimitada e desenvolver o seu próprio processo de aprendizagem de acompanhamento, sem que nada passe por um fornecedor. Esse mesmo controlo faz com que a infraestrutura de envio, o tratamento de dados, a elaboração de relatórios e a manutenção sejam da sua responsabilidade.
O que é preciso saber: A manutenção da segurança é o verdadeiro obstáculo. A página de lançamentos do projeto indica a versão 0.12.1 como a mais recente, e o aviso revisto do GitHub relativo ao CVE-2022-45003 assinala que as versões até à 0.12.1 estão afetadas, sem que seja mencionada qualquer versão corrigida. Resolva essa vulnerabilidade antes de proceder à implementação. Uma licença gratuita, por si só, não é motivo suficiente para escolher esta opção.
Como escolher uma ferramenta de simulação de phishing
Comece por um cenário empresarial
Escolha duas ou três decisões que os seus colaboradores tenham realmente de tomar corretamente. Verificar uma alteração na conta bancária, contestar um pedido inesperado de recuperação de conta, comunicar um convite suspeito para ligar uma ferramenta de IA. Decida qual a ação que pretende ver antes de sequer pensar num modelo ou num canal, porque é o cenário que o exercício está realmente a testar.
Adapte a automatização à capacidade da sua equipa
A criação de cenários, a seleção de destinatários, a programação, o ajuste do nível de dificuldade e a aprendizagem de acompanhamento são tarefas distintas, e uma ferramenta pode automatizar algumas delas, deixando as restantes a cargo de um administrador. Determine quais as tarefas que a sua equipa precisa de controlar manualmente e quais as que devem ser executadas automaticamente.
Torne a resposta mensurável
Verifique se os relatórios da ferramenta distinguem um clique de uma ação concluída, se os colaboradores podem comunicar algo suspeito através de uma ferramenta que já utilizam e como os resultados são comparados ao longo do tempo. Tenha em conta a dificuldade do cenário e quem o recebeu. Verifique como é que o fornecedor exclui os scanners automáticos de links dos números, para que a atividade de uma ferramenta de segurança não seja registada como sendo de responsabilidade de um colaborador.
Planear a proteção em torno do exercício
Um simulador especializado é a escolha certa quando as proteções existentes já se revelam eficazes. Uma plataforma mais abrangente faz mais sentido quando a mesma equipa também tem de lidar com ameaças à caixa de entrada, dispositivos dos colaboradores e a utilização de IA.
Incorporar práticas realistas num programa que proteja toda a força de trabalho
Um bom exercício de phishing termina com o colaborador a saber exatamente o que fazer a seguir. Ligue de volta ao fornecedor para um número em que confiava antes de receber o pedido. Verifique o pedido inesperado através de um segundo canal. Comunique a mensagem antes de agir de acordo com ela. A lição tem de ser assim tão específica, caso contrário, a prática não se aplica no momento em que é realmente importante.
A Noon integra essa prática na proteção técnica pela qual a mesma equipa de segurança já é responsável, pelo que o discernimento dos colaboradores e os controlos relativos às caixas de entrada, aos dispositivos e à utilização da IA são planeados em conjunto, em vez de serem adquiridos de forma fragmentada. Marque uma demonstração da Noon para ver as simulações personalizadas, a formação que os colaboradores recebem após um deslize e a proteção mais abrangente da força de trabalho, tudo num único local.
