Para quem se importa em saber e ler: Realizei uma simulação de phishing para um cliente no mês passado. E-mail simples. Nada sofisticado. “Sua conta será suspensa em 24 horas. Clique aqui para verificar.” 40% da equipe clicou nele. Quando me sentei com a equipe depois, uma pessoa disse algo que me marcou: Ele disse: “Parecia exatamente como os reais que recebemos toda semana.” Esse é o problema real. Não é que as pessoas sejam descuidadas. É que os atacantes se tornaram bons em parecer legítimos, e a maioria dos treinamentos de conscientização em segurança ainda ensina as pessoas a identificar fraudes óbvias. Reestruturamos o treinamento com base nisso. Menos exercícios de “identifique o erro gramatical”. Agora, mais focados em: “aqui está como uma tentativa genuinamente convincente parece, e aqui está a única coisa que ainda a revela.” Segunda simulação, realizada quatro semanas depois: 12%. Esse é o número que importa. Não se as pessoas caíram na armadilha uma vez. Mas se o treinamento realmente mudou o comportamento. Simulações de phishing não devem ser chatas, porque os atacantes não são, acredite em mim.