Campanha de phishing

O trabalho tem cinco etapas. Na reunião inicial são solicitados os dados dos alvos, com nome, e-mail e cargo, amostras de e-mails internos da empresa, e são acertados os procedimentos técnicos necessários. Em seguida a BrownPipe faz um levantamento de informações sobre os alvos e sobre as relações da empresa com entidades externas. Com isso são construídas as campanhas, parte genéricas e parte customizadas, e feito o envio. Ao final, um relatório detalhado é entregue e apresentado em reunião específica. No programa completo, ou quando o workshop é contratado à parte, há ainda uma sessão de conscientização com a equipe.

Porque uma simulação convincente precisa parecer com o que aquela empresa realmente recebe. As amostras mostram como são os comunicados internos, que tom é usado, que assuntos circulam e como as mensagens legítimas se parecem. Sem isso, a campanha vira um e-mail genérico de fraude, que mede pouco porque é fácil demais de identificar.

Sim, e é o que diferencia uma simulação real de um disparo padronizado. A partir dos dados fornecidos pela empresa, fazemos levantamento sobre os alvos e sobre as relações da organização com fornecedores, parceiros e outras entidades externas. É o mesmo tipo de pesquisa que um atacante faria antes de montar uma fraude direcionada, e é justamente por isso que reproduz a ameaça real.

Não. Cada trabalho combina campanhas genéricas com campanhas customizadas, construídas a partir do levantamento. A criação também considera os eventos sazonais do período do contrato, como datas de grande volume de compras e fim de ano, e o contexto interno da empresa, como eventos e ações de comunicação em andamento. É exatamente nesses momentos que a fraude real aumenta, e é quando a simulação mede melhor.

Depende do objetivo. Uma campanha isolada dá uma fotografia do momento e serve para diagnóstico inicial. Mudança de comportamento exige repetição ao longo do tempo, e é por isso que o programa completo prevê oito campanhas. Na contratação avulsa, a empresa define quantas quer executar.

Na contratação avulsa, a empresa define o número de campanhas e o público de cada uma, e o workshop é contratado separadamente se desejado. O programa completo inclui oito campanhas e o workshop, com mapeamento detalhado do público e campanhas específicas para diferentes segmentos da organização, podendo chegar a abordagens individuais. Nessa modalidade, quando a equipe identifica oportunidades adicionais ao longo do trabalho, campanhas extras são executadas sem custo adicional.

Sim. O público pode ser toda a organização, áreas específicas como recursos humanos ou tecnologia, ou grupos menores como diretoria e gestores. No programa completo, o mapeamento permite descer até abordagens individuais quando faz sentido. A definição do público faz parte da contratação.

De 20 dias, para a contratação de uma única campanha, até 60 dias, para mais de quatro campanhas ou para o programa completo. O prazo cobre todas as etapas, do levantamento inicial à apresentação do relatório, e não apenas o envio das mensagens.

Sim, e isso é requisito, não opção. O objetivo do serviço é testar o comportamento das pessoas, não a eficácia das ferramentas de bloqueio. Se o filtro barra a mensagem antes de ela chegar, não há o que medir sobre a reação da equipe. A empresa recebe os domínios e endereços IP a liberar e faz a configuração antes do início.

Colaboradores com vínculo direto com a empresa contratante. Terceirizados, prestadores e pessoal de empresas parceiras ficam fora do escopo, porque testar alguém que não tem vínculo com quem contratou envolve uma relação que não é da contratante.

Um relatório detalhado com as campanhas executadas e os resultados obtidos, apresentado em reunião específica para esse fim. A apresentação existe porque relatório enviado por e-mail costuma ser lido pela metade, e a discussão dos resultados com quem decide é onde o trabalho vira ação.

É uma sessão on-line e ao vivo, de até duas horas, com a equipe indicada pela empresa, que pode ser a totalidade dos colaboradores. Nele as campanhas executadas são detalhadas, explicando o objetivo de cada uma e ensinando como identificar e evitar tentativas semelhantes. A sessão é gravada e a gravação fica disponível para quem não pôde participar. Está incluído no programa completo e pode ser contratado à parte na modalidade avulsa.

Porque a equipe acabou de passar por elas. Mostrar o e-mail que circulou naquela empresa, com os nomes e o contexto daquela empresa, e discutir por que ele funcionou, tem efeito diferente de apresentar um exemplo abstrato de fraude. O workshop acontece depois das campanhas justamente por isso.

Punição é decisão da organização e envolve política interna e áreas que não são a nossa. O que afirmamos tecnicamente é que o objetivo do trabalho é diagnóstico, e que o resultado serve para orientar o treinamento seguinte. Quem clica em uma campanha construída com pesquisa sobre a empresa não foi descuidado; reagiu a uma mensagem desenhada para ser convincente. Programas que punem tendem a reduzir a disposição das pessoas de relatar um phishing real, que é o comportamento que mais interessa preservar.