As 17 melhores ferramentas de software para simulação de phishing (2026): comparação entre plataformas gratuitas, de código aberto e completas

O software de simulação de phishing permite que você envie e-mails de phishing realistas, mas inofensivos, aos seus próprios funcionários, para que eles aprendam a identificar ataques reais antes que algum deles cause prejuízo à sua empresa. Comparamos 17 ferramentas quanto ao realismo, aos relatórios, à facilidade de configuração e ao que os usuários reais dizem sobre elas. O Guardey lidera a lista. Abaixo, você verá em que pontos cada uma das outras 16 ferramentas apresenta deficiências e para quem elas ainda podem ser adequadas.

Estima-se que 3,4 bilhões de e-mails de phishing sejam enviados todos os dias, e a maioria das violações bem-sucedidas ainda começa com um funcionário clicando no link errado. A tecnologia filtra grande parte deles, mas a última linha de defesa é o ser humano. Este guia ajuda você a escolher a ferramenta de simulação que realmente muda o comportamento, e não apenas cumpre uma exigência de conformidade.

Em resumo

• Como funciona: o software de simulação de phishing envia e-mails de phishing realistas, mas inofensivos, aos seus próprios funcionários e mostra quem clica, quem denuncia e quem precisa de treinamento.
• Nossa escolha: Guardey. Simulações e treinamento gamificado semanal em uma única plataforma, configurada em poucos minutos, com relatórios que atendem às exigências das auditorias NIS2, ISO 27001 e LGPD.
• O que comparar: o grau de realismo dos modelos, o que acontece depois que alguém clica, como são os relatórios para o seu auditor e quanto tempo leva para configurar. Comparamos todas as 17 ferramentas exatamente com base nesses pontos abaixo.
• Não constam nesta lista: o KnowBe4, o SoSafe e o Awaretrain são conjuntos completos de soluções de conscientização, e não ferramentas dedicadas à simulação. Abordamos esses produtos separadamente mais adiante.

Comparação entre todas as 17 ferramentas de simulação de phishing

Deixamos deliberadamente de incluir os preços na tabela: a maioria dos fornecedores define os preços com base no número de usuários, e os preços divulgados publicamente mudam com frequência. Nos casos em que um fornecedor divulga seus preços, incluímos um link para eles na seção correspondente abaixo.

As 17 melhores ferramentas de software de simulação de phishing :

1. Guardey
2. Sophos Ameaça de Phishing
3. Gophish
4. Treinamento de simulação de ataque da Microsoft
5. Hoxhunt
6. Cofense PhishMe
7. Infosec IQ
8. Seguro
9. Guru cibernético
10. Caixa de phishing
11. uPhish (por Usecure)
12. Wizer
13. Barracuda
14. Lobo do Ártico
15. Phishing
16. Proofpoint
17. Segurança Fortra Terranova

Plataformas completas de simulação e treinamento em phishing

Plataformas que combinam simulações realistas com treinamento e relatórios prontos para auditoria. Essa é a categoria em que a maioria das organizações acaba se enquadrando.

1. Guardey

A Guardey oferece uma combinação de security awareness e phishing

Você pode configurar facilmente uma simulação dephishing em questão de minutos:

1. Escolha um modelo de phishing na biblioteca
2. Decidir para quais funcionários ela deve ser enviada e quando
3. Coloque seu domínio na lista de permissões
4. Iniciar o envio

Em um painel em tempo real, você pode acompanhar de perto estatísticas importantes, como quantos e-mails foram enviados e quantas vezes um e-mail foi aberto, um link foi clicado e dados foram enviados. Os relatórios são elaborados para auditorias: eles atendem às normas NIS2, ISO 27001, LGPD e à maioria das outras estruturas, de modo que você pode entregá-los diretamente ao seu auditor ou ao conselho administrativo.

O que diferencia o Guardey das alternativas é que ele também oferece treinamento security awareness gamificado. Os funcionários participam de desafios semanais, nos quais aprendem sobre todos os tipos de ameaças phishing e uma grande variedade de outros riscos de segurança. Em uma tabela de classificação, eles podem competir entre si, o que comprovadamente aumenta o envolvimento. Os usuários podem marcar pontos se tiverem um bom desempenho durante o treinamento e se denunciarem phishing (simulações).

Guardey acredita que a melhor maneira de criar conscientização phishing é treinando semanalmente e realizando regularmente uma simulação de phishing para testar a eficácia do treinamento.

Prós

• Plataforma fácil de usar (configure uma campanha em questão de minutos)
• Gamificação para motivar os usuários
• As tabelas de classificação recompensam tanto o desempenho nos treinamentos quanto a denúncia de e-mails de phishing, de modo que a denúncia se torna um hábito
• Aplicativo móvel para iOS e Android
• Teste gratuito disponível

Contras

• A plataforma de treinamento não usa conteúdo de vídeo, o que pode ser uma desvantagem para algumas organizações

Revisão

"Os resultados phishing deixaram claro que havia trabalho a ser feito para melhorar a conscientização phishing . Se fizermos com que nosso pessoal reconheça e relate mais incidentes phishing , poderemos agir e reduzir os danos ao mínimo. De agora em diante, queremos realizar uma simulação de phishing duas vezes por ano com o Guardey, para ver se isso melhora." - Fonte

2. Hoxhunt

A Hoxhunt oferece o que chama de plataforma de gerenciamento de risco humano. Ela não oferece uma avaliação gratuita, portanto, será necessário entrar em contato com o departamento de vendas para entender melhor como ela funciona.

Mas, resumidamente, é assim que funciona:

• Você configura simulações de phishing
• Com base na forma como seus funcionários interagem com essas simulações, eles recebem material de treinamento atribuído
• Os usuários podem marcar pontos por terem um bom desempenho durante o treinamento e por reconhecerem e denunciarem phishing

O Hoxhunt oferece uma solução excelente e completa para phishing, mas é considerado por muitos como caro e adequado principalmente para organizações empresariais.

Prós

• Gamificação
• Painel de controle fácil de usar para administradores

Contras

• Sem teste gratuito
• Principalmente focado em organizações empresariais
• Alguns modelos phishing são fáceis de reconhecer como falsos

Revisão

"A ideia de e-mails que parecem reais é ótima. Acho que isso ajuda as pessoas a perceberem como é simples atrair alguém para clicar em um link ou abrir um anexo. É fácil navegar no painel, e a pontuação entre outros dentro da empresa é interessante. A interatividade no painel é excelente e convida a mais preenchimentos. Os e-mails, no entanto, são muito fáceis e podem ser identificados à primeira vista como pertencentes a um Hoxhunt. Quando se inscreve no modo picante, esses e-mails também não são muito sofisticados." - G2

3. Phishing

O Phished (tirando o chapéu pela escolha inteligente do nome da marca) também oferece uma combinação de treinamento e simulações de phishing.

Com o Phished, você pode automatizar todo o processo de envio de simulações phishing , liberando tempo da sua equipe de TI. O conteúdo é adaptado ao local de sua organização, ao contexto da empresa e aos eventos atuais. Você também pode personalizar o conteúdo para os indivíduos, para garantir que eles sejam testados da maneira que fizer mais sentido. É difícil dizer se o nível de automação é realmente bom. Não há uma avaliação gratuita do produto disponível.

Prós

• Campanhas phishing totalmente automatizadas
• Campanhas personalizadas para indivíduos

Contras

• Não há preços transparentes no site
• Sem teste gratuito

Revisão

"O Phished permite a configuração e o gerenciamento sem esforço de e-mails de simulação de phishing . A documentação do painel de controle é muito limitada. O painel é extenso, mas a lógica de como ele é estruturado nem sempre é clara (aposto que é para os desenvolvedores)." - G2

4. Infosec IQ

A Infosec IQ oferece treinamento de conscientização personalizado com base no perfil de risco específico de cada funcionário. Ela faz isso de maneira semelhante à Hoxhunt:

1. Enviar simulações phishing
2. Analise automaticamente como o usuário reage
3. Atribuir treinamento com base no desempenho

Muitos avaliadores estão entusiasmados com a plataforma, mas mencionam que os recursos de relatório poderiam ser aprimorados.

Prós

• Campanhas fáceis de configurar
• Treinamento baseado no perfil de risco individual

Contras

• A funcionalidade de relatórios poderia ser aprimorada
• Sem teste gratuito

Revisão

"A interface da ferramenta continua evoluindo constantemente para torná-la melhor para seus clientes. Tenho trabalhado com a ferramenta há um ano e vejo muitas melhorias na interface do usuário. Os relatórios e as métricas podem ser melhores. Às vezes, é difícil descobrir as métricas manualmente. Além disso, deveria haver uma maneira de remover automaticamente as contas obsoletas." - G2

5. Safetitan

Criar uma campanha phishing no Safetitan é simples. Você pode configurar campanhas contínuas para simulações que nunca terminam. Assim como em outras soluções, as sessões de treinamento são acionadas com base em como os usuários interagem com os e-mails phishing que estão sendo enviados.

Prós

• Configuração simples
• Use modelos de e-mails phishing e conteúdo de treinamento
• Um relatório automatizado é enviado todos os meses

Contras

• Sem teste gratuito
• O painel de administração poderia ser aprimorado

Revisão

"A abordagem automatizada do SafeTitan para treinar o modelo dos funcionários com base em comportamentos específicos é um recurso eficaz. Isso significa que eu não preciso configurar sozinho o treinamento geral security awareness para toda a equipe." - G2

6. Gênio da Cibernética

O Cyber Guru é uma plataforma com sede na Itália que oferece um programa de treinamento e simulações phishing . Veja como eles organizaram isso:

1. Treinamento de conscientização: um programa baseado em e-learning
2. Treinamento de canais: uma série de vídeos
3. Treinamento de Phishing : treinamento phishing adaptável (incluindo simulações)

Se um usuário "falhar" em uma simulação, ele terá que fazer uma micro sessão de treinamento. Essa sessão é especificamente adaptada ao e-mail phishing no qual o usuário acabou de clicar. Muitos especialistas desaconselham isso, pois essa forma de treinamento pode ser facilmente percebida como uma punição.

Prós

• Plataforma completa com treinamento e simulações
• Inclui conteúdo de vídeo (mesmo que esses vídeos sejam um pouco longos, algumas organizações preferem isso)

Contras

• Não há teste gratuito disponível
• As sessões de treinamento após a falha em uma simulação de phishing podem parecer uma punição
• A plataforma não usa gamificação para motivar os usuários

Revisão

"Experimentamos apenas o recurso phishing ; experiência de treinamento no trabalho sem que os usuários precisem fazer cursos, simples de implementar e fácil de entender. Os resultados são visíveis ao longo do tempo, mas há necessidade de incentivos da empresa." - Gartner

7. Fortra Terranova Security

A Fortra Terranova oferece uma ampla gama de soluções de segurança. Isso significa que security awareness (e simulações de phishing ) não é necessariamente o foco da empresa, mas ela a oferece como um produto.

Eles oferecem uma combinação de conteúdo gamificado para tornar a experiência de treinamento envolvente, ao mesmo tempo em que misturam "simulações phishing do mundo real", o que deve significar que os modelos devem ser muito convincentes.

Prós

• Pode ser interessante para organizações que buscam um produto completo
• Oferece treinamento e simulações phishing
• Teste gratuito

Contras

• Não há preços transparentes
• Sem foco apenas na security awareness

Revisão

"Estou usando principalmente a funcionalidade de simulação e estou bastante satisfeito com isso. Gosto da maneira como a simulação é construída, usando uma abordagem passo a passo visualizada com guias. Isso ajuda a entender exatamente o que falta para concluir. A interface é fácil de usar. Não gosto do fato de não haver uma maneira fácil de copiar e reutilizar um modelo existente que eu tenha criado. Basicamente, tenho de copiar e colar modelos de e-mail e feedback, o que é desnecessário. Também há um tipo de erro relacionado às configurações de e-mail e à possibilidade de testar o envio de e-mails. Não está claro exatamente como a funcionalidade de teste funciona." - G2

Ferramentas gratuitas e de código aberto para simulação de phishing

Três opções viáveis caso o orçamento seja uma limitação. O que você deixa de ter em comparação com uma plataforma completa está explicado abaixo da lista.

8. Gophish

O GoPhish é uma estrutura phishing de código aberto que permite que você copie e-mails existentes para usar em campanhas phishing . Os links são substituídos automaticamente e os valores de entrada são registrados, para que você possa ver exatamente quem clicou e preencheu dados valiosos.

A configuração do GoPhish requer alguma habilidade técnica. Você pode usar o guia de instalação no Github ou usar outra plataforma para fazê-lo funcionar. Mas, uma vez que funcione, é uma ferramenta poderosa para configurar suas próprias campanhas phishing personalizadas.

Prós

• Uso gratuito
• Código aberto
• Use facilmente os e-mails existentes

Contras

• Requer conhecimento técnico
• Não é fornecido com um módulo de treinamento

Revisão

"Nós configuramos nosso próprio servidor GoPhish usando uma instância do AWS, e foi necessário um pouco de trabalho para fazê-lo funcionar. Uma das partes mais difíceis foi fazer com que o Gmail não sinalizasse automaticamente os e-mails de teste como phishing e derrotasse toda a parte de testar nossos usuários." - Reddit

9. Wizer

O Wizer é uma plataforma que oferece simulações de " phishinginteligente". Eles têm uma biblioteca de modelos que é organizada por datas do calendário. Durante as férias, você verá modelos relacionados a férias e, no final de janeiro, verá um modelo de "Impostos de fim de ano". Isso facilita a localização de modelos que sejam relevantes para sua organização no momento.

Você pode decidir facilmente para quem deseja que os e-mails phishing sejam enviados:

• Todos os usuários
• Departamentos
• Ou usuários específicos

O Wizer tem uma interface de boa aparência e é fácil de gerenciar para os administradores.

Prós

• Modelos phishing relevantes fáceis de encontrar
• Fácil de manter para os administradores

Contras

• Sem teste gratuito
• Os vídeos no conteúdo do treinamento podem ser um pouco longos

Revisão

"O Wizer é muito mais fácil de configurar e gerenciar do que nossa plataforma anterior. Os treinamentos são vídeos de tamanho reduzido que cobrem bem o tópico, sem se alongar. Nosso provedor de treinamento anterior ofereceu mais ferramentas e relatórios, mas isso também tornou o console de administração mais confuso e difícil de navegar." - G2

10. Treinamento de simulação de ataques da Microsoft

O Outlook da Microsoft é o cliente de e-mail mais usado que existe, portanto, é justo que eles tenham criado seu próprio simulador de phishing . Eles o chamam de Attack Simulation Training, que faz parte do produto Microsoft Defender.

O treinamento de simulação de ataque permite que você escolha entre algumas técnicas diferentes de engenharia social:

• Colheita de credenciais
• Anexo de malware
• Link em anexo
• Link para malware
• URL de passagem

No painel de relatórios do produto, é possível ver quantos usuários passaram por uma simulação, quantos concluíram o treinamento após falharem em um teste phishing e até mesmo quantos "infratores" reincidentes estão ativos em sua organização.

Prós

• Parte do ecossistema do Microsoft 365
• Boa reportagem
• Várias técnicas de engenharia social para escolher

Contras

• Os usuários mencionam que o produto de treinamento não está à altura
• Os usuários mencionam que o produto é caro em comparação com outras alternativas

Revisão

"Os módulos de treinamento parecem sólidos, definitivamente não são tantos quanto o KnowBe4 ou outros, mas o que eles têm parece adequado. Mais caro do que a concorrência, pelo menos se a avaliação for estritamente para testes de phishing e treinamento em infosec." - Reddit

Ferramentas que priorizam a simulação

Ferramentas que realizam bem a simulação de phishing, mas deixam a parte do treinamento a cargo de você.

11. Phishingbox

O Phishingbox pode não vir com um teste gratuito, mas ainda assim não tem medo de mostrar sua plataforma. No vídeo acima, você pode ter uma ideia clara do que é possível fazer com a plataforma.

Para configurar uma simulação no Phishingbox, você pode escolher entre uma ampla variedade de modelos phishing em sua biblioteca. Os e-mails preenchem algumas variáveis, de modo que são personalizados para cada usuário individual.

O Phishingbox oferece muito espaço para personalização. Por exemplo, você pode decidir quais ações na página de destino são rastreadas (preenchimento de dados, clique em um botão de login e assim por diante).

Quando o usuário "falha" em uma simulação phishing , ele é encaminhado para uma sessão de treinamento. Novamente, essa é uma prática frequentemente desaconselhada pelos educadores, pois pode ser vista como uma punição.

Prós

• Ampla biblioteca de modelos
• Muito espaço para personalizar as campanhas

Contras

• A interface do usuário parece um pouco desatualizada
• As sessões de treinamento após "falhar" em uma simulação podem parecer uma punição

Revisão

"Experiência direta com o produto - mais do que suficiente para realizar o trabalho das PMEs. Diga o que quiser sobre a eficácia das campanhas Phishing , mas, em muitos casos, elas são necessárias para o seguro cibernético e similares. A interface do usuário pode ser um pouco confusa, principalmente em relação ao agendamento de campanhas, mas certamente é viável e espero que continue a melhorar à medida que o produto amadurece." - G2

12. uPhish (da usecure)

A usecure é uma conhecida plataforma de treinamento de security awareness com um produto especial para phishing: o uPhish. Com o uPhish, você pode configurar simulações de phishing e rastrear quando as pessoas abriram um e-mail, acessaram o link dentro dele e quando seus dados foram comprometidos. Também é possível rastrear se o usuário relatou o incidente, o que lhe dá uma visão geral completa das suas vulnerabilidades atuais.

A interface do usuário do uPhish é limpa e fácil de trabalhar. Você pode selecionar entre uma ampla variedade de modelos phishing , incluindo páginas de destino, anexos e uma combinação dos dois.

Prós

• Ampla biblioteca de modelos
• Plataforma fácil de usar
• Interface de usuário limpa

Contras

• Não há teste gratuito disponível
• O processo de personalização pode ser um pouco demorado

Revisão

"A plataforma é muito amigável e fácil de navegar. O tempo de carregamento também tem sido rápido para mim. Os exercícios de treinamento de nível inferior são, às vezes, de nível muito baixo, e ainda poderia haver mais informações incluídas." - G2

13. Sophos Phish Threat

A Sophos oferece uma combinação de simulações de phishing e treinamento de security awareness em uma única plataforma. A plataforma oferece uma avaliação gratuita, então nos inscrevemos e demos uma olhada por conta própria.

Você pode configurar uma campanha usando um dos 500 modelos phishing da biblioteca da Sophos. Há uma grande variedade de tópicos disponíveis, como um e-mail que contém um serviço de engajamento de funcionários e um e-mail sobre novas regras de estacionamento. Gostamos dessa especificidade. Você também pode personalizar esses modelos para que eles atendam às suas necessidades.

Além das simulações phishing , a plataforma permite que você treine os funcionários no reconhecimento de phishing. Ela está disponível em 10 idiomas e vem com alguns vídeos animados, como você pode ver no vídeo acima.

Prós

• Vem com uma avaliação gratuita para que você possa experimentar antes de comprar
• Combinação de simulações e treinamento
• Ampla variedade de modelos
• Oferece um botão de relatório no Outlook

Contras

• O treinamento é um pouco unidimensional (concentra-se apenas em phishing)
• O conteúdo do vídeo parece longo e desatualizado

Revisão

"A facilidade de configuração de campanhas de conscientização phishing , o botão "Denunciar mensagem" integrado ao Outlook e os relatórios são os pontos fortes do produto. Aparentemente, devido a alguns desafios legais da Microsoft, a Sophos removeu todas as suas campanhas projetadas para se parecerem com ataques phishing e coleta de credenciais da Microsoft. Isso é lamentável, pois muitos ataques reais imitam uma experiência de autenticação de usuário da Microsoft e são muito eficazes em enganar as pessoas para que forneçam seus nomes de usuário e senhas." - G2

Pacotes empresariais e serviços gerenciados

Simulação de phishing como um módulo dentro de uma estrutura de segurança mais ampla ou totalmente terceirizada.

14. Proofpoint

O produto security awareness da Proofpoint se concentra principalmente na identificação de indivíduos de alto risco nas organizações. Isso é feito por meio da avaliação de funções, vulnerabilidades, risco de ataque e privilégios comerciais.

Eles medem o risco humano com base nos seguintes aspectos:

• Escolhas comportamentais
• Contexto da ameaça
• Funções e privilégios de negócios
• Habilidades e atitudes culturais
• Simulações Phishing baseadas em ataques reais

A plataforma não vem com uma avaliação gratuita e o preço não é comunicado de forma transparente no site. Para ver o produto em ação, você terá que entrar em contato com o departamento de vendas.

Prós

• Mostra o risco humano em um nível individual
• Também oferece simulações de SMS (smishing)

Contras

• Principalmente focado em organizações empresariais
• Não há preços transparentes
• Sem teste gratuito

Revisão

"Do ponto de vista do administrador, foi projetado para "marcar uma caixa" de conformidade, em vez de realmente educar a sua base de usuários. O produto é desajeitado e mal integrado ao restante da plataforma/serviços da Proofpoint." - G2

15. Cofense PhishMe

O produto phishing da Cofense é chamado PhishMe. Uma citação de seu vídeo: o programa de simulação phishing que transforma a caça em caçador. E com isso, eles querem dizer que seus funcionários estarão caçando e-mails phishing . Agradecemos a inteligência.

A plataforma oferece uma combinação de três pilares:

• Treinamento de Security awareness : uma combinação de simulações e treinamento corretivo
• Denúncia de e-mail malicioso: a capacidade de denunciar um e-mail a partir do seu cliente de e-mail
• Validação de risco: a capacidade de obter insights sobre o perfil de risco de cada funcionário

Prós

• Produto completo com simulações e treinamento
• Relatórios detalhados sobre o desempenho individual
• Um roteirista de vídeo espirituoso 😉

Contras

• Requer manutenção contínua
• Os usuários ficam cansados após as simulações repetitivas
• A administração das iniciativas de treinamento costuma ser considerada demorada e consumidora de recursos pelos usuários

Revisão

"O recurso mais vantajoso do Cofense PhishMe é sua capacidade de aprimorar a segurança cibernética de forma proativa. Ele consegue isso por meio de simulações phishing realistas e personalizáveis que capacitam os usuários a identificar e combater as ameaças phishing com eficiência. As desvantagens do Cofense PhishMe podem incluir a necessidade de manutenção contínua, o possível cansaço do usuário devido a simulações repetitivas de phishing e a tarefa de administração de iniciativas de treinamento com uso intensivo de recursos." - G2

16. Barracuda

O Barracuda é conhecido por ser um produto de segurança de e-mail, que impede que um grande número de e-mails phishing chegue à sua caixa de entrada. No entanto, eles também criaram um produto security awareness para complementar esse produto.

Com esse produto, você pode simular ameaças de e-mail, analisar o comportamento do usuário e escolher entre uma grande variedade de conteúdo de treinamento para permitir que os usuários reconheçam o phishing à distância.

Prós

• Opção interessante se você também estiver procurando uma solução técnica de bloqueio de phishing
• Grande variedade de modelos phishing

Contras

• A configuração de módulos de treinamento pode consumir muito tempo
• Alguns usuários mencionam que ele não é tão fácil de usar

Revisão

"Acredito que, no ambiente atual, a proteção contra phishing e spam é mais importante do que qualquer proteção de endpoint. Os usuários são o elo mais fraco na cyber security e na proteção de qualquer organização. O Barracuda SAT preenche a função de treinamento e conscientização do usuário final sobre o que procurar. Pode ser difícil de gerenciar e, sem a adesão do executivo para forçar a conformidade, pode ser uma perda de tempo. Existem outros produtos que são mais fáceis de usar e gerenciar." - G2

17. Lobo do Ártico

A Arctic Wolf é semelhante à Barracuda, pois oferece uma ampla plataforma de segurança. Security awareness não é seu foco principal, mas ela a oferece como um produto.

O produto security awareness , que eles chamam de "Managed Security Awareness", combina uma plataforma de treinamento e um simulador de phishing .

A plataforma de treinamento oferece microaulas curtas que não tomam muito tempo do funcionário. Todos os meses, novos conteúdos são adicionados à plataforma, incluindo o chamado "treinamento de resposta rápida" sobre ameaças emergentes.

Se um usuário "falhar" em uma das simulações phishing , ele será enviado para uma sessão de microtreinamento. Lá, ele aprende sobre a importância de denunciar um e-mail phishing na próxima vez. Como já dissemos antes, essa tática é favorecida por alguns, mas tem a oposição de muitos educadores por parecer uma punição.

Prós

• Uma solução combinada de treinamento e simulação de phishing
• Interessante se você estiver procurando uma solução de segurança tudo-em-um

Contras

• Sem teste gratuito
• Não há preços transparentes no site

Revisão

"O treinamento security awareness é curto, direto ao ponto, mas eficaz. Os treinamentos levaram a discussões sobre o conteúdo e a relevância para a nossa organização, bem como sobre algumas das partes mais divertidas. Todos os treinamentos com o representante e o treinamento sobre fadiga de MFA foram os favoritos dos fãs." - Gartner

E quanto ao KnowBe4, ao SoSafe e ao Awaretrain?

Você talvez note que alguns nomes conhecidos não constam nesta lista. Plataformas como KnowBe4, SoSafe e Awaretrain também oferecem simulações de phishing, mas como parte de pacotes mais amplos de conscientização em segurança, e não como ferramentas dedicadas à simulação. Analisamos o que o KnowBe4 oferece e quais são suas limitações, e comparamos separadamente as melhores alternativas ao KnowBe4 e as melhores alternativas ao Awaretrain.

Ferramentas gratuitas de simulação de phishing: o que você ganha e o que não ganha

Se o orçamento for o problema, você tem três opções viáveis e gratuitas:

• Gophish (código aberto). Gratuito, auto-hospedado, com controle total sobre modelos e páginas de destino. Você precisa de um servidor, um domínio de envio com SPF/DKIM corretos e alguém para fazer a manutenção. Não há conteúdo de treinamento, nem relatórios de conformidade, e você é responsável pelo cumprimento do GDPR (os dados de cliques são dados pessoais).
• Treinamento de simulação de ataques da Microsoft. Incluído caso você já tenha assinatura do Defender para Office 365 Plano 2 ou do Microsoft 365 E5. Bons modelos, treinamento básico e relatórios no Centro de Administração da Microsoft. Não é gratuito para usuários do Business Standard ou do E3.
• Planos gratuitos e períodos de teste. O Wizer oferece um plano gratuito com simulações limitadas; o Guardey oferece um período de teste de 14 dias com simulações e treinamento incluídos, o que é suficiente para realizar uma campanha inicial para toda a sua equipe.

O que as ferramentas gratuitas não oferecem: treinamento de acompanhamento automatizado para as pessoas que clicaram, acompanhamento do progresso de cada funcionário ao longo do tempo e um relatório aceitável por um auditor. Se a NIS2 ou a ISO 27001 se aplicam ao seu caso, esse relatório é a razão pela qual você realiza simulações, em primeiro lugar.

Como realizar seu próprio teste de phishing em 5 etapas

1. Defina a meta e informe a direção. A meta serve como referência (quantos cliques, quantos relatórios), não para flagrar as pessoas. Informe primeiro o RH e o comitê de empresa; em vários países da UE, isso é obrigatório.
2. Escolha um cenário realista. A entrega de um pacote, um documento compartilhado, uma atualização da política de RH. Evite temas que causem irritação (bônus, demissões); eles geram reações negativas, e não aprendizado.
3. Adicione o domínio remetente à lista de permissões. Adicione os endereços IP ou o domínio de envio da ferramenta de simulação ao seu filtro de e-mail; caso contrário, o teste avaliará o seu filtro de spam em vez de avaliar seus funcionários.
4. Envie em lotes e avalie dois indicadores: a taxa de cliques e a taxa de respostas. A taxa de respostas é a que importa: uma empresa em que 5% clicam, mas 60% respondem, é mais segura do que uma em que 2% clicam e ninguém responde.
5. Faça o acompanhamento em questão de minutos, sem humilhar ninguém. Quem clicar será direcionado a uma breve explicação, não a uma repreensão. Divulgue o resultado da equipe, nunca nomes individuais. Em seguida, repita o processo.

Se você preferir não criar isso por conta própria, as simulações de phishing da Guardey executam essas cinco etapas automaticamente, incluindo o treinamento de acompanhamento.

Com que frequência você deve enviar simulações de phishing?

A primeira simulação geralmente apresenta uma taxa de cliques em torno de 30%; a maioria das organizações chega a menos de 5% após um ano de testes regulares. “Regulares” significa:

• Mensalmente para a organização como um todo, em dias e horários aleatórios. Trimestralmente é muito raro para mudar o comportamento; semanalmente causa cansaço e reclamações.
• Dificuldade variada. Alterne entre cenários fáceis, médios e direcionados (spear-phishing); caso contrário, os funcionários aprenderão a identificar seu modelo em vez de reconhecer o phishing.
• Sessões adicionais para funções de alto risco. Os setores de Finanças, RH, assistentes executivos e TI recebem simulações específicas a cada quatro a seis semanas.
• Combine com treinamento. As simulações medem, mas não ensinam. As organizações que conseguem reduzir as taxas de cliques mais rapidamente combinam simulações mensais com treinamentos semanais curtos.

Qual software de simulação de phishing você deve escolher?

A maioria das ferramentas acima faz bem uma coisa: envia um e-mail falso e informa quem clicou. Isso é útil uma vez. Mas não muda quem vai clicar na próxima vez. Escolha o Guardey se quiser a simulação e o treinamento em um só lugar:

• Você quer que o comportamento mude, não apenas a taxa de cliques. Cada clique é seguido por um breve momento de treinamento, e os desafios gamificados semanais mantêm a lição viva entre as simulações.
• Vocês não têm uma equipe de segurança dedicada. A primeira simulação será realizada em menos de uma hora. Sem projeto, sem consultor, sem prazo de preparação.
• Você já utiliza o Microsoft 365 ou outra solução de segurança. O Guardey funciona em conjunto com essas ferramentas e abrange o aspecto humano que elas deixam de lado.
• Você precisa apresentar esses relatórios a um auditor. Eles atendem aos requisitos da NIS2, da ISO 27001, do LGPD e da maioria das outras estruturas.
• Você quer ver isso primeiro. Agende uma demonstração e vamos te mostrar a simulação e o treinamento em 45 minutos.

Perguntas frequentes

O que é um software de simulação de phishing?

Software que envia e-mails de phishing realistas, porém inofensivos (e, às vezes, SMS, mensagens de voz ou códigos QR) aos seus próprios funcionários, registra quem clica, insere dados ou denuncia a mensagem e oferece treinamento de acompanhamento.

A simulação de phishing é legal nos termos do GDPR?

Sim, caso haja um interesse legítimo (segurança), informe aos funcionários que as simulações fazem parte do programa de segurança, limite os dados que você mantém e nunca utilize os resultados para tomar medidas disciplinares. Envolva o comitê de trabalhadores quando necessário (Alemanha, Holanda, Bélgica).

Qual é uma boa taxa de cliques em links de phishing?

Um índice inferior a 5%, com uma taxa de relato acima de 50%, indica uma organização saudável. A primeira simulação em uma organização sem treinamento geralmente fica entre 20% e 35%.

Software de simulação de phishing x ferramenta de simulação de phishing: existe alguma diferença?

Na prática, não. O termo “ferramenta” é usado mais para produtos destinados exclusivamente à simulação (Gophish, PhishingBox); já “software” ou “plataforma” são usados para produtos que incluem treinamento e geração de relatórios.