As 17 melhores ferramentas de software de simulação de phishing (2026): comparação entre plataformas gratuitas, de código aberto e completas

O software de simulação de phishing permite-te enviar e-mails de phishing realistas, mas inofensivos, aos teus próprios colaboradores, para que eles aprendam a identificar ataques reais antes que algum deles te custe caro. Comparámos 17 ferramentas em termos de realismo, relatórios, facilidade de configuração e o que os utilizadores dizem sobre elas. O Guardey está no topo da lista. Abaixo, vais ver em que as outras 16 ferramentas ficam aquém e para quem podem ainda ser úteis.

Estima-se que sejam enviados 3,4 mil milhões de e-mails de phishing todos os dias, e a maioria das violações de segurança que dão certo começa ainda assim com um colaborador a clicar no link errado. A tecnologia filtra grande parte disso, mas a última linha de defesa és tu. Este guia ajuda-te a escolher a ferramenta de simulação que realmente muda o comportamento, e não apenas cumpre um requisito de conformidade.

Em resumo

• O que faz: o software de simulação de phishing envia e-mails de phishing realistas, mas inofensivos, aos teus próprios colaboradores e mostra-te quem clica, quem denuncia e quem precisa de formação.
• A nossa escolha: Guardey. Simulações e formação semanal gamificada numa única plataforma, configurada em poucos minutos, com relatórios que cumprem os requisitos das auditorias NIS2, ISO 27001 e QNRCS.
• O que comparar: o quão realistas são os modelos, o que acontece depois de alguém clicar, como são os relatórios para o teu auditor e quanto tempo demora a configuração. Comparámos todas as 17 ferramentas exatamente nestes aspetos, que apresentamos abaixo.
• Não constam nesta lista: o KnowBe4, o SoSafe e o Awaretrain são pacotes completos de sensibilização, em vez de ferramentas de simulação específicas. Abordamo-los separadamente mais adiante.

Comparação das 17 ferramentas de simulação de phishing

Deixámos deliberadamente de incluir os preços na tabela: a maioria dos fornecedores apresenta os preços por número de utilizadores e os preços públicos mudam frequentemente. Nos casos em que um fornecedor publica os preços, colocamos um link para os mesmos na respetiva secção abaixo.

As 17 melhores ferramentas de software de simulação phishing :

1. Guardey
2. Sophos Ameaça de phishing
3. Gophish
4. Formação em Simulação de Ataque da Microsoft
5. Hoxhunt
6. Cofense PhishMe
7. Infosec IQ
8. Safetitan
9. Guru cibernético
10. Caixa de phishing
11. uPhish (por Usecure)
12. Wizer
13. Barracuda
14. Lobo do Ártico
15. Phishing
16. Proofpoint
17. Segurança Fortra Terranova

Plataformas completas de simulação e formação em phishing

Plataformas que combinam simulações realistas com formação e relatórios prontos para auditoria. É nesta categoria que a maioria das organizações acaba por se enquadrar.

1. Guardey

A Guardey oferece uma combinação de security awareness e phishing .

Podes configurar facilmente uma simulaçãophishing numa questão de minutos:

1. Escolhe um modelo phishing da biblioteca
2. Decide a que empregados deve ser enviado e quando
3. Colocar o teu domínio na lista branca
4. Começa a enviar

Num painel em tempo real, podes acompanhar de perto estatísticas importantes, como quantos e-mails foram enviados e quantas vezes um e-mail foi aberto, um link foi clicado e os dados foram enviados. Os relatórios são concebidos para auditorias: são compatíveis com a NIS2, a ISO 27001, o QNRCS e a maioria das outras normas, pelo que podes entregá-los diretamente ao teu auditor ou ao conselho de administração.

O que distingue a Guardey das outras alternativas é o facto de também oferecerem formação gamificada em security awareness . Os funcionários participam em desafios semanais, nos quais aprendem sobre todos os tipos de ameaças phishing e uma grande variedade de outros riscos de segurança. Numa tabela de classificação, podem competir uns com os outros, o que comprovadamente aumenta o envolvimento. Os utilizadores podem ganhar pontos se tiverem um bom desempenho durante a formação e se comunicarem phishing (simulações).

Guardey acredita que a melhor forma de sensibilizar para o phishing é através da formação semanal e da realização regular de uma simulação de phishing para testar a eficácia da formação.

Prós

• Plataforma fácil de utilizar (cria uma campanha numa questão de minutos)
• Gamificação para motivar os utilizadores
• As tabelas de classificação recompensam tanto o desempenho nos treinos como os e-mails de phishing denunciados, pelo que denunciar passa a ser um hábito
• Aplicação móvel para iOS e Android
• Experimenta gratuitamente

Contras

• A plataforma de formação não utiliza conteúdos de vídeo, o que pode ser uma desvantagem para algumas organizações

Resenha

"Os resultados do phishing deixaram claro que havia trabalho a fazer para melhorar a consciencialização do phishing . Se conseguirmos que os nossos colaboradores reconheçam e comuniquem mais phishing incidentes, podemos tomar medidas e reduzir os danos ao mínimo. A partir de agora, queremos efetuar uma simulação phishing duas vezes por ano com o Guardey, para ver se isto melhora." - Fonte

2. Hoxhunt

A Hoxhunt oferece aquilo a que chama uma plataforma de gestão de riscos humanos. Não oferece um teste gratuito, pelo que terás de entrar em contacto com o departamento de vendas para perceberes melhor como funciona.

Mas, resumidamente, é assim que funciona:

• Prepara as simulações do phishing
• Com base na forma como os teus empregados interagem com essas simulações, é-lhes atribuído material de formação
• Os utilizadores podem ganhar pontos por terem um bom desempenho durante a formação e por reconhecerem e comunicarem phishing

O Hoxhunt oferece uma solução excelente e completa para phishing, no entanto, é considerado por muitos como sendo caro e principalmente adequado para organizações empresariais.

Prós

• Gamificação
• Painel de controlo fácil de utilizar para administradores

Contras

• Não há teste gratuito
• Centra-se principalmente em organizações empresariais
• Alguns modelos de phishing são fáceis de reconhecer como falsos

Resenha

"A ideia de e-mails que parecem reais é óptima. Penso que ajuda as pessoas a perceberem como é simples atrair alguém para clicar numa ligação ou abrir um anexo. É fácil navegar no painel de controlo, a pontuação entre outros dentro da empresa é interessante. A interatividade no painel de controlo é óptima e convida a mais preenchimentos. Os e-mails, no entanto, são muito fáceis e podem ser identificados à primeira vista como pertencentes a um Hoxhunt. Quando subscreves o modo picante, esses e-mails também não são muito sofisticados." - G2

3. Phishing

O Phished (tirando o chapéu pela escolha inteligente do nome da marca) também oferece uma combinação de formação e simulações de phishing.

Com o Phished, pode automatizar todo o processo de envio de simulações para phishing , libertando a sua equipa de TI de algum tempo. O conteúdo é adaptado à localização da tua organização, ao contexto da empresa e aos eventos actuais. Também podes personalizar o conteúdo para os indivíduos, para garantir que são testados da forma que faz mais sentido. É difícil dizer até que ponto o nível de automatização é realmente bom. Não existe uma versão de avaliação gratuita do produto disponível.

Prós

• Campanhas phishing totalmente automatizadas
• Campanhas personalizadas para indivíduos

Contras

• Não há preços transparentes no sítio Web
• Não há teste gratuito

Resenha

"O Phished permite uma configuração e gestão sem esforço da simulação de e-mails phishing . A documentação do painel de controlo é muito limitada. O painel de controlo é extenso, mas a lógica da sua estrutura nem sempre é clara (aposto que é para os programadores)." - G2

4. Infosec IQ

A Infosec IQ oferece formação personalizada em sensibilização, com base no perfil de risco específico de cada colaborador. Faz isso de forma semelhante à da Hoxhunt:

1. Envia phishing simulações
2. Analisa automaticamente a reação do utilizador
3. Atribui formação com base no desempenho

Muitos avaliadores estão entusiasmados com a plataforma, mas referem que as capacidades de elaboração de relatórios poderiam ser melhoradas.

Prós

• Campanhas fáceis de configurar
• Formação com base no perfil de risco individual

Contras

• A funcionalidade dos relatórios poderia ser melhorada
• Não há teste gratuito

Resenha

"A interface da ferramenta está em constante evolução para a tornar melhor para os seus clientes. Tenho trabalhado com a ferramenta no último ano e vejo muitas melhorias na interface do utilizador. Os relatórios e as métricas podem ser melhores. Por vezes, é difícil calcular as métricas manualmente. Além disso, devia haver uma forma de remover automaticamente as contas obsoletas." - G2

5. Safetitan

Criar uma campanha phishing em Safetitan é simples. Podes criar campanhas contínuas para simulações que nunca terminam. Tal como outras soluções, as sessões de formação são despoletadas com base na forma como os utilizadores interagem com os emails phishing que vão sendo enviados.

Prós

• Configuração simples
• Utiliza modelos de phishing emails e conteúdos de formação
• Envia um relatório automático todos os meses

Contras

• Não há teste gratuito
• O painel de administração poderia ser melhorado

Resenha

"A abordagem automatizada de SafeTitan para a formação do modelo do empregado com base em comportamentos específicos é uma caraterística eficaz. Isto significa que não tenho de ser eu a preparar a formação geral em security awareness para toda a equipa." - G2

6. O guru da cibersegurança

Cyber Guru é uma plataforma com sede em Itália que oferece um programa de formação e simulações em phishing . Vê aqui como o organizaram:

1. Formação de sensibilização: um programa baseado em e-learning
2. Formação de canais: uma série de vídeos
3. Phishing formação: formação adaptativa antiphishing (incluindo simulações)

Se um utilizador "falhar" uma simulação, tem de fazer uma sessão de microformação. Esta sessão é especificamente adaptada ao e-mail phishing em que acabaste de clicar. Há muitos especialistas que desaconselham este tipo de formação, uma vez que pode ser facilmente entendida como um castigo.

Prós

• Plataforma completa com formação e simulações
• Inclui conteúdo de vídeo (embora estes vídeos sejam um pouco longos, algumas organizações preferem-no)

Contras

• Não há teste gratuito disponível
• As sessões de treino depois de falhares uma simulação em phishing podem parecer um castigo
• A plataforma não utiliza a gamificação para motivar os utilizadores

Resenha

"Experimentámos apenas a funcionalidade phishing ; experiência de formação no local de trabalho sem que os utilizadores tenham de frequentar cursos, simples de implementar e fácil de compreender. Os resultados são visíveis ao longo do tempo, mas há necessidade de incentivos por parte da empresa." - Gartner

7. Fortra Terranova Security

A Fortra Terranova oferece uma vasta gama de soluções de segurança. Isto significa que security awareness (e phishing simulações) não é necessariamente o seu foco, mas eles oferecem-no como um produto.

Oferecem uma mistura de conteúdos gamificados para tornar a experiência de formação cativante, ao mesmo tempo que misturam "simulações do mundo real phishing ", o que deve significar que os modelos se destinam a ser muito convincentes.

Prós

• Pode ser interessante para organizações que procuram um produto tudo-em-um
• Oferece formação e phishing simulações
• Teste gratuito

Contras

• Não há preços transparentes
• Não te concentres apenas em security awareness

Resenha

"Estou a utilizar sobretudo a funcionalidade de simulação e estou bastante satisfeito com isso. Gosto da forma como a simulação é construída, utilizando uma abordagem passo-a-passo visualizada com separadores. Ajuda a perceber exatamente o que falta concluir. A interface é fácil de utilizar. Não gosto do facto de não existir uma forma fácil de copiar e reutilizar um modelo existente que eu tenha criado. Basicamente, tenho de copiar e colar modelos de correio eletrónico e de feedback, o que é desnecessário. Existe também uma espécie de erro relacionado com as definições de correio eletrónico e a possibilidade de testar o envio de mensagens. Não se sabe exatamente como funciona a funcionalidade de teste." - G2

Ferramentas gratuitas e de código aberto para simulação de phishing

Três opções realistas se o orçamento for a limitação. O que vais perder em comparação com uma plataforma completa está explicado abaixo da lista.

8. Gophish

O GoPhish é uma estrutura phishing de código aberto que te permite copiar e-mails existentes para utilizar em campanhas phishing . Os links são automaticamente substituídos e os valores de entrada são registados, para que possas ver exatamente quem clicou e preencheu dados valiosos.

A instalação do GoPhish requer alguma capacidade técnica. Podes usar o guia de instalação no Github ou usar outra plataforma para o fazer funcionar. Mas depois de o fazer, é uma ferramenta poderosa para criares as tuas próprias campanhas phishing personalizadas.

Prós

• Utilização gratuita
• Código aberto
• Utiliza facilmente os e-mails existentes

Contras

• Requer conhecimentos técnicos
• Não é fornecido com um módulo de formação

Resenha

"Configurámos o nosso próprio servidor GoPhish utilizando uma instância AWS, e foi necessário algum trabalho para o pôr a funcionar. Uma das partes mais difíceis foi fazer com que o Gmail não assinalasse automaticamente os e-mails de teste como phishing/scam e derrotar toda a parte de testar os nossos utilizadores." - Reddit

9. Wizer

Wizer é uma plataforma que oferece simulações 'smart phishing'. Tem uma biblioteca de modelos que está organizada por datas do calendário. Durante as férias, verás modelos relacionados com as férias e, no final de janeiro, verás um modelo de "Impostos de fim de ano". Assim, é mais fácil encontrar modelos que sejam relevantes para a tua organização neste momento.

Podes decidir facilmente para quem queres que os e-mails de phishing sejam enviados:

• Todos os utilizadores
• Departamentos
• Ou utilizadores específicos

O Wizer tem uma interface com bom aspeto e é fácil de gerir para os administradores.

Prós

• Encontra facilmente modelos relevantes em phishing
• Fácil de manter para os administradores

Contras

• Não há teste gratuito
• Os vídeos do conteúdo da formação podem ser um pouco longos

Resenha

"O Wizer é muito mais fácil de configurar e gerir do que a nossa plataforma anterior. As formações são vídeos de tamanho reduzido que cobrem bem o tópico sem se alongarem. O nosso anterior fornecedor de formação oferecia mais ferramentas e relatórios, mas isso também tornava a consola de administração mais confusa e difícil de navegar." - G2

10. Formação em simulação de ataques pela Microsoft

O Outlook da Microsoft é o cliente de correio eletrónico mais utilizado que existe, por isso é justo que tenham criado o seu próprio simulador phishing . Chama-lhe Attack Simulation Training, que faz parte do seu produto Microsoft Defender.

A formação de simulação de ataques permite-te escolher entre algumas técnicas diferentes de engenharia social:

• Colheita de credenciais
• Anexo de malware
• Ligação em anexo
• Ligação ao malware
• URL de passagem

No painel de controlo de relatórios do produto, pode ver quantos utilizadores experimentaram uma simulação, quantos concluíram a formação depois de falharem um teste em phishing e até quantos "infractores" reincidentes estão activos na sua organização.

Prós

• Parte do ecossistema Microsoft 365
• Boa informação
• Várias técnicas de engenharia social à escolha

Contras

• Os utilizadores mencionam que o produto de formação não está à altura
• Os utilizadores referem que o produto é caro em comparação com outras alternativas

Resenha

"Os módulos de formação parecem sólidos, definitivamente não são tantos como os da KnowBe4 ou outros, mas o que têm parece adequado. Mais caro do que a concorrência, pelo menos se avaliares estritamente para testes de phish e formação em infosec." - Reddit

Ferramentas que dão prioridade à simulação

Ferramentas que fazem bem a simulação de phishing, mas deixam a parte da formação a teu cargo.

11. Phishingbox

A Phishingbox pode não vir com um teste gratuito, mas não tem medo de mostrar a sua plataforma. No vídeo acima, podes ter uma ideia clara do que podes fazer com a sua plataforma.

Para configurar uma simulação na Phishingbox, podes escolher entre uma grande variedade de modelos phishing na sua biblioteca. Os e-mails preenchem algumas variáveis, para que sejam personalizados para cada utilizador individual.

A Phishingbox oferece muito espaço para personalização. Por exemplo, podes decidir que acções na página de destino são seguidas (preencher dados, clicar num botão de início de sessão, etc.).

Quando o utilizador "falha" numa simulação do phishing , é encaminhado para uma sessão de formação. Mais uma vez, esta é uma prática que é frequentemente desaconselhada pelos pedagogos, pois pode ser entendida como um castigo.

Prós

• Grande biblioteca de modelos
• Muito espaço para personalizar as campanhas

Contras

• A IU parece um pouco desactualizada
• As sessões de treino depois de "falhares" uma simulação podem parecer um castigo

Resenha

"Experiência de produto simples - mais do que suficiente para fazer o trabalho para as PMEs. Diz o que quiseres sobre a eficácia das campanhas Phishing , mas em muitos casos, estas são necessárias para seguros cibernéticos e afins. A interface do utilizador pode ser um pouco confusa, especialmente no que diz respeito à programação de campanhas, mas é certamente viável e espero que continue a melhorar à medida que o produto amadurece." - G2

12. uPhish (da usecure)

usecure é uma conhecida plataforma de formação security awareness com um produto especial para phishing: uPhish. Com o uPhish, pode configurar simulações de phishing e acompanhar quando as pessoas abriram um e-mail, visitaram a hiperligação no seu interior e quando os seus dados foram comprometidos. Também podes ver se o utilizador comunica o incidente, o que te dá uma visão completa das tuas vulnerabilidades actuais.

A interface do utilizador do uPhish é simples e fácil de utilizar. Podes selecionar entre uma grande variedade de modelos phishing , incluindo páginas de destino, anexos e uma combinação dos dois.

Prós

• Grande biblioteca de modelos
• Plataforma fácil de utilizar
• IU limpa

Contras

• Não há teste gratuito disponível
• O processo de personalização pode ser um pouco demorado

Resenha

"A plataforma é muito fácil de utilizar e de navegar. Os tempos de carregamento também têm sido rápidos para mim. Os exercícios de formação de nível inferior são, por vezes, demasiado baixos, e poderia haver mais informação incluída." - G2

13. Sophos Phish Threat

A Sophos oferece uma combinação de simulações phishing e formação security awareness numa única plataforma. A plataforma oferece um teste gratuito, pelo que nos inscrevemos e demos uma vista de olhos.

Pode configurar uma campanha utilizando um dos 500 modelos phishing da biblioteca da Sophos. Existe uma vasta gama de tópicos disponíveis, como um e-mail que contém um serviço de envolvimento dos funcionários e um e-mail sobre novas regras de estacionamento. Gostamos da sua especificidade. Também podes personalizar estes modelos para que se adaptem às tuas necessidades.

Para além das simulações phishing , a plataforma permite-te dar formação aos funcionários sobre o reconhecimento de phishing. Está disponível em 10 línguas e inclui alguns vídeos animados, como podes ver no vídeo acima.

Prós

• Inclui um teste gratuito para que possas experimentar antes de comprar
• Combinação de simulações e formação
• Vasta gama de modelos
• Oferece um botão de relatório no Outlook

Contras

• A formação é um pouco unidimensional (concentra-se apenas em phishing)
• O conteúdo do vídeo parece longo e desatualizado

Resenha

"A facilidade de criação de campanhas de sensibilização phishing , o botão "Report Message" integrado no Outlook e os relatórios são os pontos fortes do produto. Aparentemente, devido a algumas contestações legais por parte da Microsoft, a Sophos removeu todas as suas campanhas concebidas para se assemelharem a ataques de recolha de credenciais e phishing da Microsoft. Isto é lamentável, uma vez que muitos ataques reais imitam uma experiência de autenticação de utilizador da Microsoft e são muito eficazes para enganar o pessoal e levá-lo a revelar os seus nomes de utilizador e palavras-passe." - G2

Pacotes empresariais e serviços geridos

Simulação de phishing como um módulo dentro de uma estrutura de segurança mais ampla ou totalmente externalizada.

14. Proofpoint

O produto security awareness da Proofpoint está principalmente focado na identificação de indivíduos de alto risco nas organizações. Faz isso avaliando funções, vulnerabilidades, risco de ataque e privilégios comerciais.

Mede o risco humano com base nos seguintes aspectos:

• Escolhas comportamentais
• Contexto da ameaça
• Funções e privilégios profissionais
• Competências e atitudes culturais
• Phishing/USB/SMS simulações baseadas em ataques do mundo real

A plataforma não inclui um teste gratuito e os preços não são comunicados de forma transparente no sítio Web. Para veres o produto em ação, terás de contactar o departamento de vendas.

Prós

• Mostra o risco humano a nível individual
• Oferece também simulações de SMS (smishing)

Contras

• Centra-se principalmente em organizações empresariais
• Não há preços transparentes
• Não há teste gratuito

Resenha

"Do ponto de vista do administrador, foi concebido para "marcar uma caixa" de conformidade, em vez de educar realmente a sua base de utilizadores. O produto é desajeitado e mal integrado ao restante da plataforma/serviços da Proofpoint." - G2

15. Cofense PhishMe

O produto phishing da Cofense chama-se PhishMe. Uma citação do vídeo deles: o programa de simulação phishing que transforma a caça em caçador. E com isso, eles querem dizer que os teus funcionários vão caçar e-mails phishing . Apreciamos a tua inteligência.

A plataforma oferece uma combinação de três pilares:

• Security awareness formação: uma combinação de simulações e de formação corretiva
• Denúncia de e-mails maliciosos: a capacidade de denunciar um e-mail a partir do teu cliente de e-mail
• Validação do risco: a capacidade de obter informações sobre o perfil de risco de cada funcionário

Prós

• Produto completo com simulações e formação
• Relatórios pormenorizados sobre o desempenho individual
• Um guionista de vídeo espirituoso 😉

Contras

• Necessita de manutenção contínua
• Os utilizadores ficam cansados depois das simulações repetitivas
• Os utilizadores consideram que a gestão das iniciativas de formação consome muito tempo e recursos

Resenha

"A caraterística mais vantajosa do Cofense PhishMe é a sua capacidade de melhorar a segurança cibernética de forma proactiva. Consegue-o através de simulações phishing realistas e personalizáveis que permitem aos utilizadores identificar e combater eficazmente as ameaças phishing . As desvantagens do Cofense PhishMe podem incluir a necessidade de manutenção contínua, o potencial cansaço do utilizador devido a simulações phishing repetitivas e a tarefa de administração de iniciativas de formação que consome muitos recursos." - G2

16. Barracuda

O Barracuda é conhecido por ser um produto de segurança de e-mail, que impede que um grande número de e-mails phishing chegue à tua caixa de entrada. No entanto, também criou um produto security awareness para o complementar.

Com este produto, podes simular ameaças de e-mail, analisar o comportamento do utilizador e escolher entre uma grande variedade de conteúdos de formação para permitir que os utilizadores reconheçam phishing à distância.

Prós

• Opção interessante se também estiveres à procura de uma solução técnica de bloqueio phishing
• Grande variedade de modelos phishing

Contras

• A criação de módulos de formação pode ser morosa
• Alguns utilizadores referem que não é tão fácil de utilizar

Resenha

"Considero que, no ambiente atual, a proteção phishing e contra o spam é mais importante do que qualquer proteção de ponto final. Os utilizadores são o elo mais fraco em cyber security e na proteção de qualquer organização. O Barracuda SAT preenche a função de formação e sensibilização do utilizador final para o que procurar. Pode ser difícil de gerir e, sem a adesão do executivo para forçar a conformidade, pode ser uma perda de tempo. Existem outros produtos que são mais fáceis de utilizar e gerir." - G2

17. Lobo do Ártico

A Arctic Wolf é semelhante à Barracuda, uma vez que oferece uma ampla plataforma de segurança. Security awareness não é o seu principal objetivo, mas oferece-o como um produto.

O produto security awareness , a que chamam "Managed Security Awareness", combina uma plataforma de formação e um simulador phishing .

A plataforma de formação oferece micro-aulas curtas que não ocupam muito do tempo de um funcionário. Todos os meses, são adicionados novos conteúdos à plataforma, incluindo a chamada "formação de resposta rápida" sobre ameaças emergentes.

Se um utilizador "falhar" uma das simulações de phishing , é enviado para uma sessão de microformação. Aqui, aprende sobre a importância de comunicar um e-mail phishing da próxima vez. Como já referimos anteriormente, esta tática é preferida por alguns, mas tem a oposição de muitos pedagogos por parecer um castigo.

Prós

• Uma solução combinada de formação e simulação phishing
• Interessante se estiveres à procura de uma solução de segurança tudo-em-um

Contras

• Não há teste gratuito
• Não há preços transparentes no sítio Web

Resenha

"O security awareness é curto, direto, mas eficaz. As formações deram origem a discussões sobre o conteúdo e a relevância para a nossa organização, bem como a algumas das partes mais divertidas. Todas as formações com o representante e a formação sobre o cansaço do MFA foram as preferidas dos fãs." - Gartner

E quanto ao KnowBe4, ao SoSafe e ao Awaretrain?

Talvez repares que faltam alguns nomes conhecidos nesta lista. Plataformas como a KnowBe4, a SoSafe e a Awaretrain também oferecem simulações de phishing, mas como parte de pacotes mais abrangentes de sensibilização para a segurança, em vez de serem ferramentas de simulação dedicadas. Analisámos o que a KnowBe4 faz e quais são as suas limitações, e comparámos separadamente as melhores alternativas à KnowBe4 e as melhores alternativas à Awaretrain.

Ferramentas gratuitas de simulação de phishing: o que ganhas e o que não ganhas

Se o orçamento for o problema, tens três opções realistas e gratuitas:

• Gophish (código aberto). Grátis, auto-hospedado, controlo total sobre os modelos e as páginas de destino. Precisas de um servidor, de um domínio de envio com SPF/DKIM corretos e de alguém para fazer a manutenção. Não tem conteúdos de formação, nem relatórios de conformidade, e a responsabilidade pelo cumprimento do RGPD é tua (os dados de cliques são dados pessoais).
• Formação em simulação de ataques da Microsoft. Está incluída se já pagares pelo Defender para Office 365 Plano 2 ou pelo Microsoft 365 E5. Tem bons modelos, formação básica e relatórios no Centro de Administração da Microsoft. Não é gratuita se tiveres o Business Standard ou o E3.
• Planos gratuitos e períodos de teste. O Wizer oferece um plano gratuito com simulações limitadas; o Guardey oferece um período de teste de 14 dias com simulações e formação incluídas, o que dá para fazer uma campanha inicial para toda a tua equipa.

O que as ferramentas gratuitas não te oferecem: formação de acompanhamento automatizada para quem clicou, acompanhamento do progresso de cada colaborador ao longo do tempo e um relatório que um auditor aceite. Se a NIS2 ou a ISO 27001 se aplicam ao teu caso, esse relatório é a razão pela qual fazes simulações, para começar.

Como fazer o teu próprio teste de phishing em 5 passos

1. Define o objetivo e informa a direção. O objetivo é servir de referência (quantos cliques, quantos relatórios), não é para apanhar ninguém. Informa primeiro os RH e o conselho de trabalhadores; em vários países da UE, isso é obrigatório.
2. Escolhe um cenário realista. A entrega de uma encomenda, um documento partilhado, uma atualização de uma política de RH. Evita temas que provoquem raiva (bónus, despedimentos); geram reações negativas, não aprendizagem.
3. Coloca o domínio de origem na lista de permissões. Adiciona os IPs ou o domínio de origem da ferramenta de simulação ao teu filtro de e-mail; caso contrário, o teste vai avaliar o teu filtro de spam em vez de avaliar os teus colaboradores.
4. Envia em lotes e mede dois valores: a taxa de cliques e a taxa de respostas. A taxa de respostas é que importa: uma empresa onde 5% clicam, mas 60% respondem, é mais segura do que uma onde 2% clicam e ninguém responde.
5. Faz o acompanhamento em poucos minutos, sem humilhar ninguém. Quem clicar vai ver uma explicação curta, não uma repreensão. Publica o resultado da equipa, nunca nomes individuais. Depois, repete.

Se preferires não criar isto sozinho, as simulações de phishing da Guardey executam estes cinco passos automaticamente, incluindo a formação de acompanhamento.

Com que frequência deves enviar simulações de phishing?

A primeira simulação costuma mostrar uma taxa de cliques em torno dos 30%; a maioria das organizações fica abaixo dos 5% ao fim de um ano de testes regulares. «Regulares» significa:

• Mensalmente, para toda a organização, em dias e horários aleatórios. Trimestralmente é muito pouco frequente para mudar comportamentos; semanalmente causa cansaço e queixas.
• Dificuldade variada. Alterna entre cenários fáceis, médios e específicos (spear-phishing); caso contrário, os funcionários aprendem a identificar o teu modelo em vez de reconhecerem o phishing.
• Sessões adicionais para funções de alto risco. As áreas de Finanças, Recursos Humanos, assistentes executivos e TI recebem simulações específicas a cada quatro a seis semanas.
• Combina com a formação. As simulações medem, mas não ensinam. As organizações que conseguem reduzir mais rapidamente as taxas de cliques combinam simulações mensais com sessões curtas de formação semanais.

Que software de simulação de phishing deves escolher?

A maioria das ferramentas acima faz bem uma coisa: enviam um e-mail falso e dizem-te quem clicou. Isso é útil uma vez. Mas não muda quem vai clicar da próxima vez. Escolhe o Guardey se quiseres a simulação e a formação num só sítio:

• O que queres é que o comportamento mude, não só a taxa de cliques. Cada clique é seguido por um breve momento de formação, e os desafios gamificados semanais mantêm a lição viva entre as simulações.
• Não tens nenhuma equipa de segurança dedicada. A tua primeira simulação vai decorrer dentro de uma hora. Sem projeto, sem consultor, sem prazo de preparação.
• Já usas o Microsoft 365 ou outra suíte de segurança. O Guardey funciona em conjunto com essas ferramentas e cobre a vertente humana que elas deixam de lado.
• Tens de apresentar isto a um auditor. Os relatórios são válidos para a NIS2, a ISO 27001, o QNRCS e a maioria das outras normas.
• Queres ver isso primeiro? Marca uma demonstração e vamos mostrar-te a simulação e a formação em 45 minutos.

Perguntas mais frequentes

O que é um software de simulação de phishing?

Um software que envia e-mails de phishing realistas, mas inofensivos (e, por vezes, SMS, mensagens de voz ou códigos QR) aos teus próprios colaboradores, regista quem clica, introduz dados ou comunica a mensagem e dá seguimento com formação.

A simulação de phishing é legal ao abrigo do RGPD?

Sim, se tiveres um interesse legítimo (segurança), informa os colaboradores de que as simulações fazem parte do programa de segurança, limita os dados que guardas e nunca uses os resultados para tomar medidas disciplinares. Envolve o conselho de empresa sempre que for necessário (Alemanha, Países Baixos, Bélgica).

Qual é uma boa taxa de cliques em phishing?

Um valor inferior a 5%, com uma taxa de comunicação superior a 50%, indica uma organização saudável. A primeira simulação numa organização sem formação costuma situar-se entre os 20% e os 35%.

Software de simulação de phishing vs. ferramenta de simulação de phishing: há alguma diferença?

Na prática, não. O termo «ferramenta» é mais usado para produtos que servem apenas para simulação (Gophish, PhishingBox); «software» ou «plataforma» para produtos que incluem formação e relatórios.