# Beephish — Simulação de Phishing e Gestão de Risco Humano

> Eduque, teste e monitore seus colaboradores contra phishing. Plataforma brasileira de Gestão de Risco Humano com +100.000 usuários treinados.

Canonical: https://beephish.com/blog/sua-taxa-de-clique-caiu-e-agora

Uma das métricas mais conhecidas em programas de conscientização em segurança é a taxa de clique em simulações de phishing. Ela é simples de entender, fácil de acompanhar e permite construir uma narrativa igualmente simples: se menos pessoas estão clicando ao longo do tempo, o programa está funcionando e a organização está se tornando mais segura.

Imagine uma empresa que inicia seu programa com 15% das pessoas clicando nas simulações e, depois de um ano de treinamentos e campanhas recorrentes, reduz esse número para 4%. Existe claramente uma evolução que merece ser reconhecida. As pessoas provavelmente estão mais familiarizadas com aquele tipo de ameaça, aprenderam a identificar determinados sinais e passaram a responder melhor aos cenários apresentados.

O problema aparece quando transformamos essa evolução em uma conclusão muito maior: a de que o risco humano da organização também caiu na mesma proporção.

Uma taxa de clique pode dizer bastante sobre como determinado grupo respondeu a uma campanha de phishing em determinado momento. Ela não consegue, sozinha, dizer quanto risco aquelas pessoas representam para a organização, se estão preparadas para outros tipos de engenharia social ou qual seria o impacto caso uma das identidades que ainda clicam fosse realmente comprometida.

Essa diferença parece pequena, mas muda completamente a maneira como interpretamos os resultados de um programa de conscientização.

## **A taxa de clique mede uma resposta específica**

Toda simulação de phishing cria um ambiente controlado. Escolhemos um cenário, definimos uma população, enviamos uma mensagem e observamos como as pessoas respondem. Isso produz informações muito valiosas sobre comportamento.

Se uma campanha enviada para mil pessoas gera cinquenta cliques, sabemos que 5% daquela população interagiu com aquele cenário. Se repetirmos testes ao longo do tempo e observarmos uma redução consistente, temos uma indicação de evolução. Mas precisamos ter cuidado com aquilo que extrapolamos a partir desse resultado.

Uma pessoa que não clicou pode ter identificado corretamente o phishing, mas também pode simplesmente não ter aberto a mensagem. Pode ter ignorado o e-mail porque estava de férias, porque não considerou o assunto interessante ou porque recebeu dezenas de mensagens naquele dia. Da mesma maneira, uma pessoa que clicou pode ter percebido algo estranho imediatamente depois e reportado o incidente em poucos segundos.

O próprio cenário também influencia significativamente o resultado. Uma simulação básica de redefinição de senha não possui a mesma dificuldade de um spear phishing construído com contexto realista. Comparar diretamente as taxas de clique dessas duas campanhas sem considerar sua complexidade pode produzir conclusões equivocadas.

Por isso, a taxa de clique é uma métrica importante, mas precisa ser interpretada dentro do contexto em que foi produzida.

## **Nem todos os cliques representam o mesmo risco**

Existe ainda uma questão mais importante quando passamos de conscientização para Human Risk Management: quem clicou?

Imagine novamente uma campanha com mil pessoas e taxa de clique de 5%. Isso significa que cinquenta pessoas interagiram com o cenário. Olhando apenas para a porcentagem, todas parecem representar exatamente o mesmo resultado. Na prática, podem existir diferenças enormes.

Uma dessas pessoas pode possuir acesso apenas a aplicações corporativas básicas. Outra pode administrar infraestrutura crítica. Uma terceira pode aprovar pagamentos. Outra pode possuir acesso a informações estratégicas ou dados pessoais em grande escala. Pode existir ainda um executivo cuja identidade comprometida permita ao atacante explorar autoridade para atingir outras pessoas dentro da organização. O comportamento foi o mesmo, mas o impacto potencial não é.

Essa é uma das razões pelas quais acredito que programas de conscientização precisam começar a conectar suas métricas com contexto. Não basta saber quantas pessoas clicaram. Precisamos entender quem são essas pessoas, quais responsabilidades possuem, qual sua exposição e o que poderia acontecer se aquele comportamento tivesse ocorrido em um ataque real.

Uma organização pode reduzir sua taxa geral de clique e, ao mesmo tempo, manter comportamentos preocupantes justamente entre as identidades de maior impacto. Nesse cenário, o indicador melhorou, mas não podemos afirmar automaticamente que o risco diminuiu na mesma proporção.

## **Reportar pode ser tão importante quanto não clicar**

Existe outro comportamento que muitas vezes recebe menos atenção do que deveria: o reporte. Quando uma pessoa identifica uma mensagem suspeita e utiliza os mecanismos definidos pela organização para reportá-la, ela não está apenas evitando ser vítima. Está produzindo um sinal que pode ajudar a proteger outras pessoas.

Em um ataque real, um reporte rápido pode permitir que a equipe de segurança investigue a mensagem, identifique outros destinatários, bloqueie URLs, remova mensagens semelhantes e inicie uma resposta antes que o ataque alcance uma parcela maior da organização.

Por isso, duas empresas com exatamente a mesma taxa de clique podem possuir situações de segurança bastante diferentes.

Imagine que ambas apresentem 4% de clique. Na primeira, apenas 8% das pessoas reportam a mensagem. Na segunda, 70% identificam e reportam rapidamente o cenário. A taxa de clique é igual, mas a capacidade coletiva de detectar e responder à ameaça é claramente diferente.

Isso mostra por que precisamos acompanhar também indicadores positivos. Durante muito tempo, os programas de phishing foram construídos principalmente em torno da falha: quem clicou, quem forneceu credenciais, quem repetiu o comportamento. Uma visão mais madura precisa observar também quem reportou, quanto tempo levou para reportar e se esse comportamento melhora ao longo do tempo.

O objetivo de um programa não deveria ser apenas produzir menos cliques. Deveria também construir uma população capaz de reconhecer e comunicar ameaças rapidamente.

[![](https://kvlbuwxkkllobkgvzsam.supabase.co/storage/v1/object/public/blog-content/inline/1780320814605-15vsqx.png)](#fale-com-especialista)

## **O phishing também deixou de acontecer apenas no e-mail**

Existe outra limitação importante quando utilizamos a taxa de clique como representação ampla de segurança: o ambiente de engenharia social mudou.

O e-mail continua sendo um dos principais vetores de ataque e deve continuar recebendo atenção significativa. Entretanto, as pessoas hoje também interagem com mensagens corporativas pelo Microsoft Teams, Slack, WhatsApp, SMS, QR Codes, chamadas telefônicas, videoconferências e diversas outras plataformas.

Um colaborador pode ter desenvolvido excelente capacidade de identificar um phishing tradicional no e-mail e, ainda assim, confiar imediatamente em uma mensagem recebida pelo Teams porque considera aquele ambiente mais confiável. Pode evitar clicar em links desconhecidos no computador e escanear um QR Code com o celular sem aplicar o mesmo nível de atenção. Pode reconhecer um e-mail de impersonation e acreditar em uma chamada telefônica de alguém se passando pelo suporte técnico.

Isso significa que uma baixa taxa de clique em campanhas de e-mail não necessariamente representa uma baixa suscetibilidade à engenharia social.

À medida que os ataques se tornam multicanais, nossos indicadores também precisam acompanhar essa evolução. Caso contrário, podemos estar ficando muito bons em medir a capacidade das pessoas de responder ao formato de ataque que escolhemos testar, enquanto o ambiente real continua mudando ao redor do programa.

## **Uma média organizacional pode esconder justamente aquilo que mais importa**

Médias são extremamente úteis para acompanhar tendências, mas também podem esconder concentrações de risco.

Uma empresa pode apresentar taxa de clique de 3% e considerar o resultado excelente. Entretanto, ao analisar os dados por grupos, pode descobrir que determinada área apresenta 11%, enquanto outra está próxima de zero. Pode perceber que pessoas recém-contratadas possuem dificuldade maior ou que determinado tipo de cenário produz resultados significativamente piores.

Quando adicionamos contexto de risco, as diferenças podem se tornar ainda mais relevantes. Talvez a taxa média seja baixa, mas um grupo de identidades privilegiadas apresente comportamento recorrente. Talvez os executivos estejam respondendo bem às campanhas tradicionais, mas continuem altamente expostos a ataques direcionados. Talvez a organização esteja melhorando no reconhecimento de mensagens genéricas, mas não apresente a mesma evolução diante de cenários contextualizados.

O problema não está na média. Está em utilizá-la como resposta para uma pergunta que ela não consegue responder sozinha. Indicadores agregados ajudam a enxergar a organização. A gestão de risco exige que também sejamos capazes de olhar para as diferenças que existem dentro dela.

## **Reincidência conta uma história que a taxa geral não mostra**

Outro aspecto importante é entender se os cliques estão distribuídos aleatoriamente pela população ou concentrados nas mesmas pessoas ao longo do tempo.

Imagine duas empresas com taxa média de clique de 5%. Na primeira, as pessoas que clicam variam a cada campanha e raramente repetem o comportamento. Na segunda, grande parte dos cliques está concentrada em um pequeno grupo que apresenta reincidência consistente. Novamente, a média é igual, mas o problema é diferente.

No primeiro cenário, podemos estar observando erros ocasionais distribuídos pela organização. No segundo, existe uma população específica que provavelmente precisa de uma intervenção diferente. Repetir exatamente o mesmo treinamento ou continuar enviando as mesmas campanhas talvez não esteja funcionando.

A reincidência também ajuda a separar evento de padrão. Um único clique é um sinal. Uma sequência de comportamentos semelhantes ao longo do tempo fornece muito mais contexto sobre uma necessidade de desenvolvimento.

Da mesma maneira, a evolução positiva deveria ser observada. Uma pessoa que clicou em campanhas anteriores, recebeu uma intervenção e passou a identificar e reportar corretamente os cenários seguintes está demonstrando uma mudança que merece aparecer nos indicadores.

## **A dificuldade da campanha também precisa entrar na análise**

Existe ainda um problema que pode distorcer bastante as comparações: nem todas as campanhas possuem a mesma dificuldade.

Se uma organização começa com simulações extremamente simples e gradualmente utiliza cenários mais realistas, a taxa de clique pode permanecer estável ou até aumentar mesmo que as pessoas estejam evoluindo. O contrário também pode acontecer. Uma queda significativa pode ser consequência de campanhas mais fáceis, previsíveis ou semelhantes entre si.

Isso significa que comparar apenas porcentagens ao longo do tempo pode produzir uma falsa impressão de evolução ou regressão.

O contexto do cenário precisa fazer parte da análise. Qual técnica foi utilizada? Qual era o nível de personalização? O assunto fazia sentido para aquela população? Havia sinais evidentes de phishing? O ataque simulava um vetor realmente observado no ambiente da organização?

Quanto mais realistas e variados forem os cenários, mais precisamos resistir à tentação de resumir toda essa complexidade em um único percentual.

## **Então a taxa de clique deixou de ser importante?**

Não. E acredito que seria um erro tentar substituir uma simplificação por outra. A taxa de clique continua sendo uma métrica valiosa. É fácil de compreender, ajuda a acompanhar tendências e oferece um sinal importante sobre como as pessoas respondem a determinados cenários. Para muitas organizações, ela também é uma excelente porta de entrada para começar a medir comportamento em segurança.

O que precisa mudar é a expectativa sobre aquilo que essa métrica consegue representar. Em vez de perguntar apenas “qual é nossa taxa de clique?”, podemos começar a fazer perguntas mais completas. Quem está clicando? Existe reincidência? Quem está reportando? Quanto tempo leva para o primeiro reporte? Quais tipos de cenário geram maior dificuldade? Quais grupos estão evoluindo? As pessoas de maior impacto potencial estão respondendo de maneira diferente? As intervenções realizadas estão modificando comportamentos posteriores?

Quando combinamos essas respostas, a simulação de phishing deixa de produzir apenas uma porcentagem e passa a gerar telemetria comportamental muito mais rica.

## **De uma métrica de campanha para uma visão de risco**

Talvez a principal evolução esteja justamente em mudar o papel das simulações dentro do programa.

Durante muito tempo, o resultado da campanha foi tratado como o indicador final. Executávamos a simulação, calculávamos a taxa de clique, comparávamos com o período anterior e apresentávamos a evolução.

Em uma abordagem de Human Risk Management, a simulação passa a ser uma fonte de sinais. Clique, fornecimento de credenciais, reporte, tempo de resposta, reincidência e evolução são informações que ajudam a compreender comportamento. Esses sinais podem então ser combinados com contexto, identidade, exposição e impacto para construir uma visão mais completa do risco.

Isso não diminui a importância das simulações. Na verdade, aumenta seu valor. Em vez de servirem apenas para produzir uma métrica periódica, elas passam a contribuir para decisões sobre quais pessoas ou grupos precisam de determinada intervenção e se essas intervenções estão funcionando.

Uma taxa de clique menor continua sendo uma boa notícia, especialmente quando observamos uma tendência consistente em campanhas comparáveis. Mas ela deveria ser o início de uma análise, não sua conclusão.

Se nossa taxa caiu de 15% para 4%, vale comemorar a evolução. Depois disso, precisamos fazer a pergunta que realmente importa: **o que mudou no risco da organização além desse número?**

É quando conseguimos responder a essa pergunta que deixamos de medir apenas o desempenho de uma campanha e começamos a entender se nosso programa está realmente contribuindo para tornar a organização mais segura.

---
Fonte: Beephish — https://beephish.com