Time de dez pessoas, um e-mail de fatura falso e um clique no link. Vazamento em startup costuma começar na caixa de entrada, e nenhum antivírus pega mensagem escrita com o nome da sua empresa.
Programa de uma hora por mês
Semana 1: mostre três e-mails reais e marque remetente que imita o domínio, link com domínio trocado e urgência inventada. Pessoa aprende a ler o domínio antes de clicar.
Semana 2: rode simulação com GoPhish (Gophish, 2025) e meça clique e tempo até reportar. O Verizon DBIR (Verizon, 2024) registra o elemento humano em 68% das violações analisadas, e treino derruba essa taxa.
Semana 3: treine o caminho de reporte. Quem recebe mensagem estranha encaminha para o canal de segurança e espera. Reporte rápido encurta contenção.
Semana 4: revise um incidente real da empresa sem nomear quem errou. Culpa derruba reporte no mês seguinte.
Proteção que acompanha
MFA: ative em todo acesso administrativo com aplicativo de código. O NIST SP 800-63B (NIST, 2017) restringe OTP por SMS para autenticação forte.
Domínio: publique SPF, DKIM e DMARC em modo de rejeição. E-mail de terceiro fingindo seu domínio cai fora.
Métrica
Acompanhe clique na simulação e taxa de reporte. Objetivo abaixo de 5% de clique e acima de 70% de reporte em três meses. Não publique ranking de nomes.
