Em cinco anos, o percentual de empresas brasileiras atingidas por phishing saltou de 28% para 58%, mesmo com 96% delas já investindo em segurança da informação, segundo o Brazilian CyberSecurity Index da BugHunt, estudo contínuo com 240 empresas conduzido entre 2021 e 2026. O phishing é hoje o único vetor de ataque que cresce de forma ininterrupta nessa série histórica, num cenário em que a maturidade em segurança avançou em quase todas as outras frentes. A contradição incomoda qualquer gestor que já aprovou orçamento para treinamento de conscientização e viu a taxa de cliques em simulações de phishing não se mover, ou piorar depois de alguns meses. Este artigo mostra por que o modelo de conscientização baseado em evento único de compliance parou de produzir resultado, e o que muda, com dados de mercado e um caso mensurável, quando o mesmo investimento é tratado como processo contínuo.
O treinamento que vira item de checklist
A maioria dos programas de conscientização nasce como resposta a uma exigência de auditoria ou a um incidente recente. O colaborador assiste a um vídeo, responde a um questionário e recebe um certificado, e a organização registra a ação como concluída. A ameaça não segue esse calendário. O elemento humano esteve presente em 62% das violações de dados analisadas pelo Verizon 2026 Data Breach Investigations Report, ante 60% no ano anterior, e a engenharia social já é o terceiro padrão de violação mais frequente, respondendo por 16% do total. Esses números caem quando o comportamento é observado, corrigido e reforçado de forma repetida ao longo do tempo.
No Brasil, essa desconexão fica mais visível. Entre 2021 e 2026, o percentual de empresas que já investem em segurança da informação passou de 72% para 96%, segundo a BugHunt. No mesmo período, o percentual de empresas impactadas por phishing dobrou. O investimento cresceu de forma consistente. O comportamento do usuário que abre, clica e informa credenciais não acompanhou essa curva, porque depende de um processo diferente do que compra tecnologia de perímetro.
Na prática, decisões de reforçar o programa costumam ser adiadas assim que o certificado é emitido. O problema está na estrutura desse investimento, concentrado em um evento pontual de treinamento em vez de um processo contínuo de conscientização, monitoramento e resposta.
O que os números mostram quando o treinamento é contínuo
A pesquisa Phishing by Industry Benchmarking 2026, da KnowBe4, mediu esse efeito em escala: 42 milhões de simulações de phishing, 14,8 milhões de usuários e 64 mil organizações no mundo. A taxa de suscetibilidade a phishing começa em 33,2% antes de qualquer treinamento, cai para 20,1% em 90 dias e chega a 4,2% depois de um ano de treinamento contínuo, uma redução de 79% em doze meses. A maior parte da melhora não acontece nos primeiros três meses, quando a maioria dos programas de compliance já declara a etapa concluída. Ela se consolida ao longo de um ciclo de doze meses, com reforço recorrente.
O recorte por porte de empresa importa para quem gerencia risco em organizações maiores: companhias com mais de 10 mil colaboradores começam com uma suscetibilidade inicial mais alta (39,5%) que empresas pequenas (24,7%), pela maior superfície de ataque e pela menor proximidade entre gestão e operação. Quanto maior a organização, mais ela depende de um processo estruturado para reduzir esse número de forma consistente.
Um caso de mercado recente ilustra o mesmo padrão em escala menor e com acompanhamento próximo: um programa de oito meses conduzido por uma consultoria brasileira de cibersegurança em parceria com uma plataforma de simulação de phishing levou a taxa de cliques em phishing simulado de uma indústria de engenharia e projetos de médio porte, com cerca de 80 colaboradores participantes, de 24,64% para 1,41%, queda de 94,28%. A trajetória é consistente com o benchmark global da KnowBe4: melhora real, construída ao longo de meses.
O que está em jogo além da taxa de cliques
Uma taxa de cliques em phishing alta tem peso que ultrapassa o indicador de treinamento. Cada clique representa uma porta de entrada potencial para ransomware, fraude financeira ou exfiltração de dados, com efeito direto sobre continuidade operacional. Interrupção de sistemas, tempo de resposta a incidente e custo de recuperação escalam rapidamente quando o vetor de entrada é humano e não foi mitigado a tempo.
Há também exposição regulatória: incidentes que envolvem vazamento de dados pessoais acionam obrigações de notificação e desgastam a reputação da organização diante de clientes e parceiros. Para o board, a decisão relevante deixa de ser quanto investir em treinamento e passa a ser qual nível de exposição a empresa está disposta a sustentar enquanto o phishing seguir crescendo como vetor no Brasil.
Segurança como estrutura de decisão, não como evento
Organizações que reduzem esse indicador de forma sustentada tratam conscientização como parte de um sistema. Isso significa integrar simulação recorrente, monitoramento de comportamento e gestão de vulnerabilidades, com acompanhamento próximo entre quem executa o programa e quem decide sobre risco. O papel do board nesse desenho é exigir indicadores de tendência ao longo do tempo e comparar a organização com benchmarks de setor, como os que a KnowBe4 e a BugHunt publicam anualmente.
O caso da indústria de engenharia citado anteriormente foi conduzido pela Piersec, em parceria com a Beephish, sob um programa batizado internamente de Fluxo Guardião: reuniões periódicas de acompanhamento, análise de indicadores, monitoramento contínuo via SOC e gestão de vulnerabilidades, com acompanhamento pela solução PIER360. Segundo Alex Vieira, CEO da Piersec, o objetivo foi “estruturar um trabalho contínuo de evolução da maturidade em segurança da informação, unindo conscientização, monitoramento e acompanhamento estratégico próximo ao cliente”. Maurício Tavares, gestor de TI do Grupo YAMAM, descreve o efeito no dia a dia: colaboradores mais atentos, que questionam situações suspeitas, pedem apoio quando têm dúvida e avaliam com mais cuidado arquivos e links antes de interagir. Para Glauco Sampaio, CEO da Beephish, a diferença aparece quando a empresa acompanha comportamento, contexto e percepção de risco de forma contínua: o colaborador passa a contribuir para a redução da exposição, em vez de atuar apenas como alvo.
O padrão se repete em todas as fontes consultadas para este artigo: o vetor humano recua quando a organização mede, repete e ajusta o processo de conscientização ao longo do tempo, como mostram o benchmark global da KnowBe4 e o caso brasileiro descrito acima. O Brasil já resolveu a parte mais simples desse problema: investir em segurança da informação virou rotina para 96% das empresas. A parte que ainda falta é tratar conscientização com a mesma disciplina de processo contínuo já aplicada a outras áreas de risco. Enquanto isso não acontecer, o phishing continuará sendo o vetor que cresce mesmo quando o resto da postura de segurança parece sob controle.
