A equipe financeira da Ubiquiti havia concluído seu treinamento.
Em junho de 2015, invasores passando-se por executivos da empresa enviaram uma série de e-mails ao departamento financeiro da Ubiquiti. As mensagens pareciam legítimas. A linguagem correspondia ao tom interno. As solicitações pareciam urgentes e confidenciais. Ao longo de 17 dias, a equipe financeira autorizou 14 transferências bancárias totalizando US$ 46,7 milhões para contas no exterior controladas pelos invasores.
Nenhum sistema foi invadido. Nenhuma credencial foi roubada. Uma investigação interna não encontrou evidências de envolvimento criminoso de funcionários. O próprio documento da empresa enviado à SEC descreveu o ocorrido claramente: falsificação de identidade de funcionários e solicitações fraudulentas direcionadas ao departamento financeiro.
O treinamento não impediu o ocorrido. A taxa de conclusão não previu o problema. E o painel de controle permaneceu verde enquanto o dinheiro era desviado.
As taxas de conclusão medem o indicador errado
Eis o que uma taxa de conclusão de treinamento de 94% realmente lhe diz: 94% dos seus funcionários clicaram em um módulo. Isso não lhe diz nada sobre se eles entenderam, retiveram o conteúdo ou se reconheceriam o ataque caso ele chegasse à caixa de entrada deles esta tarde.
Isso não é uma crítica ao esforço dos funcionários. É um problema estrutural na forma como os programas de segurança escolheram medir o sucesso.
O relatório State of the Phish 2024 da Proofpoint constatou que 68% dos funcionários colocam suas organizações em risco conscientemente: reutilizando senhas, clicando em links de remetentes desconhecidos, entregando credenciais. A palavra-chave é conscientemente. Não se tratava de funcionários que desconheciam as regras. Eram funcionários cujo treinamento mudou seu conhecimento, mas não seu comportamento.
Conscientização e comportamento são coisas diferentes. Programas de segurança que confundem ambos estão medindo atividade e chamando-a de risco.
O que as taxas de clique não revelam
As taxas de clique em simulações de phishing são mais úteis do que as taxas de conclusão, mas possuem suas próprias limitações.
Uma taxa de clique mede o desempenho de um funcionário em uma simulação específica, em um dia específico, contra um tipo de ataque específico. Ela não mede como ele reagiria a uma chamada de vishing em uma tarde de sexta-feira. Não captura se ele reconheceria um deepfake do seu CFO em uma videochamada. Não reflete o que acontece quando o ataque não se parece em nada com o cenário em que ele treinou no último trimestre.
Mais importante: os funcionários que clicam em simulações nem sempre são os que caem em ataques reais. Alguém que ignora um e-mail de phishing simulado pode transferir fundos sem pensar duas vezes quando uma voz ao telefone se identifica como seu CEO e cria urgência suficiente. Uma taxa de clique baixa na sua última campanha não é prova de que sua equipe de contas a pagar está segura.
Um único ponto de dados de um único canal não é uma pontuação de risco. É um retrato de um comportamento em um contexto, que se torna obsoleto no momento em que o próximo tipo de ataque surge.
Como é um sinal de risco real
O risco humano não é um momento isolado. É um padrão construído a partir de múltiplos sinais ao longo do tempo. Qualquer pontuação que não leve isso em conta é, por definição, incompleta.
Comportamento em simulações ao longo do tempo e por tipo de ataque. O mesmo funcionário caiu em duas simulações diferentes em seis meses? Um e-mail de phishing em janeiro, um cenário de vishing em março? Isso é um padrão. Um único clique em uma única simulação é ruído. Vulnerabilidade repetida em diferentes vetores é sinal.
Engajamento no treinamento, não apenas conclusão. Existe uma diferença significativa entre um funcionário que passou 12 minutos trabalhando em um módulo baseado em cenários e um que clicou em tudo em quatro minutos na velocidade mínima. A conclusão registra ambos da mesma forma. O engajamento, não.
Postura de MFA. Um funcionário que não ativou um segundo fator de autenticação é uma vulnerabilidade, independentemente do seu histórico de treinamento. Essa lacuna pertence ao seu perfil de risco. É um sinal concreto e mensurável que prevê exposição, e não tem nada a ver com o fato de ele ter passado em um teste de phishing.
Sinais de dispositivo e identidade. Estados de dispositivo de risco, endpoints não gerenciados, uso de shadow IT. Estes são comportamentos observáveis que criam exposição real. Uma pontuação de risco que os ignora baseia-se em informações incompletas.
Exposição baseada em funções. Um funcionário do setor financeiro que lida com transferências bancárias externas possui um risco base diferente de um desenvolvedor sem acesso a pagamentos. Uma pontuação que não leva em conta a função está nivelando o cenário de risco de uma forma que deturpa onde o perigo real reside.
Nenhum desses sinais vive em um painel de conclusão de treinamento. Eles exigem um modelo totalmente diferente: um criado para medir o risco continuamente, não para registrar que uma caixa foi marcada.
Por que os programas legados de SAT não conseguem construir isso
As plataformas legadas de SAT foram criadas para rastrear a conclusão. Isso não é uma falha de design; é uma escolha de design que reflete o que esses programas foram criados para vender. Um painel com marcas de verificação verdes é o que é entregue. A documentação de conformidade é o resultado. O programa funciona em um ciclo trimestral ou anual porque é assim que os contratos são estruturados, não porque é assim que o risco funciona.
Essas plataformas não ingerem os dados de identidade da sua organização. Elas não conhecem sua postura de MFA. Elas não têm visibilidade dos estados dos seus dispositivos ou da sua telemetria comportamental. Elas não sabem a diferença entre sua equipe de contas a pagar e sua equipe de TI.
Os resultados das simulações que elas possuem – taxas de cliques, porcentagens de conclusão – representam apenas uma entrada em um quadro de risco multidimensional. Essa única entrada é empacotada como uma pontuação de risco e apresentada ao conselho como uma medida de segurança organizacional. Não é. É uma medida de como os funcionários se saíram na simulação que seu fornecedor projetou, executada no cronograma que seu fornecedor definiu, contra tipos de ataque que seu fornecedor escolheu.
A lacuna entre essa pontuação e sua exposição real ao risco é onde os atacantes operam.
Uma pontuação que reflete o risco real
O Human Risk Score da Frame é um número vivo. Não é um instantâneo do último trimestre. É um sinal contínuo construído a partir de cada ponto de dados que realmente prevê a vulnerabilidade.
O que o alimenta: cada resultado de simulação, cada conclusão de treinamento e sinal de engajamento, status de registro de MFA, sinais de identidade, postura do dispositivo e telemetria comportamental das suas ferramentas de segurança conectadas. A pontuação é atualizada à medida que essas entradas mudam, o que significa que ela reflete a postura de risco da sua organização agora. Não quando você executou uma campanha pela última vez.
O que ele produz: uma pontuação por funcionário que indica exatamente quem são os colaboradores de maior risco neste momento, por cargo, departamento e comportamento. Não quem concluiu o treinamento no mês passado. Mas quem está realmente exposto hoje.
O que acontece a seguir: quando uma pontuação de risco ultrapassa um limite, Planos de Ação são disparados automaticamente. O treinamento certo chega à pessoa certa no momento em que o sinal aparece – não no próximo ciclo agendado, nem quando alguém revisa um relatório manualmente. O ciclo se fecha sem que seja necessário que um humano perceba a falha primeiro.
E quando chega a hora de apresentar relatórios ao conselho, a pergunta deixa de ser "qual a porcentagem que concluiu o módulo". Passa a ser: veja como o risco mudou em toda a organização nos últimos 90 dias. Veja quais cargos estão melhorando. Veja onde a exposição está concentrada. Isso sim é uma conversa sobre segurança. A conversa sobre taxas de conclusão nunca foi, de fato, sobre segurança.
A equipe financeira da Ubiquiti concluiu o treinamento. Eles transferiram US$ 46,7 milhões para contas controladas por pessoas que se passavam por seus executivos. O painel dizia que eles estavam prontos. O ataque provou o contrário.
As taxas de conclusão mostram quem clicou em "concluído". Uma pontuação de risco real mostra quem reconheceria o ataque. São coisas diferentes. E apenas uma delas teria impedido a transferência bancária.
