Ação derruba taxa de cliques em phishing de 24,64% para 1,41% e acelera maturidade em segurança
O Grupo YAMAM, empresa nacional de engenharia e projetos industriais, conseguiu um resultado raro em programas de conscientização em segurança digital: reduzir em 94,28% a taxa de cliques em campanhas simuladas de phishing. Em apenas oito meses, o índice caiu de 24,64% para apenas 1,41%, por meio de uma estratégia contínua de educação, monitoramento e mudança de comportamento dos usuários, construída em parceria com a PIERSEC e a Beephish.
O projeto teve início em setembro de 2025 e foi estruturado como um ciclo permanente, e não como uma ação pontual de treinamento. Ao longo desse período, cerca de 80 colaboradores foram expostos a simulações de phishing, treinamentos práticos, conteúdos educativos e ações de reforço de cultura de segurança, passando por fases que iam da sensibilização inicial até camadas mais avançadas de monitoramento e proteção.
Antes da iniciativa, o cenário era típico de muitas organizações: dificuldade generalizada para reconhecer tentativas de fraude, baixa percepção de risco no uso de e-mails, links e arquivos, e elevado nível de confiança em comunicações que envolviam temas sensíveis, como benefícios internos, RH ou questões financeiras. Esse tipo de contexto costumava resultar em alto número de cliques em mensagens simuladas de phishing, evidenciando vulnerabilidades de comportamento.
Ao longo dos oito meses, as campanhas foram cuidadosamente desenhadas para refletir situações reais enfrentadas pelos usuários, com temas próximos da rotina corporativa. As respostas dos colaboradores às simulações serviam de insumo para ajustes constantes do programa, permitindo calibrar o nível de complexidade dos ataques simulados e direcionar treinamentos mais assertivos para os grupos com maior exposição ou dificuldade.
De acordo com Maurício Tavares, gestor de TI do Grupo YAMAM, a transformação mais importante foi a mudança perceptível na postura das pessoas frente a riscos digitais. Ele destaca que hoje os colaboradores se mostram mais cautelosos, observando detalhes, questionando situações suspeitas e buscando apoio quando algo foge do padrão esperado. Arquivos e links passaram a ser avaliados com mais criticidade antes de qualquer interação. Tavares ressalta que o tema de segurança digital deixou de ser visto como algo distante, passando a fazer parte das conversas do dia a dia, ainda que haja espaço para avançar mais.
O trabalho foi conduzido pela PIERSEC por meio do programa Fluxo Guardião, uma abordagem que combina governança, processos e tecnologia em um ciclo contínuo. O modelo inclui reuniões periódicas com as áreas responsáveis, análise de indicadores de comportamento e de segurança, definição e execução de planos de ação, além do acompanhamento da evolução da maturidade em segurança cibernética da empresa ao longo do tempo.
Segundo Alex Vieira, CEO da PIERSEC, a proposta sempre foi ir além da simples oferta de ferramentas. A empresa estruturou com o Grupo YAMAM um plano de evolução contínua da segurança da informação, integrando conscientização de usuários, monitoramento 24×7 e um acompanhamento estratégico próximo da liderança. Nesse contexto, entram componentes como monitoramento via SOC (Security Operations Center), gestão de vulnerabilidades e tratamento de eventos de segurança suportados pela solução PIER360.
A Beephish, por sua vez, foi responsável por desenhar e operar as campanhas simuladas de phishing, além de apoiar as frentes de capacitação e mudança de comportamento. Para Glauco Sampaio, CEO da Beephish, o caso do Grupo YAMAM ilustra um desafio ainda predominante nas organizações: ataques que exploram fragilidades humanas e falhas de rotina, mais do que brechas técnicas em sistemas. Na visão dele, quando a empresa passa a acompanhar continuamente o comportamento, o contexto de trabalho e a percepção de risco das pessoas, o colaborador deixa de ser apenas um elo frágil e se transforma em agente ativo na redução da exposição.
Os resultados práticos extrapolaram os gráficos e relatórios. No dia a dia, a equipe de TI passou a observar atitudes concretas que evidenciam maior consciência cibernética. Usuários começaram a reportar e-mails suspeitos de forma proativa, evitar a abertura de anexos de origem desconhecida e validar diretamente com áreas internas a veracidade de pedidos recebidos por e-mail, principalmente quando envolviam dados sensíveis, alterações de cadastro ou solicitações financeiras.
Essa mudança também teve efeito na cultura organizacional. Segurança digital, antes vista como um tema exclusivamente técnico, passou a ser integrada às discussões de liderança, às reuniões de equipe e até aos processos de onboarding de novos colaboradores. A percepção de que qualquer usuário pode tanto comprometer quanto proteger o ambiente da empresa ganhou força. Com isso, a responsabilidade pela proteção deixou de ser exclusivamente da TI e passou a ser distribuída entre áreas e pessoas.
O projeto não foi tratado como uma ação com começo, meio e fim, mas como um ciclo de evolução contínua. Após a primeira fase de oito meses, o Grupo YAMAM manteve o programa ativo, com foco em elevar ainda mais a maturidade em segurança da informação e consolidar a redução permanente da exposição a riscos. A continuidade envolve ajustes em campanhas, criação de novos conteúdos de educação, ampliação do monitoramento e integração dos aprendizados às políticas e processos internos.
Um aspecto relevante foi o uso de indicadores objetivos para orientar decisões. Em vez de se apoiar apenas em percepções, a empresa passou a acompanhar métricas como taxa de cliques em phishing simulado, velocidade de reporte de incidentes suspeitos, taxa de engajamento em treinamentos, evolução por área ou perfil de usuário e recorrência de comportamentos de risco. Esses dados permitiram identificar pontos críticos e priorizar ações onde o impacto seria maior.
Esse tipo de abordagem torna-se ainda mais importante em um cenário de aumento de fraudes digitais e profissionalização do cibercrime. Atacantes empregam engenharia social sofisticada, uso de dados expostos em incidentes anteriores, personalização de mensagens e até recursos de inteligência artificial para tornar as tentativas de phishing mais convincentes. Em ambientes industriais e de engenharia, o risco não se limita à perda de dados: pode haver impacto direto em operações, contratos, imagem e até segurança física, dependendo da criticidade dos projetos.
A experiência do Grupo YAMAM mostra, na prática, que tecnologia sozinha não resolve o problema. Firewalls, antivírus, sistemas de detecção de intrusão e demais soluções de proteção continuam sendo essenciais, mas não são suficientes se o comportamento do usuário não acompanhar esse nível de proteção. A combinação de SOC, gestão de vulnerabilidades e programas estruturados de conscientização cria uma camada adicional de defesa, na qual o colaborador passa a integrar, de fato, a linha de frente contra ataques.
Outro ponto-chave do projeto foi a adaptação da linguagem de segurança para o contexto real dos colaboradores. Em vez de mensagens genéricas, foram trabalhados exemplos próximos da rotina da empresa, como comunicações envolvendo fornecedores, pedidos internos de alteração de pagamento, interações com equipes de campo e documentos de projetos. Isso torna o conteúdo mais relevante e aumenta a chance de que o aprendizado seja aplicado fora do ambiente de treinamento.
Ao mesmo tempo, o programa evitou a abordagem punitiva. O foco não era “pegar” quem clicava, mas utilizar cada clique como oportunidade de aprendizado. Usuários que falhavam em uma simulação eram imediatamente direcionados a materiais explicativos simples e objetivos, entendendo o que havia sido explorado pelo ataque e como poderiam se proteger em situações semelhantes no futuro. Essa postura colaborativa contribuiu para reduzir resistências e estimular o engajamento.
Para empresas que buscam resultados semelhantes, o caso do Grupo YAMAM indica alguns elementos essenciais: patrocínio da alta gestão, constância das ações ao longo do tempo, uso de métricas claras, alinhamento entre TI, RH e liderança das áreas de negócio e integração entre conscientização, processos e tecnologia. Outro aprendizado importante é iniciar com grupos menores, como foi feito com aproximadamente 80 colaboradores, para testar abordagens, ajustar a estratégia e depois escalar.
Por fim, a trajetória do Grupo YAMAM reforça que maturidade em segurança da informação não se conquista apenas com investimentos pontuais, mas com um processo contínuo de evolução cultural. Reduzir a taxa de cliques em phishing de 24,64% para 1,41% em oito meses é um indicador expressivo de sucesso, mas, mais do que um número, representa a consolidação de um novo nível de consciência digital entre os colaboradores – um ativo estratégico em um cenário de crescente pandemia de fraudes e ameaças cibernéticas. O desafio agora é manter esse movimento vivo, adaptando-o constantemente à evolução dos ataques e às mudanças no próprio negócio.