Aulas contra phishing não funcionam como o esperado, diz estudo

Uma pesquisa realizada com 20 mil colaboradores do hospital universitário UC San Diego Health colocou em xeque uma das medidas mais comuns de segurança digital no ambiente corporativo: os treinamentos obrigatórios contra phishing. Apesar do esforço de empresas e órgãos públicos em educar funcionários sobre como identificar golpes, o estudo indica que essas iniciativas têm efeito mínimo na prática.

O levantamento acompanhou dez campanhas simuladas de phishing ao longo de oito meses em 2023. A expectativa dos pesquisadores era observar uma melhora gradual no desempenho dos participantes conforme recebiam treinamentos periódicos. No entanto, os resultados mostraram que a taxa de falhas se manteve praticamente estável, independentemente do tempo decorrido desde a última capacitação.

Segundo Grant Ho, professor da Universidade de Chicago e coautor do estudo, a conclusão é que os módulos de conscientização “não transmitiram conhecimento de segurança útil aos usuários”. A diferença entre quem havia passado pelo treinamento e quem não recebeu nenhum tipo de instrução foi de somente 1,7% nas simulações.

Uma das hipóteses para o baixo impacto é que o formato adotado não favorece a absorção do conteúdo. Em muitos casos, os módulos online eram ignorados: mais de 75% dos participantes passaram menos de um minuto na página de treinamento, enquanto entre 37% e 51% simplesmente a fecharam imediatamente após abrir.

“Muitas vezes, quando os funcionários clicam no treinamento, é apenas porque estavam navegando em outra aba ou verificando e-mails”, explicou Ho.

Os pesquisadores também testaram diferentes estilos de capacitação após cada simulação de phishing. Enquanto alguns grupos receberam dicas gerais de segurança, outros tiveram acesso a sessões interativas de perguntas e respostas ou a explicações detalhadas sobre o ataque enfrentado.

Fonte: Tecnoblog