A SecurityWeek conclui que o treinamento de conscientização sobre segurança continua sendo útil, mas fracassa quando se transforma em um curso anual e genérico de conformidade, sem relação com o contexto do funcionário ou com o momento da tomada de decisão. Com a evolução do phishing e da engenharia social apoiados por inteligência artificial, o treinamento comportamental recorrente deve ser integrado a controles técnicos, mecanismos de identidade e procedimentos de denúncia e verificação.
O valor do treinamento de conscientização sobre segurança não desaparece, mas a maneira tradicional de oferecê-lo já não é suficiente diante de ataques de engenharia social que mudam rapidamente e se beneficiam da inteligência artificial. Essa é a principal conclusão de uma análise publicada pela SecurityWeek, após ouvir especialistas em segurança e um cientista da psicologia cognitiva.
O treinamento geralmente se concentra em reduzir os erros dos funcionários que podem transformá-los em uma ameaça interna e em ajudá-los a resistir a mensagens de phishing e técnicas de manipulação. No entanto, o sucesso contínuo dos ataques, apesar da disseminação dos programas de treinamento, levanta a questão de saber se esses programas realmente mudam o comportamento ou se apenas comprovam a conclusão de um curso obrigatório.
Do treinamento ao simples cumprimento dos requisitos
Stefan Dasic, da Malwarebytes, considera que muitos programas fracassam por causa da forma como são operados; eles são repetitivos e genéricos a ponto de parecerem inúteis. Outros especialistas acrescentam que os requisitos de conformidade e de seguros levam as organizações a reapresentar o mesmo conteúdo a todos os funcionários anualmente, independentemente de seu conhecimento prévio ou da natureza dos riscos que enfrentam.
Essa prática pode produzir altas taxas de conclusão sem uma mudança equivalente no comportamento. Além disso, o foco na conformidade pode transformar o mínimo exigido em um objetivo final, em vez de tratá-lo como uma linha de base que pode ser aprimorada. Segundo as opiniões apresentadas na análise, os cursos genéricos nem sempre refletem as técnicas modernas de engenharia social ou os ataques que utilizam inteligência artificial.
O que muda na prática?
O treinamento funciona quando prepara o funcionário para uma situação específica, mas os atacantes mudam continuamente seus métodos. Por isso, os especialistas sugerem que o treinamento seja mais frequente, mais próximo da função do funcionário e inclua orientações claras sobre o que fazer ao suspeitar de uma mensagem ou solicitação incomum, como denunciar ou verificar, em vez de apenas reconhecer sinais de phishing.
Os participantes enfatizam que o treinamento não pode ser a única linha de defesa. Ele deve ser apoiado por uma arquitetura de segurança moderna que inclua proteção de identidade, autenticação multifator, controles técnicos e procedimentos claros de verificação. Um bom projeto de sistemas presume a possibilidade de erro humano, em vez de atribuir ao funcionário a responsabilidade de impedir todos os ataques.
A tarefa se torna ainda mais difícil com ataques que produzem mensagens mais convincentes e personalizadas, além da clonagem de voz e do uso de canais móveis, como mensagens de texto, WhatsApp e aplicativos de mensagens. A análise cita Mike Aalto, da Hoxhunt, que estima um aumento de 14 vezes no phishing gerado por inteligência artificial na transição de 2025 para 2026, com o aprimoramento de métodos antigos, em vez do surgimento de táticas completamente novas.
O comportamento e o contexto são mais importantes do que a memorização
O artigo indica que o treinamento simulado de phishing pode reduzir temporariamente as taxas de vítimas, mas esse efeito pode desaparecer em alguns meses. Por isso, alguns especialistas recomendam um treinamento comportamental contínuo, concentrado em um número limitado de ações mensuráveis, como denunciar ameaças e usar autenticação multifator, com intervenções e lembretes apresentados no contexto adequado.
Uma das perspectivas compara a conscientização sobre segurança à publicidade digital: em vez de enviar a mesma mensagem a todos ao mesmo tempo, a conscientização pode ser projetada para chegar quando o funcionário se depara com uma determinada decisão ou risco. O objetivo não é considerar o funcionário o elo mais fraco, mas torná-lo parte ativa do sistema de monitoramento e resposta.
Limites da memória e da previsão
Jordan Richard Schoenherr, psicólogo cognitivo da Humanix e professor adjunto da University of New South Wales, explica a dificuldade do treinamento pelo fato de que o esquecimento é o estado padrão da memória e ocorre rapidamente. Mesmo lembrar-se de uma informação não garante saber quando e como usá-la. Por isso, a aprendizagem precisa de atualização frequente e de estímulos comportamentais que reativem o conhecimento no momento da decisão.
Mas ensinar os funcionários a reconhecer padrões conhecidos traz um risco adicional: eles podem interpretar a ausência de erros ortográficos ou de sinais tradicionais como prova de que a mensagem é legítima, embora não seja. Além disso, o treinamento de hoje pode se tornar obsoleto com o surgimento de novas variáveis, o que torna mais útil construir vários cenários e tomar decisões em condições de profunda incerteza do que depender de uma única previsão sobre o futuro.
Leitura editorial da certi.news: a verdadeira mudança não é eliminar o treinamento, mas transformá-lo de um programa anual de conformidade em uma capacidade operacional contínua, que meça o comportamento e o apoie com tecnologia. Ainda assim, o artigo não comprova que um único modelo tenha resolvido o problema; os especialistas reconhecem que o treinamento continuará limitado diante da assimetria dos riscos, da velocidade dos ataques e da complexidade da memória humana. Portanto, as questões em aberto continuam relacionadas a como medir a mudança comportamental, por quanto tempo ela persiste e até que ponto as organizações conseguem atualizar o treinamento mais rapidamente do que os atacantes se adaptam.