18. Protocolos que funcionam com medo

Dezenove mil e quinhentos funcionários

Em um hospital universitário da Califórnia, o UC San Diego Health, pesquisadores da Universidade da Califórnia em San Diego fizeram durante oito meses um experimento que pouca gente tem coragem de fazer em escala. Enviaram e-mails de phishing simulados, de dez tipos diferentes, a cerca de 19.500 funcionários. O desenho avaliava dois tipos de treinamento: o aplicado no instante em que o funcionário errava e o treinamento anual obrigatório de segurança. Os resultados foram apresentados em 2025 no simpósio IEEE de segurança e privacidade, e o artigo se chama, em tradução livre, "Entendendo a eficácia do treinamento contra phishing na prática".

O número que mais circulou depois foi o menor. Segundo o comunicado da universidade, o treinamento aplicado no momento do erro reduziu a chance de clicar em um link de phishing em cerca de 2%. Pouco, e o resto dos dados ajuda a entender por quê. Cerca de 10% dos funcionários clicaram em algum link logo no primeiro mês, e, ao longo dos oito meses, mais da metade tinha clicado em ao menos um. A isca importava muito mais do que a pessoa: um aviso falso de atualização de senha de e-mail foi clicado por 1,82% dos que o receberam, enquanto um aviso falso sobre mudança na política de férias foi clicado por 30,8%. E o treinamento, quando aparecia, era pouco visto: três quartos dos funcionários gastaram um minuto ou menos nele, e um terço fechou a página sem fazer nada.

Os autores concluíram que os programas de treinamento contra phishing, nas formas hoje mais comuns, dificilmente trazem valor prático significativo na redução do risco, e recomendaram investir em barreiras técnicas, como autenticação em dois fatores e gerenciadores de senha que só preenchem a senha no domínio correto. Eu cito o estudo com a cautela de sempre: foi um hospital, nos Estados Unidos, com os tipos de e-mail e de treinamento que ele usava, e outros estudos chegam a resultados parecidos, mas não idênticos. Nenhum deles prova que treinar é inútil em toda parte.

O que o experimento deixa de pé é uma ideia que este livro vem construindo desde o capítulo 2. Quem cai não é, em média, o descuidado. Cai quem recebe a isca certa no momento errado, e a isca de política de férias, que trata de algo que importa, chega em hora de trabalho corrido e vem de uma fonte plausível, rendeu cerca de dezessete vezes mais cliques do que a de senha. Se a eficácia do golpe depende do momento, a defesa que depende de a pessoa lembrar, naquele momento, de uma aula antiga está apostando na parte mais frágil. Este capítulo trata da alternativa: protocolos, ou seja, regras combinadas antes, simples o bastante para funcionar com medo, com pressa e com sono, que tiram da pessoa a obrigação de ser brilhante no pior instante.

O que você vai levar deste capítulo

Conselho genérico, como "desconfie" e "tenha cuidado", falha porque exige julgamento no momento em que o julgamento está sob ataque. Protocolo funciona porque troca julgamento por regra.

Um bom protocolo tem poucas regras, não admite exceção por urgência, usa um canal que o golpista não controla e dá à pessoa a permissão explícita de parar sem se desculpar.

Na família, o núcleo é a palavra-senha, o retorno de ligação e o limite no banco. Com pais idosos, o protocolo se combina como aliança, e não como tutela. Na empresa, o núcleo é a dupla aprovação, o retorno por canal cadastrado e a quarentena de dados novos.

A pesquisa mostra que treinamento e simulação de phishing, sozinhos, têm efeito pequeno. O que funciona é combinar barreiras técnicas, processo e uma cultura em que reportar não custa nada.

Por que conselho não basta

O momento ataca o juízo

O capítulo 2 reuniu a pesquisa sobre por que gente inteligente cai, e a conclusão cabe numa linha: o golpe é desenhado para funcionar quando a pessoa não está no seu melhor estado. Emoção forte, pressa, autoridade e isolamento estreitam a atenção, e a mesma pessoa que perceberia o erro numa terça de manhã, de café na mão, não o percebe numa sexta às 22h, com a voz de um filho em pânico no telefone. Pedir que ela "desconfie" é pedir que use, no momento de pior desempenho, uma ferramenta que só funciona no de melhor.

Há uma segunda falha no conselho: ele supõe que a pessoa sabe de que desconfiar. O golpe novo é, por definição, o que a pessoa ainda não ouviu. Uma lista de tipos de golpe envelhece em meses, e o capítulo 16 mostrou como a inteligência artificial desloca a embalagem sem mudar o mecanismo. A regra de processo não precisa reconhecer o golpe. Ela só precisa de um gatilho simples, como "pedido de dinheiro" ou "pedido de código", e de uma resposta fixa.

O que outras profissões aprenderam

A aviação e a medicina chegaram a isso muito antes dos golpes digitais. Pilotos experientes erram em emergência, e a aviação passou a adotar listas de verificação que se leem em voz alta, não porque os pilotos sejam ruins, mas porque são humanos. Na cirurgia, um estudo publicado em 2009 no New England Journal of Medicine, com oito hospitais em oito cidades e um roteiro de 19 itens, encontrou queda de 1,5% para 0,8% nas mortes hospitalares depois de operações de grande porte, e de 11% para 7% nas complicações, em comparação com o período anterior ao roteiro. É um estudo de comparação antes e depois, e não um experimento controlado, e cirurgia não é fraude. Mas o princípio vale: quando o erro humano é inevitável e caro, o remédio é um processo que não depende do brilho de ninguém. A engenharia de segurança chama isso de remover a dependência do elo humano mais fraco, e a boa notícia é que ele é barato.

Como se desenha um protocolo

Sete princípios organizam todos os protocolos deste capítulo. Vale conhecê-los, porque servem para inventar outros.

O primeiro é o pré-compromisso. A decisão é tomada antes, com a cabeça fria, e não durante. É o que Ulisses fez ao pedir que o amarrassem ao mastro antes de ouvir as sereias. A regra "nunca faço Pix por mensagem sem ligar de volta" é um pré-compromisso: no momento da pressão, não há decisão a tomar, só uma regra a cumprir.

O segundo é o atrito deliberado. O golpe depende de que o caminho entre a isca e o pagamento seja curto e sem tropeços. Cada degrau que você coloca nesse caminho, uma ligação, uma espera, uma segunda pessoa, custa pouco a quem está fazendo uma operação legítima e muito a quem depende de pressa. Um golpe que precisa esperar quinze minutos já perdeu metade da força.

O terceiro é o canal independente. A verificação só vale se for feita por um caminho que o golpista não controla: o número que você já tinha, o aplicativo oficial, a pessoa na sala ao lado. Ligar de volta para o número que apareceu na tela, ou responder pela mesma conversa, é verificar com o golpista. É o princípio do capítulo 17, aplicado antes do dano.

O quarto é a regra sem exceção por urgência. A urgência é o sintoma. Um protocolo que diz "confirme sempre, a menos que seja muito urgente" não protege contra o golpe, porque todo golpe é muito urgente. A exceção precisa ser escrita pelo avesso: quanto mais urgente, mais se confirma.

O quinto é a separação de funções. Quem pede não aprova, quem aprova não paga, quem paga não concilia. Em casa, a versão é ter uma segunda pessoa que sabe de movimentações grandes. A fraude interna do capítulo 12 e a fraude externa do capítulo 11 se tratam com o mesmo desenho.

O sexto é a permissão para parar. Muita gente cai porque parar parece rude, ineficiente ou arriscado para a relação. O protocolo deve dizer, expressamente, que ninguém será criticado por confirmar, atrasar ou recusar, mesmo que o pedido fosse legítimo. Na empresa, isso se escreve. Na família, se diz em voz alta.

O sétimo é o ensaio. Um protocolo que nunca foi ensaiado não existe. A pessoa que nunca fez o retorno de ligação não o fará no susto. A razão de se praticar é que o procedimento passa a ser memória muscular, e a memória muscular sobrevive ao pânico melhor do que o conhecimento.

A família

A palavra-senha e a pergunta de verdade

O capítulo 16 tratou da palavra-senha de família com detalhe, e não vou repeti-lo. Lembro só o essencial: ela é combinada pessoalmente, não está em nenhum perfil nem em nenhum dado público, quem recebe o pedido é quem pergunta, e ela se troca depois de qualquer uso. Acrescento aqui a função que ela cumpre no protocolo. A palavra-senha é o gatilho que converte "alguém que parece meu filho me pede dinheiro" em "alguém que não consegue provar quem é". Ela tira da vítima o ônus de decidir se a voz é verdadeira, o que a inteligência artificial tornou impossível, e o coloca em um teste objetivo.

A palavra-senha tem uma fraqueza conhecida: a pessoa em pânico esquece de perguntar. Por isso ela convive com a regra seguinte, o retorno de ligação, e as duas são desenhadas para que seja preciso falhar nas duas para o golpe passar.

O retorno de ligação

A regra é simples: qualquer pedido de dinheiro, de código ou de informação sensível que chegue por mensagem ou por telefone é confirmado por uma ligação feita por você, para um número que você já tinha, antes de qualquer ação. O número é o da agenda, o do cartão do banco, o do site oficial digitado por você, e jamais o que apareceu na mensagem. Em ligações que simulam o banco, o capítulo 5 mostrou o cuidado extra: o golpista pode manter a linha aberta depois de você desligar, de modo que a regra inclui esperar um tempo antes de discar, ou usar outro telefone, e ouvir o tom de linha. A confirmação com o parente se faz também por outro canal: ligue para o outro número dele, para a mãe, para o irmão. Se ninguém atender, a resposta não é pagar. É esperar.

Um detalhe que muita família esquece é incluir a videochamada na lista do que não prova nada. O caso Arup, do capítulo 11, e a discussão do capítulo 16 mostram que imagem e voz sintéticas já enganaram profissionais atentos. O protocolo de uma família de 2026 não pode tratar "vi o rosto" como confirmação.

Regra do tempo para valores acima de um limite

A terceira regra é de tempo. Combine em família um valor a partir do qual nenhum pedido de dinheiro é atendido antes de 30 minutos e de uma conversa com uma segunda pessoa. O número é arbitrário, mas o efeito não é: o golpe de pressão tem como motor a ideia de que "não há tempo". Meia hora e uma conversa quebram o roteiro. Os golpistas conhecem isso, e é por isso que costumam pedir segredo. Quem diz "não conte a ninguém" está dizendo qual regra não quer que você use.

O banco: limites, atrasos e alertas

O que a família decide em casa pode ser reforçado por configurações no banco. O capítulo 6 explicou por que o Pix não dá a si mesmo um intervalo de arrependimento, e por que o único atraso que você terá é o que construir. Algumas dessas construções estão ao alcance de qualquer cliente, embora os recursos e os nomes variem de banco para banco e mudem com o tempo, o que exige conferir no seu aplicativo.

A primeira é o limite de Pix, diurno e noturno, ajustado ao uso real e não ao máximo oferecido. Se você nunca faz um Pix de mais de R$ 2.000, não há razão para o limite ser de R$ 20.000. Um limite baixo não impede o golpe, mas reduz o dano máximo e faz o golpista pedir o aumento, o que é um sinal que a vítima pode reconhecer. Peça que o aumento tenha prazo, quando o banco permitir. A segunda é o cartão virtual de uso único ou de limite baixo para compras em lojas desconhecidas, que o capítulo 9 recomendou. A terceira são os alertas de movimentação, em tempo real, por mensagem ou notificação, de preferência também para uma segunda pessoa de confiança, quando o banco oferecer. A quarta é a separação de contas: uma conta para o dia a dia com saldo limitado, e a reserva em outra, que exige uma etapa a mais para movimentar. A quinta é, para quem recebe benefício do INSS, o bloqueio do benefício para novos empréstimos consignados, citado no capítulo 7, e o hábito de conferir o extrato com alguém.

Para o Pix, vale ainda saber que o pagamento agendado funciona como um atraso natural: em geral, ele pode ser cancelado até o dia anterior à data marcada, o que dá tempo para a reflexão. Confira a regra no seu banco. Para pagamentos grandes e não urgentes, agendar para o dia seguinte é um atrito gratuito.

Por fim, conheça o canal de fraude do seu banco antes de precisar dele. O telefone, o botão do aplicativo e o horário de atendimento, anotados num papel que esteja fora do celular, valem muito na hora em que o celular é o problema. O capítulo 19 retoma isso.

Pais idosos: aliança, não tutela

O erro do controle

O capítulo 7 mostrou que o golpe contra o idoso explora, entre outras coisas, a solidão e a desconfiança dos filhos. Muitas famílias respondem a um susto tirando do pai ou da mãe o cartão, o celular ou a conta, e o resultado é quase sempre pior: a pessoa perde autonomia, passa a esconder as operações e, se for abordada por um golpista, não conta para ninguém, porque contar significa perder o que lhe resta. O protocolo para pais idosos precisa partir do contrário. Ele é um acordo entre adultos, no qual o filho ajuda e o pai continua responsável por si.

O acordo

A conversa começa por dizer o que não vai mudar: a pessoa continua decidindo sobre o próprio dinheiro. Em seguida, vêm três ou quatro regras, escritas à mão, com letra grande, e coladas ao lado do telefone. A primeira é a regra do silêncio: nenhuma assinatura, autorização por voz, selfie ou código para quem ligou, sem falar antes com a pessoa de referência. A segunda é a do retorno: qualquer assunto de dinheiro por telefone, mensagem ou carta é confirmado ligando para um número que o idoso já tinha. A terceira é a do pagamento para receber: taxa, imposto, caução ou despesa cobrados antes de um valor entrar nunca existem em prêmio, herança ou precatório. A quarta é a da pessoa de referência: um filho, um neto ou um amigo que será sempre o primeiro a ser consultado, a qualquer hora, sem bronca.

A palavra "sem bronca" é a mais importante do protocolo. O idoso conta se não for repreendido. Se o filho responde "eu já avisei", a próxima ligação suspeita não será contada. A família deve tratar cada tentativa relatada como uma vitória, e agradecer.

As travas que podem ser combinadas

Além do acordo, há travas técnicas que o idoso pode aceitar sem perder a autonomia: um limite de transferência menor, alertas com cópia para a pessoa de referência, o bloqueio do consignado, uma conta de despesas correntes separada da reserva. Quando a pessoa começa a ter dificuldades cognitivas, entra a conversa mais delicada, sobre procuração, e o capítulo 7 apontou o cuidado: procuração com poderes limitados e prazo, feita com advogado de confiança da família, com cópia guardada por uma segunda pessoa, e prestação de contas periódica. Aqui o protocolo deixa de ser só de golpe e passa a ser de cuidado. A diferença é de ênfase: o objetivo é sempre proteger o idoso e jamais substituí-lo em decisões que ele ainda pode tomar.

Ensaiar com carinho

O ensaio, com idosos, é ainda mais importante e precisa de tato. Uma boa maneira é perguntar: "se alguém ligar dizendo que é do banco, o que você faz?", ouvir a resposta e, se for o caso, dramatizar uma vez, em casa, em tom de brincadeira séria, com o filho fazendo o papel de quem liga. O objetivo é que a pessoa tenha dito em voz alta, ao menos uma vez, a frase "vou desligar e ligar para o número do cartão". Frase dita é frase disponível.

A empresa

Dupla aprovação e segregação

Tudo o que foi descrito nos capítulos 6, 11 e 12 converge para o mesmo núcleo. Pagamentos acima de um limite exigem duas pessoas, e nenhuma delas é a que cadastrou o fornecedor ou a que está sob pressão do pedido. Quem cadastra não aprova, quem aprova não libera, quem libera não concilia. Em empresa muito pequena, as pontas de fora são o dono, o contador externo e a dupla assinatura do banco.

O limite certo não é o maior possível, é o que cobre o grosso do valor com o menor atrito. Um cenário ilustrativo ajuda a ver isso. Imagine uma empresa que faz 400 pagamentos por mês, num total de R$ 1.500.000. Dos 400, 380 são menores que R$ 5.000 e somam R$ 400.000, e 20 são iguais ou maiores que esse valor e somam R$ 1.100.000. Se a dupla aprovação valer a partir de R$ 5.000, ela incide sobre apenas 20 pagamentos, 5% do total em quantidade, e cobre R$ 1.100.000 dos R$ 1.500.000, algo como 73% do dinheiro que circula. Com 20 verificações por mês, uma pessoa a mais a cada pagamento relevante, a empresa protege quase três quartos do valor. Os números são inventados, mas o raciocínio é geral: o gargalo da dupla aprovação é pequeno, e o ganho é grande. Para quem tem vários fornecedores recorrentes, vale também um limite menor para fornecedores novos.

O retorno por canal cadastrado e a quarentena

A segunda regra é a do canal. Pedido de pagamento por e-mail, mensagem, ligação ou reunião, mesmo com vídeo, é uma solicitação, e a autorização só existe no fluxo registrado do sistema financeiro. A confirmação é feita ligando para um número que já estava no cadastro, e nunca para o que veio na mensagem. Quem confirmou fica registrado.

A terceira é a quarentena de dados novos. Qualquer mudança de conta bancária de fornecedor entra em espera de pelo menos um dia útil, com segunda aprovação e confirmação direta com o fornecedor. A espera é o atrito deliberado em estado puro: custa um dia ao fornecedor honesto, que normalmente nem percebe, e destrói a premissa de quem depende de pressa. Pelo mesmo princípio, o help desk não redefine acesso nem troca dispositivo de autenticação apenas por ligação, como o caso da MGM mostrou: exige retorno a número registrado, confirmação do gestor por outro canal ou verificação presencial para contas privilegiadas, e avisa o dono da conta a cada redefinição.

Autenticação que o phishing não derruba

Há uma parte do protocolo que é técnica e merece ser dita com clareza, porque é onde a pesquisa mais recomenda investir. Os autores do estudo de San Diego recomendam investir em barreiras técnicas, como a autenticação em dois fatores. A ideia por trás é que a defesa mais robusta contra o phishing de credenciais não está em treinar o funcionário a reconhecer cada isca, mas em fazer com que, mesmo quando ele clica e digita a senha, o atacante não consiga usá-la. É para isso que existem as chaves de segurança físicas e as passkeys, que só funcionam no domínio verdadeiro, e que o capítulo 11 apontou depois do caso Uber. Onde isso não for possível, a confirmação por número, o limite de tentativas e o alerta de notificações repetidas reduzem o risco da fadiga de autenticação. Para contas de administração, financeiro e acesso remoto, a recomendação é a mesma: autenticação resistente a phishing, e o resto é complemento.

A linha de parada

Em fábricas bem geridas, qualquer operário pode parar a linha de montagem ao ver um defeito, sem pedir licença e sem ser punido. O equivalente em uma empresa é a regra, escrita e divulgada, de que ninguém será punido por atrasar um pagamento para confirmá-lo, nem que a ordem venha do presidente. É o sexto princípio, a permissão para parar, aplicado ao ambiente em que a hierarquia pesa mais. Quem recebe uma ordem urgente, sigilosa e fora do fluxo deve saber, de antemão, que a combinação é o próprio sinal, que contar a um colega não quebra sigilo, e que a diretoria vai agradecer, e não cobrar, quando a conferência evitar um prejuízo ou mostrar que o pedido era legítimo.

Treinamento e simulação de phishing: o que a pesquisa diz

O que se sabe

É o tema em que mais se ouve afirmação categórica, e vale organizar o que existe. Três estudos grandes, de 2021 a 2025, chegaram a resultados convergentes, ainda que não idênticos.

O primeiro, de Daniele Lain, Kari Kostiainen e Srdjan Čapkun, do ETH Zurique, publicado em 2022, acompanhou 14.773 funcionários de uma empresa, por 15 meses, entre julho de 2019 e outubro de 2020. Os autores concluíram que o treinamento embutido nas simulações, aquele que aparece quando o funcionário clica, não tornou os funcionários mais resistentes e pôde até deixar alguns mais suscetíveis. Também observaram que, dado tempo de exposição suficiente, uma fração grande dos funcionários cai em algum phishing. E registraram um dado encorajador: as notificações espontâneas de e-mails suspeitos por parte dos funcionários eram, na sua maioria, corretas e podiam chegar em poucos minutos, o que tem utilidade como sistema de alerta. Fontes secundárias citam 68% de acertos nessas notificações, número que não consegui conferir no texto original.

O segundo, de Grant Ho e colegas, da Universidade da Califórnia em San Diego e do UC San Diego Health, apresentado em 2025, é o que abriu o capítulo: 19.500 funcionários, oito meses, dez tipos de e-mail, efeito do treinamento embutido de cerca de 2% e nenhuma relação clara entre ter feito o treinamento anual obrigatório e cair menos.

O terceiro, de Andrew Rozema e James Davis, também de 2025, analisou 12.511 participantes de uma empresa de tecnologia financeira dos Estados Unidos e não encontrou efeito significativo do treinamento sobre a taxa de cliques nem sobre a taxa de notificações. O estudo encontrou, em compensação, que a dificuldade da isca explicava o comportamento: a taxa de clique foi de 7,0% nas iscas fáceis e de 15,0% nas difíceis, o que reforça a ideia de que o conteúdo do e-mail pesa mais do que o perfil de quem o recebe.

O que não se sabe, e o que não deve ser concluído

Os três estudos têm limites que importam. São todos de empresas ou instituições específicas, nos Estados Unidos ou na Suíça, com o tipo de treinamento e de simulação que elas usavam. Medem cliques em simulações, que são um substituto imperfeito para a perda real. Não avaliam treinamentos de outro tipo, mais interativos, mais frequentes ou mais ligados ao trabalho de cada função, e não avaliam programas de cultura de reporte. Não existe, até onde consegui verificar, estudo brasileiro comparável. E a ausência de efeito detectado em um grande estudo não é a mesma coisa que ausência de efeito. Quem lê "treinamento não funciona" como "não faça nada" está tirando da pesquisa uma conclusão que ela não sustenta.

A conclusão defensável é mais modesta, e mais útil. Treinamento e simulação, nas formas mais comuns, não devem ser a defesa principal. Devem vir depois de barreiras técnicas e de processos que não dependam do clique de cada pessoa. Nada disso quer dizer que a informação seja inútil: o funcionário que sabe qual é o processo de pagamento, a quem reportar e por que ninguém será punido está mais bem preparado do que o que fez uma aula sobre reconhecer links.

O que fazer com a simulação

Se a empresa faz simulações, há quatro cuidados que a pesquisa e o bom senso indicam. Não punir quem clica, nem expor o nome, porque a punição ensina a esconder, e o que a empresa mais precisa é de quem reporte. Medir, antes da taxa de cliques, a taxa e a velocidade de relatos, porque é isso que reduz o dano real. Usar as simulações para testar processos, e não só pessoas: o que acontece depois que alguém clica? O acesso é bloqueado? O alerta chega a quem pode agir? Por fim, usar iscas realistas e variadas, como as que a organização efetivamente recebe, mas sem manipular o funcionário com assuntos de dor, como falso bônus ou falsa demissão, o que corrói a confiança e produz um tipo de ressentimento que depois custa caro.

O que parece funcionar melhor

Com as ressalvas da seção anterior, o que a literatura e a prática apontam como mais promissor tem três frentes. A primeira são as barreiras técnicas: autenticação resistente a phishing, filtros de e-mail, gerenciadores de senha que preenchem só no domínio correto, bloqueio de execução de arquivos suspeitos. A segunda é o processo: dupla aprovação, retorno por canal cadastrado, quarentena. A terceira é a cultura de reporte, com um canal de um clique para encaminhar o e-mail suspeito, resposta rápida de quem recebe e agradecimento a quem reporta. Um relato feito em cinco minutos vale mais, para a organização, do que uma centena de cliques evitados em uma simulação, porque dá à equipe de segurança a chance de agir antes de um segundo funcionário clicar.

Há ainda o treinamento por caso. O que o livro tenta fazer em cada capítulo, apresentar um golpe real, desmontar o mecanismo e mostrar qual regra o teria interrompido, é um formato compatível com o que a pesquisa em aprendizagem recomenda, embora eu não tenha estudo que o prove para golpes. Em empresa, uma conversa de vinte minutos por trimestre sobre uma tentativa real recebida pela própria casa serve a mais gente do que uma hora de vídeo genérico.

Ensaiar, medir, revisar

Um protocolo é um objeto vivo, e se mantém com três hábitos. O ensaio periódico: duas vezes por ano, a família repete a palavra-senha e o retorno de ligação, e a empresa faz um exercício de mesa em que alguém descreve um pedido urgente e o grupo percorre o procedimento, apontando onde ele falha. A medição simples: quantas vezes o protocolo foi acionado, quantas confirmações revelaram um problema, quanto tempo cada uma consumiu. E a revisão depois de cada incidente, real ou quase: o que o protocolo previa, o que fez, e o que ficou fora. A revisão do quase é a mais valiosa, porque custa o susto, e não o prejuízo.

Convém lembrar, por fim, que o protocolo tem um custo e que ele é visível. Cada confirmação toma tempo, e cada recusa pode irritar alguém. Uma organização que não aceita esse custo vai abandonar o protocolo no dia em que ele atrapalhar um negócio legítimo importante. Por isso a regra sem exceção é tão difícil de manter: ela tem de aguentar, de vez em quando, um cliente impaciente ou uma diretoria incomodada. Ajuda ter por escrito o motivo, e o número de vezes em que a confirmação evitou o erro.

Verdades desconfortáveis

O protocolo desloca a responsabilidade para o indivíduo, e isso não é inocente. Pedir que cada família tenha uma palavra-senha e que cada idoso ligue de volta é razoável, mas não é razoável que a única proteção contra um anúncio falso ou uma conta laranja seja a disciplina de quem rola o feed. Bancos, plataformas e operadoras têm deveres que o protocolo individual não substitui, e um capítulo sobre defesa pessoal que esquecesse isso estaria fazendo o trabalho de relações públicas deles.

A segunda verdade incômoda é que o protocolo falha quando o custo social de usá-lo é alto. Filho que ligue de volta para o pai com ar de suspeita, funcionário que recuse a ordem do chefe, atendente que exija confirmação do cliente idoso: tudo isso tem preço de constrangimento. Os golpes funcionam, em grande parte, explorando exatamente o medo de ser rude. O protocolo bem desenhado transfere o custo da pessoa para a regra: "não é que eu desconfie de você, é que o procedimento é este".

A terceira é que o treinamento corporativo, no formato mais popular, pode acabar servindo a outro propósito. É uma leitura minha, e não um achado de pesquisa: ele cumpre a exigência de auditoria e permite dizer, depois de um incidente, que a empresa treinou, o que facilita transferir a culpa para o funcionário que clicou. A pesquisa citada sugere que o efeito protetor é pequeno, e o custo da cultura de culpa é que ela atrapalha a notificação. Gastar em treinamento antes de gastar em autenticação resistente a phishing é uma escolha de prioridade, e não de técnica.

A quarta é que não existe protocolo que proteja de tudo. A pessoa que tem a palavra-senha, o retorno de ligação e o limite no banco ainda pode ser enganada por um golpe que não se encaixa em nenhum gatilho, ou por uma fraude de dentro, ou por uma falha de quem guarda os seus dados. O protocolo reduz a probabilidade e o dano, e a diferença entre ter e não ter é grande. Mas a honestidade pede que se diga que o risco restante é positivo, e que o plano para o dia em que ele se realizar, o capítulo 19, é parte do mesmo desenho.

Protocolo de defesa

Para a pessoa e a família:

• Escolha, pessoalmente, uma palavra-senha de família que não esteja em nenhum dado público, siga as regras do capítulo 16 e teste duas vezes por ano.
• Adote a regra do retorno: dinheiro, código ou dado sensível pedido por mensagem ou telefone só depois de você ligar para um número que já tinha, de outro aparelho ou depois de uma espera.
• Trate vídeo e voz como indícios, e não como prova de identidade.
• Combine um valor a partir do qual nenhum pedido de dinheiro é atendido antes de 30 minutos e de uma conversa com uma segunda pessoa.
• Ajuste o limite de Pix, diurno e noturno, ao uso real, e peça que aumentos tenham prazo, quando o banco permitir.
• Use cartão virtual para loja desconhecida, mantenha a reserva em conta separada e ative alertas, com cópia para uma pessoa de confiança, se possível.
• Anote o canal de fraude do banco em um papel fora do celular.
• Com pais idosos, faça um acordo escrito e curto: regra do silêncio, do retorno, do pagamento para receber e da pessoa de referência. Combine o "sem bronca" antes de precisar.
• Ensaie: pergunte "o que você faria se...?" e faça a dramatização uma vez, com carinho.

Para a empresa:

• Exija dupla aprovação independente acima de um limite calibrado para cobrir a maior parte do valor com o menor número de verificações.
• Segregue funções: quem cadastra fornecedor não aprova, quem aprova não libera, quem libera não concilia.
• Confirme qualquer pedido de pagamento por retorno a canal cadastrado, nunca pelo contato da mensagem, e registre quem confirmou.
• Ponha dados bancários novos ou alterados em quarentena de pelo menos um dia útil, com segunda aprovação.
• No help desk, proíba redefinição de acesso e troca de autenticação apenas por ligação, e avise o titular a cada redefinição.
• Adote autenticação resistente a phishing em contas de administração, financeiro e acesso remoto.
• Escreva e divulgue a linha de parada: ninguém será punido por atrasar um pagamento para confirmá-lo.
• Se fizer simulação de phishing, não puna quem clica, meça a taxa e a rapidez dos relatos e teste o que acontece depois do clique.
• Tenha um canal de um clique para reportar e-mail suspeito, e agradeça a quem reportar.
• Ensaie um exercício de mesa por ano, revise o protocolo depois de cada incidente ou quase incidente e registre quantas vezes a confirmação evitou um erro.

Sinais de alerta

Sinais de que o golpe está tentando passar pelo seu protocolo:

• O pedido vem acompanhado de um motivo para não ligar de volta: o telefone está com defeito, o chefe está em reunião, o parente está sem sinal.
• Alguém insiste em que você pule uma etapa "só desta vez", ou invoca urgência para evitar a segunda aprovação.
• Pedem segredo: não conte à família, não avise o financeiro, não fale com o gerente.
• O interlocutor oferece um canal alternativo de confirmação, um número ou um e-mail "mais rápido", que ele mesmo controla.
• Há uma mudança de dados bancários, de dispositivo de autenticação ou de limite pedida junto com uma operação de valor alto.

Sinais de que o seu protocolo está enfraquecendo:

• Ninguém lembra a palavra-senha, e a família não a testa há mais de um ano.
• As confirmações viraram formalidade, aprovadas sem leitura por quem recebe dezenas por dia.
• Há exceções "temporárias" que duram meses, ou aprovadores que compartilham senha.
• Funcionários evitam reportar por medo de bronca, ou a empresa pune quem clica.
• O limite do banco foi aumentado e nunca mais reduzido.
• O idoso deixou de contar das ligações suspeitas, o que costuma indicar que a conversa em família se tornou repreensão.

Exercícios

1. Escreva, em uma folha, o protocolo de família em até cinco regras: palavra-senha, retorno de ligação, valor e tempo de espera, pessoa de referência e a frase para dizer ao ser pressionado. Entrega: a folha, sem a palavra-senha escrita, e a data do primeiro teste combinado.

2. Abra o aplicativo do seu banco e liste os recursos de proteção disponíveis: limite diurno e noturno, prazo para aumento, alerta, cartão virtual, agendamento. Defina os que fizerem sentido para o seu uso. Entrega: a lista dos recursos, os valores antes e depois e o que você descobriu que não existe.

3. Escolha um pagamento recorrente da sua empresa, ou de uma empresa que você conhece, e desenhe o caminho do pedido à liberação, apontando quem pede, quem aprova, quem libera e quem concilia. Calcule, com os valores reais ou inventados, quanto do dinheiro seria coberto por uma dupla aprovação a partir de três limites diferentes. Entrega: o desenho, a tabela de limites e o limite escolhido, com a justificativa.

4. Leia o resumo de um dos três estudos citados (Ho et al., Lain et al. ou Rozema e Davis) e escreva meia página sobre o que o estudo mede, o que não mede e o que você mudaria no treinamento da sua organização por causa dele. Entrega: a meia página e a mudança proposta.

5. Faça com uma pessoa idosa da família o exercício da pergunta "o que você faz se alguém ligar dizendo que é do banco?". Anote a resposta sem corrigir, e depois combinem juntos uma frase de saída. Entrega: a resposta original, a frase combinada e uma linha sobre como a conversa foi recebida.

Prompt de estudo

Vou descrever a minha família (quem mora com quem, idades, quem usa Pix, quem tem exposição pública, como nos comunicamos), sem dados pessoais. Proponha um protocolo de defesa de uma página, com no máximo cinco regras, seguindo os princípios de pré-compromisso, atrito deliberado, canal independente, regra sem exceção por urgência e permissão para parar. Inclua uma versão curta para uma pessoa de 80 anos, escrita sem tom de tutela, e um calendário de ensaio. Aponte as fraquezas do que você propuser e o que eu deveria conferir no meu banco, sem inventar regras do banco.

Atue como um revisor de processo de pagamentos. Vou descrever, sem nomes e sem números de conta, como minha empresa aprova e libera pagamentos. Procure onde uma única pessoa pode iniciar e liberar, onde um dado bancário novo entra sem quarentena, e onde a urgência pode driblar o processo. Proponha os controles mínimos, calibrando o limite de dupla aprovação para cobrir a maior parte do valor com o menor número de verificações, e liste o que não consegue avaliar sem mais informação.

Fontes e leituras

• Grant Ho, Ariana Mirian, Stefan Savage, Geoffrey M. Voelker e colegas, "Understanding the Efficacy of Phishing Training in Practice", IEEE Symposium on Security and Privacy, 2025 (19.500 funcionários do UC San Diego Health, oito meses); comunicado de imprensa divulgado pela universidade, reproduzido por EurekAlert, com os números de cliques, de iscas e de tempo de treinamento.
• Daniele Lain, Kari Kostiainen e Srdjan Čapkun, "Phishing in Organizations: Findings from a Large-Scale and Long-Term Study", ETH Zurique, 2022, em arxiv.org (identificador 2112.07498).
• Andrew T. Rozema e James C. Davis, "Anti-Phishing Training (Still) Does Not Work: A Large-Scale Reproduction of Phishing Training Inefficacy Grounded in the NIST Phish Scale", 2025, em arxiv.org (identificador 2506.19899).
• Alex B. Haynes e colegas, "A Surgical Safety Checklist to Reduce Morbidity and Mortality in a Global Population", New England Journal of Medicine, vol. 360, janeiro de 2009, sobre o roteiro cirúrgico em oito hospitais.
• Capítulos 2, 5, 6, 7, 9, 11, 12 e 16 deste livro, para os mecanismos, as regras do banco, o protocolo de idosos, a autenticação, a segregação de funções e a palavra-senha de família.
• Banco Central do Brasil, Regulamento do Pix e guia do Mecanismo Especial de Devolução, em bcb.gov.br, para limites, horários e canais; confira no seu banco os recursos disponíveis, que variam.