Seus colaboradores sabem separar o aviso oficial do golpe? A lição do vazamento no FGC

Vazamentos dão aos golpistas dados verdadeiros. Veja por que treinar sem medir não basta e como provar que sua equipe resiste.

O processo silencioso: a semana em que o golpe ganhou dados verdadeiros

Na quinta-feira, 5 de novembro de 2026, o Fundo Garantidor de Créditos (FGC) informou ter identificado acesso não autorizado a informações pessoais em ambientes ligados aos seus processos de pagamento de garantia. Segundo o comunicado da entidade, a suspeita surgiu em 26 de outubro, quando começaram as providências de contenção, restrição de acessos e preservação de evidências. Entre os dados envolvidos estão nome, CPF, e-mail e data de nascimento, além de registros sobre tributos retidos e o canal pelo qual cada investimento havia sido contratado. A ANPD foi comunicada e os titulares afetados, notificados.

O próprio FGC apontou o efeito mais perigoso do episódio: com informações verdadeiras em mãos, o contato fraudulento fica muito mais convincente. Por isso a entidade fez questão de reforçar que não pede senhas, códigos de autenticação, pagamento de taxas nem instalação de aplicativos.

A semana não parou aí. No mesmo dia 5, um diretor do Serpro afirmou, em evento público, que o gov.br havia enfrentado um ataque descrito como sem precedentes, sem detalhar quais sistemas foram atingidos nem se houve danos. Na sexta-feira, 6, o Ministério da Gestão e da Inovação confirmou que cerca de 56 milhões de pessoas estavam recebendo, pela Caixa Postal GOV.BR e por WhatsApp, uma orientação legítima para cadastrar e-mail de recuperação da conta.

Agora coloque-se no lugar de qualquer colaborador da sua organização. Em 48 horas, ele leu sobre um vazamento com CPF e data de nascimento, ouviu falar de um ataque ao gov.br e recebeu uma mensagem pedindo para atualizar um cadastro. Qual delas é golpe? Qual é oficial? Se a dúvida existe para quem acompanha o noticiário de tecnologia, imagine para quem atende o telefone do financeiro às oito da manhã.

Esse é o problema que ninguém vê: a organização tem política de segurança, fez o treinamento anual e mantém o certificado arquivado, mas não sabe quantas pessoas clicariam hoje em um e-mail bem construído.

O risco invisível: por que isso é mais grave do que parece

Golpes de engenharia social sempre existiram. O que muda em semanas como esta é a matéria-prima. Quando o atacante combina notícia real, linguagem institucional e dados pessoais verdadeiros, a mensagem deixa de parecer suspeita. E o alvo não é apenas o cidadão: é o colaborador que, ao clicar, entrega a credencial corporativa e abre a porta para um incidente dentro da sua própria organização.

A LGPD não trata isso como azar. O art. 46 exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados. O art. 47 estende o dever de garantir a segurança a qualquer pessoa que intervenha no tratamento, o que inclui cada colaborador com acesso a sistemas. Os princípios da segurança, da prevenção e da responsabilização e prestação de contas (art. 6º, incisos VII, VIII e X) completam o quadro: não basta adotar medidas, é preciso demonstrar que elas funcionam.

O art. 50 reforça o ponto ao prever, entre os elementos das regras de boas práticas e governança, as ações educativas e os mecanismos internos de supervisão e de mitigação de riscos. E, se o clique acontecer, a conta chega rápido: a Resolução CD/ANPD nº 15/2024 fixa em três dias úteis o prazo para comunicar à ANPD o incidente que possa acarretar risco ou dano relevante aos titulares.

É no processo sancionador que a falta de evidência pesa. O art. 52, § 1º, da LGPD lista como critérios para a aplicação de sanções a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano (inciso VIII) e a adoção de política de boas práticas e governança (inciso IX). A palavra decisiva é “demonstrada”. Sem medição, a organização tem apenas uma convicção, e convicção não entra nos autos.

Na prática, a exposição costuma ter três sintomas:

• Treinamento sem métrica: a lista de presença comprova que as pessoas assistiram, não que aprenderam a desconfiar.
• Todos tratados como iguais: financeiro, atendimento e recursos humanos, que recebem mais tentativas, seguem o mesmo roteiro de quem quase não usa e-mail.
• Nenhum ciclo de correção: quando alguém cai em um golpe real, a organização descobre a fragilidade junto com o incidente.

Como o módulo ProPhish do PROTEGON resolve

O ProPhish parte de uma premissa simples: treinamento explica o risco, simulação mede o risco. O módulo dispara campanhas de phishing simulado dentro da própria organização e devolve dados concretos de comportamento, em vez de percepções. Na prática, ele oferece:

• Campanhas configuráveis: criação e acompanhamento de cada campanha, com público-alvo, modelo, período de disparo e monitoramento de aberturas e cliques.
• Modelos de e-mail personalizáveis: layout, conteúdo e variáveis editáveis, para reproduzir o padrão de abordagem que está circulando no momento, como pedidos de atualização cadastral ou de confirmação de dados.
• Segmentação por grupos: organização dos colaboradores por setor, perfil ou critério de risco, para que as áreas mais visadas recebam atenção proporcional.
• Gestão de destinatários: cadastro, importação e manutenção da base de participantes, sem planilhas paralelas.
• Provedor de envio próprio: a organização configura o servidor de disparo, mantendo controle sobre a operação.
• Correção integrada: os resultados alimentam ações de capacitação na Plataforma de Cursos e podem originar riscos e tarefas corretivas dentro do PROTEGON.

O ponto central é a rastreabilidade. Cada campanha deixa registro de quem foi testado, quando, com qual modelo e qual foi o resultado. Essa é exatamente a evidência que os arts. 50 e 52 pedem.

Resultados práticos: do palpite para a evidência

Organizações que adotam simulações periódicas trocam a pergunta “nossa equipe está preparada?” por um número. A primeira campanha costuma surpreender: a taxa de cliques revela áreas que ninguém imaginava vulneráveis. A partir daí, o ciclo se organiza sozinho: medir, direcionar trilhas de capacitação a quem clicou, medir de novo e comparar.

Esse ciclo produz três ganhos que o treinamento isolado não entrega:

• Evidência para a ANPD: histórico de campanhas, resultados e ações corretivas, pronto para demonstrar a adoção reiterada de mecanismos internos.
• Argumento para a diretoria: o próprio módulo destaca que o número de cliques costuma ser o dado que destrava orçamento de segurança, porque transforma percepção em fato.
• Treinamento com endereço certo: em vez de repetir o mesmo conteúdo para todos, a capacitação chega primeiro a quem mais precisa.

Quando o próximo vazamento abastecer golpistas com dados verdadeiros, e ele virá, a diferença entre um susto e um incidente comunicável à ANPD pode estar na reação de uma única pessoa diante de um único e-mail.

Próximo passo

Se amanhã chegasse a cada colaborador um e-mail com o nome e o CPF dele, pedindo para confirmar um cadastro, quantos clicariam na sua organização? Você sabe responder com um número?

Conheça o ProPhish e veja como transformar essa dúvida em rotina medida e documentada. O ProPhish integra os planos Premium e Full e pode ser conhecido em demonstração guiada com um especialista. Para começar agora, é possível testar o PROTEGON por 30 dias, sem custo e com acompanhamento do nosso time, usando os 22 módulos do plano Smart, entre eles a Plataforma de Cursos.