Conscientização em Cibersegurança
Um treinamento direto ao ponto, com cenários reais e decisões práticas para reduzir riscos, evitar golpes e fortalecer a cultura de segurança. Sem medo, sem culpa, com foco em hábitos consistentes.
Dica, faça em tela cheia e sem interrupções. Se algo parecer estranho no trabalho real, reporte. Aqui não tem punição por reportar.
Por que a segurança importa
Cibersegurança não é só TI. É rotina, decisão e responsabilidade compartilhada. Quando protegemos dados e acessos, protegemos pessoas, reputação e continuidade do negócio.
O que estamos protegendo
Dados pessoais, contratos, informações financeiras, projetos, credenciais, acessos e reputação. No fim, é sempre sobre pessoas, clientes, parceiros e o seu próprio trabalho.
Um clique errado pode virar um problema grande, mas um reporte rápido pode impedir o pior.
Globalmente, o custo médio por vazamento atingiu US$ 4,88 milhões em 2024. 95% dos incidentes de cibersegurança podem ser rastreados a erro humano (World Economic Forum). Phishing continua como principal vetor de ataque no Brasil (CERT.br).
Impactos típicos de um incidente
Interrupção de operação, perda de dados, vazamento, cobrança de resgate, fraudes financeiras, danos à confiança e exposição pública. Em muitos casos, o impacto maior não é o técnico, é o tempo perdido para recuperar e o dano reputacional.
Mais de 90% das tentativas iniciais de ataque são automatizadas. Atacantes varrem a internet continuamente buscando credenciais vazadas e sistemas vulneráveis.
A melhor defesa é consistência. Pequenos cuidados, repetidos todos os dias, reduzem muito o risco. Travar a tela, confirmar pedidos fora do padrão e reportar sinais estranhos faz diferença.
Ferramentas ajudam, mas não substituem sua decisão. Se algo tiver urgência, sigilo incomum, ou pedido fora do padrão, pare e confirme.
Ameaças mais comuns
Entender as ameaças facilita reconhecer sinais e reagir rápido. Pense em padrões, não em detalhes técnicos.
Phishing e engenharia social
Mensagens manipulam para obter dados, aprovações, pagamentos ou acessos.
Roubo e reutilização de senhas
Credenciais vazadas são testadas automaticamente em vários serviços.
Ransomware
Criptografa arquivos e pode exfiltrar dados para extorsão dupla.
Erro interno e exposição acidental
Compartilhamento indevido, link público, anexo errado, permissões mal configuradas.
Cadeia de suprimentos
Um fornecedor comprometido pode afetar clientes e parceiros.
Fraude de e-mail corporativo
Imitação de gestor ou fornecedor para induzir pagamento, alteração de dados ou envio de informações.
Como atacantes criam pressão
Os gatilhos mais usados são autoridade, urgência, medo e sigilo. Se uma mensagem tenta acelerar sua decisão, isso já é um sinal de alerta.
Atacantes só precisam acertar uma vez. Defensores precisam acertar sempre. Por isso, reporte rápido é parte da defesa, mesmo quando parecer falso alarme.
Engenharia social na prática
Reconheça o padrão do ataque, não o conteúdo. Todo golpe segue a mesma cadeia: coleta, contato, manipulação, ação e impacto.
Identificamos um boleto em atraso. Para evitar juros e suspensão do serviço, pague ainda hoje usando o novo link abaixo.
Link: http://pagamentos-fornecedor.example
Chave Pix: 00000000-0000-0000-0000-000000000000 dados alterados
Att, Financeiro
Táticas de manipulação
Os 4 gatilhos psicológicos que atacantes exploram
Seu protocolo de defesa
3 passos que bloqueiam qualquer tentativa
Ninguém legítimo vai te punir por confirmar. Se alguém pressiona para que você aja sem verificar, isso é o golpe se revelando.
Senhas, reutilização e gerenciador
Reutilizar senha é um dos maiores riscos, e também um dos mais fáceis de resolver com um método prático.
Por que reutilizar é perigoso
Se uma senha vaza em qualquer serviço, ela é testada automaticamente em e-mail, redes sociais e sistemas corporativos. Uma única senha repetida vira uma porta de entrada para várias contas.
Teste rápido de força de senha
Digite uma senha de teste. Não use sua senha real.
Exemplos práticos
| Exemplo | Resistência | Observação |
|---|---|---|
| senha123 | instantâneo | muito comum e previsível |
| Empresa2026! | minutos | padrão fácil de adivinhar |
| Tr0ub4dor&3 | dias | curta, depende de complexidade em vez de comprimento |
| cafe-bola-mapa-cacto | anos ou mais | frase longa, fácil de memorizar |
| 7Kx$mP2@nQ9vL&wR | muito alta | ideal em gerenciador |
A solução prática
Use um gerenciador de senhas. Ele cria e guarda senhas únicas para cada serviço, e você só precisa lembrar a senha mestra. Isso elimina o risco de reutilização e reduz o número de redefinições.
Senhas longas vencem senhas complexas e curtas. Para o que você precisa lembrar, use frases com 4 ou 5 palavras. Para o resto, deixe o gerenciador gerar.
MFA, e golpes que tentam burlar
Mesmo com senha forte, sua conta pode ser alvo. MFA adiciona uma camada e reduz muito o risco.
O que é MFA
MFA combina pelo menos dois fatores, algo que você sabe, algo que você tem, ou algo que você é. Se alguém roubar sua senha, ainda falta o segundo fator.
Tipos de MFA
Do aceitável ao mais recomendado.
Golpes que tentam contornar MFA
- Fadiga de MFA
Várias notificações seguidas para você aprovar por cansaço. Se não foi você, negue e reporte.
- Phishing em tempo real
Site falso captura seu código e usa na hora. Confira domínio e use gerenciador, ele não preenche em site falso.
- Troca de chip
SMS é mais fraco. Prefira app autenticador ou chave de segurança.
Nunca compartilhe código, nem para suporte, nem para banco. Se chegou prompt inesperado, alguém pode ter sua senha. Negue e reporte.
Proteção de dados, LGPD e compartilhamento
Pense em minimização. Compartilhe só o necessário, com quem precisa, pelo canal certo, e com permissão adequada.
O que pode ser sensível
Exemplos comuns no dia a dia.
Checklist antes de compartilhar
- Essa pessoa realmente precisa?
Envie o mínimo necessário. Prefira resumo em vez de base completa.
- Eu conferi o destinatário?
Autocomplete erra. Em caso sensível, valide por canal alternativo.
- Estou no canal correto?
Evite e-mail pessoal e apps não aprovados para dados sensíveis.
- Permissões do link estão corretas?
Evite "qualquer pessoa com o link". Prefira pessoas específicas.
- Se vazar, qual seria o impacto?
Se for alto, use controles extras e peça orientação.
CC em vez de BCC, anexos no reply all, link público sem expiração, planilhas com dados em abas ocultas, captura de tela com informações sensíveis.
Reporte de incidentes
Reportar rápido pode ser a diferença entre algo pequeno e um incidente grande. Melhor investigar dez alertas falsos do que perder um real.
Reporte imediatamente
Use os canais oficiais da sua empresa para reportar:
Ramal ou telefone de emergência da TI
Se você clicou, abriu anexo, ou viu algo estranho, reporte antes de tentar corrigir sozinho. Consulte a intranet da sua empresa para os contatos atualizados.
Fluxo simples, faça isso
Se clicou em algo suspeito, desconecte da rede se possível e evite continuar navegando.
Envie o máximo de contexto, horário, o que fez e o que viu. Sem julgamento.
Não apague e-mails suspeitos. Tire captura de tela se necessário e siga orientação do time.
Responda perguntas do time. O objetivo é reduzir impacto e aprender, não culpar.
Você não será penalizado por reportar algo que depois seja considerado benigno. O pior cenário é não reportar e descobrir tarde.
Ajuda e recursos
Segurança é trabalho em equipe. Pedir ajuda cedo economiza tempo e evita incidente.
Quando pedir ajuda
- Pedido fora do padrão
Pagamento, dados, mudança de conta, urgência, sigilo incomum.
- Compartilhamento de dados sensíveis
Antes de enviar base de clientes, contratos, documentos de RH, ou dados pessoais.
- Uso de ferramenta nova
Se a equipe quer usar um serviço externo, valide requisitos e aprovações.
- Trabalho remoto e viagens
Orientação sobre Wi-Fi público, VPN, privacidade e cuidados físicos.
Bloqueie a tela ao levantar, use MFA, mantenha apps atualizados, use gerenciador de senhas, e reporte sinais estranhos. Consistência ganha de esforço heroico.
Segurança no cotidiano digital
É aqui que a maioria dos golpes acontece. Mensagens, links, QR Codes e solicitações fora do padrão. Leve para o trabalho e para a vida pessoal.
Golpes no WhatsApp
O WhatsApp é o principal canal de golpes no Brasil. Conheça os ataques mais comuns e como se proteger.
- Clonagem de WhatsApp
Golpista liga fingindo ser de empresa e pede o código de 6 dígitos enviado por SMS. Com ele, ativa seu WhatsApp em outro aparelho e aplica golpes nos seus contatos. Nunca compartilhe códigos de verificação.
- Conta falsa (perfil espelho)
Criam conta com sua foto e nome, avisam aos contatos que "trocou de número" e pedem dinheiro. Ative a verificação em duas etapas no WhatsApp (PIN de 6 dígitos) e avise seus contatos.
- Links encurtados e falsos
URLs como bit.ly, tinyurl ou domínios semelhantes ao real escondem sites de phishing. Antes de clicar, peça contexto. Copie o link e verifique o destino real.
- Mensagem de "promoção" ou "sorteio"
Golpistas usam marcas conhecidas para coletar dados pessoais. Promoções legítimas não pedem senha, código ou dados bancários por mensagem.
SIM Swap — roubo do seu número
No golpe de SIM Swap, o atacante transfere seu número de telefone para um chip novo. Com isso, recebe seus SMS (incluindo códigos de verificação), reseta senhas e acessa contas bancárias.
CPF, data de nascimento e operadora são obtidos via vazamentos ou redes sociais.
Golpista liga para a operadora fingindo ser você e solicita portabilidade do número.
Com o número ativo, recebe SMS de verificação e reseta senhas de e-mail, banco e apps.
Use app autenticador (não SMS) como segundo fator. Cadastre PIN ou senha de atendimento na operadora. Se o celular perder sinal sem motivo, ligue imediatamente para a operadora.
QR Code malicioso e golpes Pix
QR Codes podem redirecionar para sites falsos, instalar apps maliciosos ou alterar o destinatário de pagamentos Pix. Golpistas colam QR Codes falsos sobre os originais em estabelecimentos, estacionamentos e totens de pagamento.
- Sempre verifique o destinatário
Antes de confirmar Pix, confira nome, CPF/CNPJ e banco. Se diferem do esperado, cancele.
- Desconfie de QR Codes em lugares públicos
Verifique se o QR Code não foi colado por cima do original. Prefira digitar a chave manualmente.
- Nunca escaneie QR Code de mensagens não solicitadas
QR Codes em e-mails, SMS ou WhatsApp de remetentes desconhecidos são armadilha.
Se mudou conta, chave Pix, ou banco, valide fora da mensagem, com contato conhecido do contrato.
Proteção do aparelho
Seu celular concentra e-mail, banco, autenticadores e dados corporativos. A proteção do dispositivo é tão importante quanto a proteção das contas.
- Mantenha o SO e apps atualizados
Atualizações corrigem vulnerabilidades exploradas ativamente. Ative atualização automática.
- Instale apps apenas de lojas oficiais
Google Play e App Store verificam apps. APKs de fontes externas podem conter malware.
- Ative backup criptografado
Backup automático protege seus dados em caso de perda, roubo ou troca de aparelho. Use backup em nuvem com criptografia.
- Configure bloqueio de tela
Use biometria + PIN de 6 dígitos. Desative notificações na tela bloqueada para dados sensíveis.
Evite carregar o celular em USBs públicos (aeroportos, shoppings). Portas USB podem transferir dados além de energia. Use carregador próprio na tomada ou power bank.
Home office e Wi-Fi público
Em Wi-Fi público, evite acesso a sistemas sensíveis, use VPN se a empresa oferecer, e não deixe tela exposta. Em casa, atualize roteador e evite senhas fracas no Wi-Fi.
O pedido é fora do padrão, tem urgência ou sigilo, tem link estranho ou mudou dados de pagamento. Se sim, confirme por outro canal e reporte.
Segurança com IA e ChatGPT
Ferramentas de IA são poderosas, mas não são cofres. Saber usar com segurança protege a empresa e os clientes.
IA não é confidencial por padrão
Ao colar textos em ferramentas como ChatGPT, Gemini ou Copilot, esses dados podem ser usados para treinamento do modelo ou armazenados em servidores externos. Dados de clientes, contratos, código-fonte e informações estratégicas não devem ser inseridos em ferramentas públicas de IA.
Colar contratos, planilhas ou e-mails em LLMs públicos expõe informações sensíveis fora do perímetro da empresa.
Atacantes usam IA para criar áudios e vídeos falsos de gestores, solicitando pagamentos ou dados confidenciais.
E-mails de phishing gerados por IA têm gramática perfeita, tom profissional e personalização que dificulta a detecção.
Use apenas ferramentas de IA aprovadas pela empresa. Nunca cole dados de clientes, senhas, código proprietário ou informações financeiras. Desconfie de áudios e vídeos inesperados, mesmo de pessoas conhecidas. Verifique por canal oficial.
Segurança em dispositivos móveis
Seu celular carrega e-mails corporativos, autenticadores, documentos e contatos sensíveis. Protegê-lo é proteger a empresa.
Configurações essenciais
- Tela de bloqueio e biometria
PIN de 6 dígitos ou biometria. Auto-bloqueio em no máximo 1 minuto de inatividade.
- Atualizações automáticas
Mantenha sistema operacional e apps sempre atualizados. Patches corrigem vulnerabilidades conhecidas.
- Apenas lojas oficiais
Instale apps somente da App Store ou Google Play. Sideloading expõe a malware.
- Revise permissões de apps
Câmera, microfone, localização e contatos, conceda apenas quando necessário.
Dispositivo perdido ou roubado
Se perdeu ou teve o celular corporativo roubado, aja imediatamente:
Ligue imediatamente para que o dispositivo seja bloqueado ou apagado remotamente.
E-mail corporativo, apps de mensagem e qualquer serviço logado no dispositivo.
Necessário para seguro e documentação formal do incidente.
Estações de carregamento USB públicas (aeroportos, shoppings) podem transferir malware ou roubar dados. Use sempre seu próprio carregador e cabo, ou um bloqueador de dados USB.
Redes sociais e pegada digital
O que você publica pode ser usado contra você ou contra a empresa. Atacantes usam redes sociais como fonte de inteligência.
O que atacantes coletam (OSINT)
LinkedIn revela cargo, gestor, ferramentas usadas, projetos e organograma. Instagram e Facebook mostram rotina, viagens, escritório e até crachás em fotos. Tudo isso é usado para personalizar ataques de spear phishing e engenharia social.
Fotos mostrando telas, crachás, layouts de escritório ou documentos expõem informações sensíveis.
Com dados de redes sociais, atacantes criam e-mails convincentes mencionando projetos reais e nomes de colegas.
Publicar viagens em tempo real informa atacantes sobre ausência e oportunidades de fraude.
Checklist de privacidade
- Revise configurações de privacidade
LinkedIn, Instagram, Facebook e Twitter. Limite quem pode ver suas conexões, publicações e informações pessoais.
- Separe pessoal e corporativo
Evite usar e-mail corporativo em cadastros pessoais e vice-versa.
- Pense antes de publicar
Se a informação pode ser útil para um atacante, não publique.
Antes de publicar qualquer coisa relacionada ao trabalho, pergunte-se: um atacante poderia usar isso contra mim ou contra a empresa? Se sim, não publique.
Quiz rápido
Responda e veja o feedback na hora. Este quiz reforça decisões práticas.
Treinamento concluído
Você terminou. Agora é aplicar no dia a dia. Segurança é hábito.
Treinamento de Conscientização em Cibersegurança
Clique em "Imprimir certificado" e escolha "Salvar como PDF".
Leve com você
Faça agora — 5 ações em 10 minutos
Marque cada item conforme completar. Nenhuma dessas ações exige aprovação.
Contatos de segurança
Suporte: E-mail ou chat do suporte de TI
Emergência: Ramal ou telefone de emergência da TI
Consulte a intranet da sua empresa para os contatos atualizados.
