Ação contínua derruba taxa de cliques em phishing de 24,64% para 1,41% no Grupo YAMAM
O Grupo YAMAM, empresa nacional de engenharia e projetos industriais, conseguiu uma redução histórica na exposição a golpes de phishing ao investir em um programa estruturado de conscientização, monitoramento e proteção em segurança da informação. Em apenas oito meses, a taxa de cliques em campanhas simuladas de phishing despencou de 24,64% para 1,41%, uma queda de 94,28%, segundo dados internos da companhia.
O projeto teve início em setembro de 2025 e foi desenvolvido em parceria com a PIERSEC e a Beephish. Cerca de 80 colaboradores participaram diretamente das ações, que incluíram simulações recorrentes de phishing, trilhas de treinamento, comunicação contínua e acompanhamento próximo da evolução de comportamento dos usuários. A iniciativa foi desenhada não como uma campanha pontual, mas como um programa permanente de mudança cultural em segurança cibernética.
Antes da implantação do programa, a realidade era comum a muitas organizações: dificuldade generalizada em reconhecer e-mails maliciosos, baixa percepção de risco no uso de links e anexos e vulnerabilidade ainda maior quando as mensagens simulavam temas próximos ao cotidiano do colaborador, especialmente assuntos ligados a benefícios internos, comunicados de RH ou atualizações de sistemas corporativos. Esse contexto tornava o ambiente propício para ataques que exploram o fator humano, e não apenas falhas técnicas.
Ao longo dos oito meses, o Grupo YAMAM adotou uma estratégia em camadas. A etapa inicial focou em conscientização básica: o que é phishing, como esses golpes são estruturados, quais os sinais de alerta em um e-mail, mensagem ou arquivo suspeito, e por que um único clique pode comprometer dados sensíveis, interromper operações e gerar prejuízos financeiros e de imagem. Em seguida, foram intensificadas as campanhas simuladas, com cenários cada vez mais próximos da rotina real dos colaboradores, permitindo avaliar o comportamento em situações de pressão e urgência.
Maurício Tavares, gestor de TI do Grupo YAMAM, relata que a transformação mais relevante foi comportamental. Segundo ele, a forma como os colaboradores lidam com comunicações digitais mudou significativamente. Hoje, os usuários estão mais atentos, verificam remetentes, desconfiam de pedidos fora do padrão, evitam abrir anexos desconhecidos e procuram o time de TI sempre que identificam algo fora do comum. O tema passou a ser levado com mais seriedade dentro da empresa e a segurança deixou de ser vista como um assunto “apenas de TI” para se tornar responsabilidade compartilhada, embora ainda exista espaço para amadurecimento contínuo.
O trabalho foi conduzido pela PIERSEC por meio do programa Fluxo Guardião, uma metodologia que combina governança, tecnologia e mudança de comportamento. O programa envolveu reuniões periódicas com as lideranças, análise detalhada de indicadores de risco, definição conjunta de planos de ação e acompanhamento sistemático da maturidade em segurança cibernética. Além das simulações de phishing e treinamentos, a PIERSEC operou o monitoramento SOC (Security Operations Center), a gestão de vulnerabilidades e o acompanhamento de eventos de segurança com o suporte da solução PIER360.
De acordo com Alex Vieira, CEO da PIERSEC, o objetivo central não era apenas implantar ferramentas, mas criar uma jornada contínua de evolução. A proposta foi integrar conscientização, monitoramento em tempo real e alinhamento estratégico com os objetivos do negócio. Em vez de simplesmente “colocar tecnologia para funcionar”, o trabalho buscou garantir que as soluções fossem compreendidas, utilizadas corretamente e constantemente ajustadas à realidade da operação do Grupo YAMAM.
A Beephish, responsável pelas campanhas de simulação de phishing e trilhas educacionais, trouxe para o projeto a visão de que o elo mais explorado pelos criminosos continua sendo o comportamento humano. Para Glauco Sampaio, CEO da Beephish, o caso do Grupo YAMAM confirma um cenário repetido em diferentes setores: ataques bem-sucedidos ocorrem, em grande parte, não por falhas em sistemas, mas por decisões precipitadas de usuários sob pressão ou enganados por comunicações convincentes. Quando a empresa passa a monitorar de forma sistemática o contexto, a percepção de risco e a reação das pessoas, o colaborador deixa de ser apenas alvo do golpe e passa a atuar como sensor e escudo adicional contra ameaças.
O impacto, porém, não ficou restrito aos números. O Grupo YAMAM observou uma mudança consistente no dia a dia dos times. E-mails suspeitos passaram a ser rapidamente reportados, dúvidas antes ignoradas começaram a ser levadas à área de TI ou segurança, e termos como “phishing”, “malware” e “engenharia social” deixaram de ser estranhos para fazer parte do vocabulário comum. Pequenas atitudes, como conferir o domínio do remetente, desconfiar de pedidos urgentes de mudança de senha ou de informações financeiras e validar telefonemas que solicitam dados sensíveis, passaram a ser rotina.
Essa evolução comportamental impulsionou uma transformação cultural. A segurança digital ganhou espaço em reuniões internas, treinamentos de integração, comunicados corporativos e até na conversa entre líderes de áreas distintas, como operações, financeiro, RH e engenharia. Em vez de ser tratada apenas como um requisito técnico ou regulatório, a proteção contra fraudes e ataques cibernéticos começou a ser vista como fator essencial de continuidade do negócio, reputação e confiança com clientes e parceiros.
O projeto não foi desenhado como uma ação com começo, meio e fim. Apesar do marco representado pela redução da taxa de cliques em phishing para 1,41%, o Grupo YAMAM mantém o programa em andamento, com novas campanhas, ajustes de conteúdo, revisão de processos e atualização constante das ações de monitoramento. O foco agora é consolidar a maturidade alcançada e evitar o efeito “curva de esquecimento”, em que a atenção dos colaboradores cai com o tempo se o tema deixa de ser reforçado.
No contexto de crescimento acelerado das fraudes digitais e do uso massivo de engenharia social – cenário que muitos já descrevem como uma verdadeira pandemia de golpes online – casos como o do Grupo YAMAM ilustram um caminho pragmático para empresas de qualquer porte: combinar tecnologia, processos e educação continuada. Não basta instalar filtros de e-mail ou soluções avançadas de proteção se o usuário continua clicando em links suspeitos sem refletir. A defesa eficaz parte da premissa de que o ser humano é parte do sistema de segurança, e não apenas o elo fraco.
Outro aprendizado relevante desse case é o papel dos indicadores. O monitoramento constante de métricas como taxa de cliques em phishing, tempo de resposta a incidentes, número de reportes voluntários de e-mails suspeitos e participação em treinamentos permite medir evolução real, ajustar a estratégia e direcionar esforços para áreas ou perfis mais vulneráveis. No Grupo YAMAM, a queda de 24,64% para 1,41% não foi um acaso, mas o resultado de decisões baseadas em dados, revisadas periodicamente com apoio de especialistas.
Para empresas que desejam seguir caminho semelhante, alguns elementos se destacam na experiência do Grupo YAMAM: patrocínio da liderança, envolvimento ativo das áreas de negócio, comunicação clara sobre riscos e responsabilidades, simulações realistas e recorrentes, reforço positivo aos bons comportamentos e integração entre time de TI, segurança e RH. A combinação desses fatores aumenta as chances de que a mudança não fique restrita a um treinamento obrigatório, mas se traduza em novos hábitos sustentáveis.
O case também reforça a importância de alinhar segurança cibernética com a estratégia corporativa. Em um ambiente industrial, como o do Grupo YAMAM, ataques de phishing podem ser porta de entrada para invasões a sistemas de engenharia, interrupção de linhas de produção e acesso indevido a dados de projetos críticos. Ao entender esse impacto, as lideranças tendem a priorizar investimentos e dedicar tempo à discussão do tema, o que acelera a maturidade organizacional.
À medida que ameaças digitais se tornam mais sofisticadas, com o uso de automação e recursos avançados para personalizar mensagens e burlar defesas técnicas, programas como o implementado no Grupo YAMAM ganham ainda mais relevância. A combinação de conscientização contínua, monitoramento especializado e evolução cultural não elimina o risco, mas reduz de forma significativa a superfície de ataque e aumenta a capacidade de detecção precoce, resposta rápida e recuperação.
A trajetória do Grupo YAMAM mostra que é possível transformar um cenário de alta exposição em um ambiente mais seguro e preparado, desde que a segurança da informação seja tratada como um processo vivo, em constante aprimoramento, e não como um projeto isolado. A queda de mais de 94% na taxa de cliques em phishing é um indicador claro dessa virada e um sinal de que, com estratégia, disciplina e parceria adequada, o fator humano pode deixar de ser o maior problema para se tornar um dos grandes aliados na proteção contra fraudes e ataques cibernéticos.