Numa certa empresa, os funcionários começaram a ter medo de abrir o próprio e-mail. Não é força de expressão. A empresa aplicava simulações de phishing punitivas, aquele teste em que a segurança dispara um e-mail falso e, se você clica, leva uma punição. A intenção parecia boa: ensinar pela consequência. O resultado foi o oposto. As pessoas ficaram tão apavoradas de cair numa armadilha da própria empresa que passaram a hesitar diante de qualquer mensagem, inclusive as legítimas. A comunicação travou. E o negócio começou a perder oportunidades reais, porque ninguém queria ser o próximo a ser exposto por um clique.
Esse caso não é uma invenção minha para ilustrar. Ele está documentado em um material recém-publicado pela NIST, o instituto de padrões dos Estados Unidos e uma das maiores referências mundiais em cibersegurança. Em agosto de 2026, a NIST divulgou um documento chamado Human-Centered Cybersecurity, ou cibersegurança centrada no ser humano, propondo uma mudança de mentalidade que vale para qualquer organização, e para qualquer pessoa. E uma das histórias que ela traz é exatamente essa: a do medo que virou prejuízo.
A virada de chave
O mais interessante não é o problema. É a solução, porque ela inverte tudo o que a gente costuma fazer.
Segundo o relato registrado pela NIST, um responsável pela segurança da empresa recomendou abandonar completamente a punição e reformular o sentido do exercício. A frase que resume a mudança é simples e poderosa: o teste de phishing não existe para testar o ser humano. Ele existe para testar o treinamento e os apoios que sustentam esse ser humano. Quando alguém clicava, em vez de punir, a empresa passou a investigar. Não “como você foi cair nisso?”, mas “o que faltou para você agir diferente?”. Qual apoio não existia, qual orientação falhou, o que a empresa deixou de oferecer.
O efeito foi imediato. O medo do e-mail desapareceu. A empresa parou de perder negócios. E, de quebra, começaram a surgir conversas honestas que antes eram impossíveis, revelando que áreas diferentes precisavam de apoios diferentes, coisas que o modelo único e punitivo jamais teria enxergado.
Repare no que aconteceu. O mesmo teste, com a mesma tecnologia, produziu resultados opostos só porque mudou a pergunta por trás dele. De caça ao culpado para diagnóstico do sistema.
Por que punir a pessoa esconde o problema
Aqui está a ideia que a NIST está ajudando a formalizar, e que muda a forma de fazer conscientização. O documento afirma, com todas as letras, que enxergar o ser humano como o “elo mais fraco” a ser contido por soluções técnicas é uma visão limitante e prejudicial.
Prejudicial por um motivo prático, não filosófico. Quando você pune quem erra, você não conserta o erro. Você o empurra para debaixo do tapete. A pessoa que clicou e foi humilhada não vai avisar na próxima vez. Vai torcer para ninguém perceber. E aí o problema deixa de ser um clique, que é recuperável, e vira um silêncio, que é perigoso. Porque em segurança, o tempo entre o erro e o aviso é exatamente o que o criminoso usa a seu favor.
Ou seja, uma cultura de medo não deixa a empresa mais segura. Deixa mais cega. Ela troca a informação que salva pela aparência de disciplina que não protege ninguém.
Isso não é só sobre empresas. É sobre a sua casa
Se você não gerencia uma equipe de segurança, essa lógica ainda é sua, e todo dia. Pense na sua família.
Imagine que o seu pai, ou a sua mãe, clica num link falso e percebe que fez besteira. O que acontece a seguir depende inteiramente de uma coisa: como você reage. Se a reação for “de novo? Quantas vezes eu já te falei?”, você acabou de ensinar essa pessoa a nunca mais te contar. Da próxima vez, ela vai esconder, e você só vai descobrir quando a conta chegar. Se a reação for “que bom que você me avisou rápido, vamos resolver juntos”, você acabou de transformar essa pessoa no seu melhor sensor de ameaça.
É a mesma escolha da empresa, na escala da cozinha. Segurança não se constrói fazendo as pessoas terem medo de errar. Se constrói fazendo com que seja seguro admitir o erro cedo.
O que fazer com isso
• Trate quem avisa como aliado, não como culpado. Quem levanta a mão e diz “acho que caí em algo” está te dando o bem mais valioso em segurança: tempo para reagir.
• Quando alguém erra, pergunte o que faltou. Em vez de focar na falha da pessoa, procure o apoio que não existia.
• Se você escorregar, avise na hora. O prejuízo pequeno é o que se percebe cedo.
• Se você lidera, reformule os testes. Simulação de phishing deveria medir se o treinamento funciona, não gerar placar de vergonha.
O recado que fica
A gente se acostumou a tratar segurança como uma caça ao elo fraco, sempre procurando a pessoa distraída para corrigir. A NIST está dizendo, com a autoridade de quem define os padrões do setor, que essa mirada está errada, e que ela custa caro. O ser humano não é a falha a ser eliminada. É o parceiro a ser preparado e ouvido.
O funcionário que reporta um erro rápido não é o seu ponto fraco. É o seu melhor detector. E se você o pune, você não fica mais seguro, você só fica sem o alarme.
Então fica a pergunta, para a sua empresa e para a sua casa: quando alguém percebe que errou, o ambiente que você criou faz essa pessoa querer avisar na hora, ou querer esconder? Porque é essa resposta, e não a sua melhor ferramenta, que decide a velocidade com que você descobre que foi atacado.
Fonte: NIST, Human-Centered Cybersecurity, Guidelines and Resources (Concept Paper), agosto de 2026.
