O departamento de Recursos Humanos (RH) é um dos principais alvos de phishing em 2025, de acordo com uma pesquisa divulgada em agosto último pela KnowBe4, plataforma que atua na gestão de riscos humanos. Simulação de ataques de personificação com temas internos lideram a lista de modelos mais clicados, com 98,4% dos e-mails abordando tópicos como remuneração, mudanças de políticas e outros, sendo que 45,2% mencionam o RH.
Ao ingressar em uma empresa, os colaboradores encontram uma hierarquia composta por gestores, executivos e conselhos – com o RH atuando como a voz oficial interna, responsável por comunicados, atualizações de políticas e mudanças organizacionais. Por conta dessa legitimidade e acesso a todos os funcionários, o departamento se tornou um alvo principal: em simulações internas, 80,6% dos links mais clicados exploraram temas familiares de RH, e os ataques ao setor aumentaram 120% entre janeiro e março de 2025.
Táticas e segmentação
Os cibercriminosos que se passam pelo RH combinam gatilhos psicológicos com uma variedade de táticas sofisticadas, como encurtadores de URL, infraestruturas de múltiplos redirecionamentos e campanhas segmentadas por departamento alinhadas a ciclos sazonais. Eles aproveitam de períodos importantes para que os ataques coincidam com ciclos administrativos e financeiros, frequentemente criando um senso de urgência por meio de prazos curtos para manipular socialmente suas vítimas.
Os tópicos mais explorados são mudanças em folha de pagamento e benefícios, atualizações de políticas de RH, contratos eletrônicos e documentos financeiros. Esses temas não são visados apenas por despertarem curiosidade, mas também porque passam despercebidos durante períodos sazonais de alto volume de e-mails.
Entre os departamentos mais visados em ataques de personificação do RH entre janeiro e junho de 2025 estão: manufatura (14,9%), serviços empresariais e ao consumidor (14,8%), serviços bancários e financeiros (13,2%) e o setor de tecnologia, que responde por 10,4% dos ataques. Por exemplo, trabalhadores da indústria podem receber mensagens fraudulentas relacionadas à segurança, enquanto profissionais da saúde são alvos de comunicações falsas sobre a LGPD (Lei Geral de Proteção de Dados) ou o PEP (Prontuário Eletrônico do Paciente).
