Attack Simulation Training: simular phishing no Microsoft 365

Os filtros cortam o volume óbvio, mas não sabem o que as pessoas fazem com o que passa — a pergunta que decide um BEC. O Attack Simulation Training responde: a Microsoft entrega campanhas de phishing inócuas no teu tenant e mede quem clica, quem fornece credenciais na página falsa e quem reporta.

Mede-se, não se pune: o que o utilizador escreve na página falsa é descartado, e o evento de submeter é que fica registado — com IP, browser e hora — e é esse evento que conta como comprometido Cultura de culpados mata o reporte — e sem reporte o programa fica cego. A NIS2 exige formação e higiene cibernética, sem prescrever simulações — este é o método que dá números ao compliance — o guia NIS2 em 2026: Como Implementar a Checklist em 90 Dias — Guia Prático para Sysadmins trata o lado organizativo, e as simulações trazem os números do comportamento. Corre aqui, paralelo à detecção que já tens em produção.

1. Quem pode correr: o licenciamento

O requisito é Defender for Office 365 Plan 2, incluído no Microsoft 365 E5 e por add-on no resto. As permissões: Attack Simulation Administrator para criar e correr, Attack Payload Author só para payloads. Não há cmdlets PowerShell para simulações: a automação corre no Microsoft Graph, com AttackSimulation.Read.All e ReadWrite.All. Business Premium traz o Plan 1, mas o Plan 2 entra sempre por add-on — sem ele, o tab nem aparece.

2. O wizard de simulação, passo a passo

A campanha cria-se no tab Simulations, com o botão Launch a simulation. O wizard é uma sequência fixa:

• Técnica — Select technique: Credential Harvest, Malware Attachment, Link in Attachment, Link to Malware, Drive-by URL, OAuth Consent Grant ou How-to Guide. Várias técnicas aceitam payloads com QR code — incluindo Credential Harvest, Link to Malware, OAuth Consent Grant, How-to Guide e Drive-by URL.
• Nome — Name simulation: nome único para os relatórios. O Save and close guarda como Draft.
• Payload — Select payload and login page: tabs Global payloads (catálogo da Microsoft, em 29+ idiomas incluindo português) e Tenant payloads (os teus, criados em Content library → Payloads). Cada payload expõe o predicted compromise rate à escolha, e Send a test manda-te uma cópia. Em Credential Harvest e Link in Attachment escolhes a login page.
• Alvos — Target users e Exclude users: todas as caixas, ou utilizadores e grupos (M365 estáticos e dinâmicos, listas de distribuição e grupos de segurança com e-mail, importação por CSV). As sugestões automáticas: Repeat offenders e quem não recebeu simulação há três meses.
• Formação — Assign training: experiência da Microsoft por defeito (prazos 7, 15 ou 30 dias), a tua lista de módulos, um Redirect to a custom URL para página tua, ou No training. Na lista própria definem-se os gatilhos: All users, Clicked payload ou Compromised.
• Landing, notificações e lançamento: onde quem clica aterra — biblioteca ou URL próprio, com indicadores no e-mail —, as notificações de treino, lembretes e positive reinforcement, e o Launch details: já ou agendado, janela de 2 a 30 dias (2 por defeito), entrega region aware por fuso. Revisão final, Send a test, Submit.

# Simulations — criar e acompanhar campanhas
https://security.microsoft.com/attacksimulator?viewid=simulations
# Relatório consolidado de simulações
https://security.microsoft.com/attacksimulationreport
# Threshold de repeat offenders e definições globais
https://security.microsoft.com/attacksimulator?viewid=setting

3. Ler os resultados

O relatório de cada simulação abre para In progress ou Completed. Três camadas:

• Simulation impact: compromised users contra users who reported — a divisória central.
• All user activity e Delivery status: cliques, credenciais fornecidas, leituras, eliminações e forwards, com o tempo de cada evento. Alvos sem a mensagem ficam em failed to deliver — lista mal depurada ou filtro externo.
• Training completion: quem fechou os módulos. Com o campo Department do Entra ID preenchido, o export pinta os departamentos mais vulneráveis.

Nos tabs Overview e Reports ficam quatro cards: Simulation coverage, Training completion, Repeat offenders e Behavior impact on compromise rate. O card de repeat offenders usa um threshold de 2 campanhas consecutivas por defeito, ajustável no tab Settings. A comparação de base é actual contra prevista: o predicted compromise rate (PCR) parte de taxas anónimas de outras simulações da Microsoft — acima do previsto, reforça-se o treino. Os widgets só actualizam com a campanha fechada.

4. Técnicas lado a lado

Não há histograma oficial por técnica: fixa-se o que conta como comprometido em cada uma, e o PCR de cada payload. O quadro:

5. Armadilhas do programa

• Cliques que não são cliques. A inspecção automática dos URLs — serviços de segurança, filtros de terceiros, forwarding — gera cliques falsos que incham o comprometimento. O export traz EmailLinkClicked_IP, EmailLinkClicked_Browser e EmailLinkClicked_Device com timestamp — separa humano de automatizado.
• Safe Links é o tubo de medição. O tracking dos cliques passa pelo Safe Links, mesmo com Track user clicks desligado. A simulação não é phishing real — os domínios vêm de uma lista fixa, o URL é único por utilizador, e é por aí que o clique lhe é atribuído — o relatório mede pessoas, não filtros.
• O reporte é métrica, não bloqueio. Quem reporta pelo botão da Microsoft entra em users who reported e pode receber logo o positive reinforcement. Reportes de ferramentas de terceiros não entram nos relatórios.
• Lista estática vs. alvo dinâmico. Um CSV é uma fotografia: quem entra depois nunca recebe simulação, quem sai continua na lista. Os grupos M365 dinâmicos reavaliam a adesão a cada lançamento, e o card de coverage mostra quem nunca foi alvo.
• Repetição é terreno das automations. O wizard agenda uma janela de 2 a 30 dias. Um programa mensal, com randomização de entrega, vive nas Simulation automations.

6. O CFO que caiu duas vezes

Na campanha de facturação, o CFO entra na lista de comprometidos. Meses depois, uma simulação de tema Service Suspended apanha-o de novo. Com o threshold de 2, aparece sozinho no card Repeat offenders. A resposta correcta não vai para a direcção com o nome na mão: a campanha seguinte corre com treino no gatilho Compromised, a suggested group de repeat offenders vira alvo prioritário, e a taxa actual compara-se ao PCR no Behavior impact — se a curva desce, o programa funciona. O repeat offender é prioridade de treino, nunca dossiê de castigo: puni-lo é perder os reportes seguintes.

Fontes Oficiais

• Get started using Attack simulation training — Microsoft Learn — licenciamento, permissões, técnicas e predicted compromise rate
• Simulate a phishing attack with Attack simulation training — Microsoft Learn — o wizard completo, do payload ao lançamento
• Reports for Attack simulation training — Microsoft Learn — cards, tabs do relatório consolidado e export por CSV
• Attack simulation training deployment considerations and FAQ — Microsoft Learn — o descarte de credenciais, retenção e cliques falsos
• Training campaigns in Attack simulation training — Microsoft Learn — treino directo sem campanha de teste
• Microsoft Defender for Office 365 service description — Microsoft Learn — os termos de licenciamento do Plan 2

Artigos Relacionados

• NIS2 em 2026: Como Implementar a Checklist em 90 Dias — Guia Prático para Sysadmins
• Phishing Moderno: Como Detectar e Prevenir Ataques além do Login em 2026
• Phishing-as-a-Service no Microsoft 365: Detectar e Bloquear Kits PhaaS em 2026