Considerações sobre a implementação da formação de simulação de ataques e perguntas frequentes

Formação em simulação de ataques permite às organizações Microsoft 365 E5 ou Microsoft Defender Office 365 Plano 2 medir e gerir o risco de engenharia social. A formação de simulação de ataques permite simulações de phishing baseadas em cargas maliciosas de phishing reais, mas inofensivas. A formação com hiper-destino, disponibilizada em parceria com a segurança do Terranova, ajuda a melhorar o conhecimento e a alterar o comportamento dos utilizadores.

Para obter mais informações sobre como começar a utilizar Formação em simulação de ataques, consulte Começar a utilizar Formação em simulação de ataques.

Embora a criação e o agendamento de simulações sejam concebidos para serem fáceis, as simulações à escala empresarial requerem planeamento. Este artigo ajuda a resolver desafios específicos que vemos enquanto os nossos clientes executam simulações nos seus próprios ambientes.

Problemas de experiência do utilizador

URLs de simulação de phishing bloqueados pela Navegação Segura do Google

Um serviço de reputação de URL pode identificar um ou mais URLs utilizados pelo treino de simulação de ataques como inseguros. A Navegação segura da Google no Google Chrome bloqueia alguns URL de phishing simulados com uma mensagem Site enganador adiante. Embora trabalhemos com muitos fornecedores de serviços de reputação de URL para autorizar sempre os nossos URLs de simulação, nem sempre conseguimos uma cobertura total.

O aviso de sites enganadores do Google Safe Browsing não afeta o Microsoft Edge.

Como parte da fase de planeamento, certifique-se de que verifica a disponibilidade do URL nos browsers suportados antes de utilizar o URL numa campanha de phishing. Se o Google Safe Browsing bloquear os URLs, permita que os URLs no Google Chrome Enterprise concedam acesso aos URLs.

Consulte Introdução à utilização da Formação em simulação de ataques para obter a lista dos URLs atualmente utilizados pela Formação em simulação de ataques.

Simulação de phishing e URLs de administração bloqueadas por soluções de proxy de rede e drivers de filtragem

Os dispositivos ou filtros de segurança intermédios podem bloquear ou remover os URLs de simulação de phishing e os URLs de administrador. Por exemplo:

• Firewalls
• soluções de Firewall de Aplicações Web (WAF)
• Controladores de filtro não Microsoft (por exemplo, filtros de modo kernel)

Embora poucos clientes estejam bloqueados nesta camada, o bloqueio nesta camada acontece. Se tiver problemas, considere configurar os seguintes URLs para ignorar a análise pelos seus dispositivos ou filtros de segurança, conforme necessário:

• Os endereços URL de phishing simulados, conforme descrito em Começar a utilizar Formação sobre simulação de ataques.
• https://security.microsoft.com/attacksimulator
• https://security.microsoft.com/attacksimulationreport
• https://security.microsoft.com/trainingassignments
• http://asttrainingfdendpoint-a6fva0cjbsbbereq.b02.azurefd.net/

Mensagens de simulação não entregues a todos os utilizadores visados

É possível que todos os utilizadores visados pela simulação não recebam as mensagens de e-mail de simulação. Os seguintes tipos de utilizadores são excluídos como parte da validação de destino:

• Endereços de e-mail de destinatário inválidos.
• Convidados.
• Utilizadores que já não estão ativos no Microsoft Entra ID.

Pode utilizar o cmdlet Get-DistributionGroupMember no Exchange Online PowerShell para ver e validar os membros do grupo visados.

Formações atribuídas inesperadamente ou não atribuídas aos utilizadores

O limiar de formação em campanhas de formação impede que os utilizadores tenham as mesmas formações atribuídas durante um intervalo específico (90 dias por predefinição). Para obter mais informações, veja Definir o limiar de preparação.

Se criou uma simulação ou uma automatização de simulação com o valor de atribuição de formação Atribuir-me formação (Recomendado), atribuímos a formação com base nos resultados anteriores do utilizador em simulações e formações. Para atribuir formação com base em critérios específicos, selecione Selecionar eu próprio os cursos de formação e módulos.

O que acontece quando um utilizador responde ou reencaminha uma mensagem de simulação?

Se um utilizador responder ou reencaminhar uma mensagem de simulação para outra caixa de correio, a mensagem é tratada como uma mensagem de e-mail normal (incluindo a detonação por Ligações Seguras ou Anexos Seguros). O relatório Simulação mostra se a mensagem de simulação foi respondida ou reencaminhada. Cada URL no e-mail de simulação está associado a um utilizador individual, pelo que as detonações de Ligações Seguras são identificadas como cliques pelo utilizador.

Se utilizar uma caixa de correio de operações de segurança dedicadas (SecOps), certifique-se de que a identifica como um SecOps na política de entrega avançada para que as mensagens sejam entregues sem filtro.

Como posso escalonar a entrega de mensagens de simulação?

Pode escalonar a entrega usando as seguintes funcionalidades:

• As simulações oferecem entrega sensível à região.
• As automações de simulação têm uma página de agendamento da simulação onde pode aleatorizar o envio e configurar outros detalhes do envio.

Quer utilize a entrega com consciência regional ou um cronograma de automação de simulação, utilize cargas úteis diferentes para evitar discussões e identificação entre utilizadores.

Por que motivo as imagens em mensagens de simulação são bloqueadas pelo Outlook?

Por predefinição, o Outlook está configurado para bloquear transferências automáticas de imagens em mensagens da Internet. Embora possa configurar o Outlook para transferir imagens automaticamente, não o recomendamos devido às implicações de segurança (potencial transferência automática de código malicioso ou erros Web, também conhecidos como Web beacons ou pixels de controlo).

Vejo cliques ou eventos de compromisso de utilizadores que insistem que não clicaram na ligação da mensagem de simulação OU vejo cliques alguns segundos após o envio para muitos utilizadores (falsos positivos). O que se passa?

Cliques inesperados e eventos de comprometimento podem ocorrer quando outros dispositivos ou aplicações de segurança inspecionam mensagens de simulação. Por exemplo (mas não limitado a):

• Aplicações ou plug-ins no Outlook que inspecionam ou intercetam a mensagem.
• Aplicações de segurança do correio eletrónico
• Segurança de pontos finais ou software antivírus.
• Playbooks SOAR (orquestração, automatização e resposta de segurança) que fazem automaticamente a triagem ou respondem automaticamente às mensagens comunicadas.

Os suplementos do Outlook, as ferramentas de segurança do e-mail, o software de segurança para endpoints e os playbooks SOAR podem inspecionar conteúdo Web para detetar phishing, pelo que é necessário definir exclusões para mensagens de simulação nessas soluções.

EmailLinkClicked_IP e EmailLinkClicked_TimeStamp dados podem fornecer mais detalhes sobre o evento. Por exemplo, se um clique ocorreu alguns segundos após a entrega e o endereço IP não pertencer à Microsoft, à sua empresa ou ao utilizador, é provável que um sistema de filtragem não Pertencente à Microsoft ou outro serviço tenha intercetado a mensagem.

Para quaisquer sistemas ou serviços de filtragem que não sejam da Microsoft, tem de permitir ou isentar os seguintes itens:

• Todos os URL da formação em simulação de ataques e os domínios correspondentes. Atualmente, não enviamos mensagens de simulação a partir de uma lista estática de endereços IP.
• Quaisquer outros domínios que utilize em cargas úteis personalizadas.

Posso adicionar a etiqueta Externa ou sugestões de segurança a mensagens de simulação?

Pode configurar payloads personalizados para adicionar a etiqueta Externa às mensagens. Para obter mais informações, consulte o Passo 5 em Criar payloads.

Não existem opções incorporadas para adicionar sugestões de segurança a payloads, mas pode utilizar os seguintes métodos na página Configurar payload do assistente de configuração do payload:

• Utilize uma mensagem de e-mail existente que contenha a sugestão de segurança como modelo. Guarde a mensagem como HTML e copie as informações.

• Use o seguinte código de exemplo para a dica de segurança «Primeiro contacto»:

  <table class="MsoNormalTable" border="0" cellspacing="0" cellpadding="0" align="left" width="100%" style="width:100.0%;mso-cellspacing:0in;mso-yfti-tbllook:1184;
  mso-table-lspace:2.25pt;mso-table-rspace:2.25pt;mso-table-anchor-vertical:
  paragraph;mso-table-anchor-horizontal:column;mso-table-left:left;mso-padding-alt:
  0in 0in 0in 0in">
  <tbody><tr style="mso-yfti-irow:0;mso-yfti-firstrow:yes;mso-yfti-lastrow:yes">
    <td style="background:#A6A6A6;padding:5.25pt 1.5pt 5.25pt 1.5pt"></td>
    <td width="100%" style="width:100.0%;background:#EAEAEA;padding:5.25pt 3.75pt 5.25pt 11.25pt" cellpadding="7px 5px 7px 15px" color="#212121">
    <div>
    <p class="MsoNormal" style="mso-element:frame;mso-element-frame-hspace:2.25pt;
    mso-element-wrap:around;mso-element-anchor-vertical:paragraph;mso-element-anchor-horizontal:
    column;mso-height-rule:exactly"><span style="font-size:9.0pt;font-family:
    wf_segoe-ui_normal;mso-fareast-font-family:&quot;Times New Roman&quot;;mso-bidi-font-family:
    Aptos;color:#212121;mso-ligatures:none">You don't often get email from
    this sender <a rel="noopener" href="https://aka.ms/LearnAboutSenderIdentification" tabindex="-1" target="_blank">Learn why
    this is important</a></span></p>
    </div>
    </td>
    <td width="75" style="width:56.25pt;background:#EAEAEA;padding:5.25pt 3.75pt 5.25pt 3.75pt;
    align:left" cellpadding="7px 5px 7px 5px" color="#212121"></td>
  </tr>
  </tbody></table>
  <div>
  <p class="MsoNormal"><span lang="DA" style="font-size:12.0pt;font-family:&quot;Georgia&quot;,serif;
  color:black;mso-ansi-language:DA">Insert payload content here,</span></p>
  </div>
  

Posso atribuir módulos de formação sem colocar os utilizadores numa simulação?

Sim. Para obter mais informações, consulte Campanhas de formação em Formação em simulação de ataques.

Como devo proceder para saber mais sobre as mensagens de simulação que não foram entregues?

O separador Utilizadores de cada simulação pode ser filtrado por Entrega de mensagem da simulação: Falha na entrega.

Se for o proprietário do domínio do remetente, o relatório de simulação não entregue é devolvido num relatório de entrega sem êxito (também conhecido como NDR ou mensagem de devolução). Para obter mais informações sobre os códigos no NDR, consulte Relatórios de não entrega de email e erros SMTP no Exchange Online.

Comunicar problemas

Diferenças nos dados de atividade do utilizador entre relatórios de treino de simulação de ataques e outros relatórios

Para comunicar sobre a atividade do utilizador relacionada com mensagens de simulação, recomendamos que utilize os relatórios de simulação incorporados. Os relatórios de outras fontes (por exemplo, Advanced hunting) podem não ser precisos.

O Safe Links não reencaminha URLs de simulação, pelo que os URL são considerados ligações não encapsuladas. Nem todos os cliques em hiperligações não reescritas passam pelo Safe Links, pelo que a atividade do utilizador relacionada com mensagens simuladas pode não ser registada nos registos UrlClickEvents.

Os relatórios da formação em simulação de ataques não contêm detalhes da atividade

Formação em simulação de ataques inclui informações avançadas e acionáveis que o mantêm informado sobre o progresso da preparação de ameaças dos utilizadores. Se os relatórios da Formação em simulação de ataques não apresentarem dados, verifique se o registo de auditoria está ativado na sua organização (está ativado por predefinição).

O treino de simulação de ataques requer registo de auditoria para capturar, registar e consultar posteriormente os eventos. Desativar o registo de auditoria tem as seguintes consequências para Formação em simulação de ataques:

• Os dados dos relatórios não estão disponíveis em todos os relatórios. Os relatórios aparecem vazios.
• As tarefas de preparação estão bloqueadas porque os dados não estão disponíveis.

Para verificar se o registo de auditoria está ativado ou para o ativar, consulte Ativar ou desativar a auditoria.

Comunicar problemas com caixas de correio no local

Formação em simulação de ataques suporta caixas de correio no local, mas com funcionalidades de relatórios reduzidas:

• Os dados sobre se os utilizadores leem, reencaminham ou eliminam o e-mail de simulação não estão disponíveis para caixas de correio no local.
• O número de utilizadores que denunciaram o e-mail de simulação não está disponível para caixas de correio locais.

Os relatórios de simulação não são atualizados imediatamente

Os relatórios de simulação detalhados não são atualizados imediatamente após iniciar uma campanha. Não te preocupes; Espera-se o atraso nas atualizações dos relatórios.

Cada campanha de simulação tem um ciclo de vida. Quando criada pela primeira vez, a simulação está no estado Agendado . Quando a simulação é iniciada, passa para o estado Em curso . Quando concluída, a simulação transita para o estado Concluído .

Enquanto uma simulação está no estado Agendado , os relatórios de simulação estão praticamente vazios. Durante esta fase, o motor de simulação está a resolver os endereços de e-mail do utilizador de destino, a expandir grupos de distribuição, a remover convidados da lista, etc.:

Assim que a simulação entrar na fase Em curso , as informações começam a escorrer para os relatórios:

Pode demorar até 30 minutos para que os relatórios de simulação individuais atualizem após a transição para o estado Em curso . Os dados do relatório continuam a ser compilados até que a simulação atinja o estado Concluído . As atualizações de relatórios ocorrem nos seguintes intervalos:

• A cada 10 minutos durante os primeiros 60 minutos.
• A cada 15 minutos, após 60 minutos, até perfazer dois dias.
• A cada 30 minutos após dois dias até sete dias.
• A cada 60 minutos após sete dias.

Os widgets na página Descrição geral fornecem um instantâneo rápido da postura de segurança baseada em simulação da sua organização ao longo do tempo. Uma vez que estes widgets refletem a sua postura de segurança geral e o seu percurso ao longo do tempo, estes são atualizados após a conclusão de cada campanha de simulação.

As mensagens comunicadas como phishing por utilizadores não aparecem em relatórios de simulação

Os relatórios de simulação na preparação do simulador de ataques fornecem detalhes sobre a atividade do utilizador. Por exemplo:

• Utilizadores que clicaram na ligação na mensagem.
• Utilizadores que forneceram as suas credenciais.
• Utilizadores que assinalaram a mensagem como tentativa de phishing.

Se as mensagens denunciadas pelos utilizadores como phishing não forem incluídas nos relatórios de simulação da Formação em simulação de ataques, poderá existir uma regra de fluxo de correio do Exchange (também conhecida como regra de transporte) que esteja a bloquear a entrega à Microsoft das mensagens denunciadas. Verifique se as regras de fluxo de correio não estão a bloquear a entrega nos seguintes endereços de e-mail:

• junk@office365.microsoft.com
• abuse@messaging.microsoft.com
• phish@office365.microsoft.com
• not_junk@office365.microsoft.com

É atribuída formação aos utilizadores depois de reportarem uma mensagem simulada

Se for atribuída formação aos utilizadores depois de reportarem uma mensagem de simulação de phishing, verifique se a sua organização utiliza uma caixa de correio de relatórios para receber mensagens comunicadas pelo utilizador em https://security.microsoft.com/securitysettings/userSubmission. A caixa de correio de relatórios tem de ser configurada para ignorar muitas verificações de segurança, conforme descrito nos pré-requisitos da caixa de correio de relatórios.

A proteção ligações seguras ou anexos seguros pode detonar mensagens se não configurar as exclusões necessárias para a caixa de correio de relatórios personalizada. As mensagens detonadas resultam em tarefas de preparação.

Outras perguntas mais frequentes

P: Qual é o método recomendado para direcionar os utilizadores para campanhas de simulação?

R: Estão disponíveis várias opções para utilizadores de destino:

• Inclua todos os utilizadores (atualmente disponíveis para organizações com menos de 40 000 utilizadores).
• Escolha utilizadores específicos.
• Selecione utilizadores a partir de um ficheiro CSV (um endereço de e-mail por linha).
• Utilize os grupos do Microsoft Entra. São suportados os seguintes tipos de grupo:
  • Grupos do Microsoft 365 (estático e dinâmico)
  • Grupos de distribuição (apenas estáticos)
  • Grupos de segurança habilitados para correio (apenas estáticos)

Descobrimos que as campanhas atribuídas a grupos Microsoft Entra são mais fáceis de gerir.

P: Quantos módulos de preparação existem?

Atualmente, existem 94 formações incorporadas na página Módulos de preparação .

P: Como são utilizados os idiomas para experiências como módulos de preparação e notificações?

O comportamento linguístico varia consoante a experiência:

• Módulos de preparação: são utilizadas as definições de região do browser. No entanto, quando a formação é atribuída a um utilizador, a seleção de idioma persiste e são atribuídas formações futuras nesse idioma.
• Notificações do utilizador final: são utilizadas as definições de região/idioma da caixa de correio.
• Payloads de simulação: é utilizado o idioma selecionado pelo administrador durante a criação.
• Páginas de destino: são utilizadas as definições de idioma da conta do Microsoft 365. O utilizador também pode alterar idiomas na página de destino.

P: Existem limites na filtragem de utilizadores ao importar a partir de um CSV ou ao adicionar utilizadores?

R: O limite para importar destinatários de um ficheiro CSV ou adicionar destinatários individuais a uma simulação é de 40 000.

Um destinatário pode ser um utilizador individual ou um grupo. Um grupo pode conter centenas ou milhares de destinatários. O limite superior do número de utilizadores é de 400 000, mas recomendamos um limite de 200 000 utilizadores para cada simulação para um melhor desempenho.

Gerir um ficheiro CSV grande ou adicionar muitos destinatários individuais pode ser complicado. A utilização de grupos Microsoft Entra simplifica a gestão geral da simulação.

P: Existem limites para o número de simulações que podem ser implementadas num determinado intervalo de tempo?

A. Não, embora possa sentir lentidão se iniciar muitas simulações paralelas. Os limites de taxa de mensagens do serviço também restringem as taxas de mensagens de simulação.

P: A Microsoft disponibiliza payloads noutras línguas?

R: Atualmente, existem mais de 40 payloads localizados disponíveis em mais de 29 idiomas: inglês, espanhol, alemão, japonês, francês, português, neerlandês, italiano, sueco, chinês (simplificado), norueguês Bokmål, polaco, russo, finlandês, coreano, turco, húngaro, hebraico, tailandês, árabe, vietnamita, eslovaco, grego, indonésio, romeno, esloveno, croata, catalão, e outro. Determinámos que a tradução direta ou automática de payloads existentes para outros idiomas leva a imprecisões e diminuição da relevância.

Dito isto, pode criar o seu próprio payload na língua que preferir através da interface personalizada para criação de payloads. Também recomendamos vivamente que recolha payloads existentes que foram utilizados para direcionar os utilizadores numa geografia específica. Por outras palavras, permita que os atacantes localizem o conteúdo por si.

P: Quantos vídeos de formação estão disponíveis?

R: Atualmente, existem mais de 85 módulos de preparação disponíveis na biblioteca de conteúdos.

P: Como posso mudar para outros idiomas para o meu portal de administração e experiência de formação?

R: No Microsoft 365 ou Office 365, a configuração do idioma é específica e centralizada para cada conta de utilizador. Para obter instruções sobre como alterar a definição de idioma, consulte Alterar o idioma de apresentação e o fuso horário no Microsoft 365 para Empresas.

A alteração de configuração pode demorar até 30 minutos a ser sincronizada em todos os serviços.

P: Posso acionar uma simulação de teste para compreender o aspeto antes de iniciar uma campanha real?

R: Sim. Na última página Simulação de Revisão no assistente de simulação novo, selecione Enviar um teste. Esta opção envia uma mensagem de exemplo de simulação de phishing para o utilizador com sessão iniciada. Depois de validar a mensagem de phishing na sua Caixa de Entrada, pode submeter a simulação.

P: Posso direcionar os utilizadores que pertencem a uma organização diferente como parte da mesma campanha de simulação?

R: Não. Atualmente, as simulações entre organizações não são suportadas. Verifique se todos os utilizadores visados estão na mesma organização. Todos os utilizadores ou convidados entre organizações são excluídos da campanha de simulação.

P: Como funciona a entrega com suporte para a região?

R: A entrega consciente da região utiliza o atributo de fuso horário da caixa de correio do utilizador alvo, com lógica de "não antes", para determinar quando entregar a mensagem. Cada destinatário recebe a simulação à hora marcada do dia, no seu próprio fuso horário da caixa de correio, e nunca antes disso. Se essa hora local já tiver passado no dia de lançamento, o destinatário recebe a mensagem à mesma hora local no dia seguinte. Como as mensagens de simulação são entregues em lotes limitados, a entrega é concluída progressivamente após o início previsto e pode demorar mais tempo para simulações de grande dimensão. Por exemplo, considere o seguinte cenário:

• Às 7:00 no fuso horário do Pacífico (UTC-8), um administrador cria e agenda uma campanha para começar às 9:00 do mesmo dia.
• O UserA está no fuso horário oriental (UTC-5).
• O UserB também está no fuso horário do Pacífico.

Às 9:00 do mesmo dia, a mensagem de simulação é enviada para o UtilizadorB. Com a entrega com reconhecimento da região, a mensagem não é enviada ao UserA no mesmo dia, porque 09:00 no fuso horário do Pacífico correspondem a 12:00 no fuso horário do Leste. Em vez disso, a mensagem é enviada para UserA às 9:00 hora de Leste no dia seguinte.

Assim, na execução inicial de uma campanha com a entrega com suporte para região ativada, poderá parecer que a mensagem de simulação foi enviada apenas aos utilizadores num fuso horário específico. No entanto, à medida que o tempo passa e mais utilizadores passam a estar abrangidos, o número de utilizadores visados aumenta.

Se não utilizar a entrega ajustada à região, a campanha começa com base no fuso horário do utilizador que a está a configurar.

P: A Microsoft recolhe ou armazena alguma informação que os utilizadores introduzam na página de início de sessão de Colheita de Credenciais, utilizada na técnica de simulação Colheita de Credenciais?

R: Não. Todas as informações introduzidas na página de início de sessão de recolha de credenciais são rejeitadas silenciosamente. Apenas o "clique" é registado para capturar o evento de comprometimento. A Microsoft não recolhe, regista nem armazena quaisquer detalhes que os utilizadores introduzam neste passo.

P: Durante quanto tempo são retidas as informações de simulação? Posso eliminar dados de simulação?

R: Consulte a seguinte tabela:

Se todo o inquilino for eliminado, os dados de preparação da simulação de ataques são eliminados após 90 dias.

Para obter mais informações, veja Informações de retenção de dados para Microsoft Defender para Office 365.

P: Posso criar, ver e gerir simulações com uma API?

R: Sim. Os cenários de leitura e escrita são suportados com o Microsoft Graph API:

• AttackSimulation.Read.All:
  • Ler metadados de simulação
  • Ler a atividade do utilizador
  • Ler dados de preparação
  • Ler infrações recorrentes
• AttackSimulation.ReadWrite.All: Execute simulações utilizando os payloads, as notificações e as páginas de início de sessão especificados.

Para obter mais informações, veja List simulations and Reports API overview for attack simulation training as part of Microsoft Defender para Office 365 (Descrição geral da API de Simulações de Listas e Relatórios para a preparação de simulação de ataques como parte do Microsoft Defender para Office 365).

P: Posso eliminar payloads personalizados?

R: Sim. Primeiro, arquive o payload e, em seguida, elimine o payload arquivado. Para obter instruções, consulte Arquivar cargas úteis.

P: Posso modificar os payloads incorporados?

R: Não diretamente. Pode copiar o payload incorporado e, em seguida, modificar a cópia. Para obter instruções, veja Copiar payloads.

P: Qual é a orientação da Microsoft sobre as marcas ou logótipos de terceiros usados nos payloads integrados (globais)?

R: A Microsoft fornece cargas úteis de treino de simulação de ataques para ajudar os clientes a simular técnicas de ataque no mundo real. A Microsoft não fornece aconselhamento jurídico, e os clientes continuam responsáveis por determinar a utilização adequada de quaisquer cargas úteis no seu próprio ambiente. Para questões relacionadas com leis aplicáveis, uso de marcas registadas ou outras considerações legais, os clientes devem consultar os seus próprios consultores jurídicos. Esta orientação aplica-se igualmente a cargas globais (fornecidas pela Microsoft) e a cargas de inquilino (cargas personalizadas que cria). Para considerações legais detalhadas, consulte Criar payloads.

P: Estou a tentar executar uma simulação de código QR, mas ao digitalizar o código QR é apresentada a mensagem "ping bem-sucedido" em vez da página de destino?

A: Quando insere um código QR no editor de carga útil, este é associado ao URL base de phishing que selecionou na secção Ligação de phishing>Selecionar URL. O código QR é inserido na mensagem de e-mail como uma imagem. Se mudar do separador Texto para o separador Código , verá a imagem inserida no formato Base64. O início da imagem contém <div id="QRcode"...>. Certifique-se de que o payload final contém <div id="QRcode"...> antes de o utilizar numa simulação.

Durante a criação da simulação, se ler o código QR ou utilizar Enviar um teste para analisar a carga útil, o código QR aponta para o URL base de phishing que selecionou.

Quando o payload é utilizado numa simulação, o serviço substitui o código QR por um código QR gerado dinamicamente para controlar as métricas de clique e comprometimento. O tamanho, a posição e a forma do código QR correspondem às opções de configuração que configurou no payload. Analisar o código QR durante uma simulação real leva-o para a página de destino configurada.

P: Estou a tentar criar um payload em HTML, mas o editor de payload parece remover certos conteúdos do meu design ou não guarda o payload?

R: Atualmente, as seguintes etiquetas HTML não são suportadas no editor de payload: applet, base, basefont, command, embed, frame, frameset, iframe, keygen, link, meta, noframes, noscript, param, script, object, title.

As cargas que contêm os seguintes termos, sem distinção entre maiúsculas e minúsculas, são bloqueadas: IRS, I.R.S., Internal Revenue Service, Inland Revenue Service, Treasury. Este comportamento está alinhado com as restrições ao uso de certas marcas e símbolos relacionados com o governo descritas em Create payloads. Se a sua carga útil for rejeitada de forma inesperada, reveja o conteúdo à procura destes termos e remova-os.

P: O que acontece se modificar o conteúdo utilizado numa simulação existente?

R: Pode modificar elementos-chave que são utilizados numa simulação independentemente da própria simulação. Por exemplo:

• Carga útil
• Módulo
• Página de início de sessão
• Página de destino

O conteúdo da simulação é avaliado no momento do lançamento, por isso qual a carga útil, módulo, página de login ou landing page usada na simulação depende do estado da simulação quando modificou o conteúdo:

• Ativa ou Em curso: esta simulação já foi iniciada, pelo que não são utilizadas quaisquer alterações de conteúdo.
• Programada: a simulação ainda não foi iniciada, pelo que quaisquer alterações ao conteúdo serão aplicadas quando a simulação for iniciada.

P: O que acontece se cancelar uma simulação depois de já existirem cliques no payload? Esses utilizadores continuam a ser considerados reincidentes, apesar de a simulação ter sido cancelada?

Um reincidente é um utilizador que foi comprometido por simulações consecutivas (desistiu das credenciais). O valor predefinido das simulações consecutivas é dois, mas pode configurar o limiar.

Se cancelar uma simulação em curso, os utilizadores que introduziram as respetivas credenciais antes do cancelamento serão contabilizados como reincidentes ou comprometidos nos relatórios.