Aqui você encontrará o catálogo atualizado dos modelos de simulação de phishing que a Whalemate disponibiliza para você. Cada modelo é um e-mail pronto para enviar: você não precisa redigir nem desenhar nada, apenas escolher qual usar ao criar sua campanha.
Hoje o catálogo tem 417 modelos: 203 em espanhol, 138 em português e 61 em inglês (mais 15 em italiano, francês e alemão). Além destes, sua empresa pode ter modelos próprios, que ficam visíveis apenas para a sua conta.
Para lançar uma campanha com qualquer um desses modelos, veja «Criar uma simulação de phishing por e-mail».
Os três tipos de ataque
Cada modelo simula um ataque distinto, e isso define o que é medido:
Somente clique (318 modelos) — o e-mail traz um link. Registra-se quem abre o e-mail e quem clica. Ao clicar, o colaborador chega à página de recomendações que você escolheu.
Entrega de credenciais (77 modelos) — além do clique, o colaborador chega a uma tela de login falsa. Registra-se quem digita ali seu usuário e sua senha.
Ransomware (22 modelos) — o e-mail simula o envio de um arquivo. Registra-se quem o baixa e quem o abre.
Como ler o nome de um modelo
Os nomes seguem uma convenção que evita que você precise abrir a pré-visualização:
[ES] [PT] [EN] no início — o idioma do e-mail.[CH] no final — Credential Harvesting: é a versão de entrega de credenciais.[RW] no final — é a versão de ransomware.
Muitas marcas estão nas três variantes. Por exemplo, «Microsoft — Um "arquivo" foi compartilhado com você» existe como somente clique, como [CH] e como [RW]: é a mesma história com diferentes profundidades de medição.
Cerca de 4 em cada 10 modelos ainda não trazem o prefixo de idioma no nome: são os mais antigos do catálogo. Para filtrar por idioma com segurança, use o filtro do seletor e não o nome.
Ferramentas de trabalho e nuvem
A maior família do catálogo: 228 modelos. São os que funcionam melhor como primeira campanha, porque imitam e-mails que o colaborador espera receber.
- Microsoft 365 — conta suspensa, renovação de senha, arquivo compartilhado · 🇪🇸 🇧🇷 🇺🇸 · clique,
[CH], [RW]
- Microsoft SharePoint — exclusão de arquivos · 🇪🇸 🇧🇷 🇺🇸 · clique,
[CH]
- Microsoft Teams — você foi adicionado a uma equipe, está tentando se comunicar com você, vazamento de segurança, entrar agora · 🇪🇸 🇧🇷 🇺🇸 · clique,
[CH]
- Google Workspace — alerta de segurança, login suspeito, recuperação de conta · 🇪🇸 🇧🇷 🇺🇸 · clique,
[CH]
- Google Drive e Google Forms — uma planilha foi compartilhada, você foi adicionado a uma unidade compartilhada, formulário · 🇪🇸 🇧🇷 🇺🇸 · clique,
[RW]
- Google Cloud e Google Analytics — pagamento recusado, relatório do Analytics · 🇧🇷 🇺🇸 · clique
- OneDrive — documento enviado · 🇧🇷 · clique
- Ferramentas de IA — ChatGPT (webinar, falha no pagamento, redefinir senha, relatório de assinatura), Copilot com GPT-5, Gemini, Claude, DeepSeek, Cursor, dados compartilhados com a OpenAI · 🇪🇸 🇧🇷 · clique,
[CH], [RW]
- Atlassian, Jira, Confluence e Trello — token de API prestes a expirar, conta suspensa, recuperação de senha, validar informações pessoais · 🇪🇸 🇧🇷 🇺🇸 · clique,
[CH]
- Slack — conta suspensa, confirme seu e-mail · 🇪🇸 🇧🇷 🇺🇸 · clique
- AWS — tentativa de login, restaurar arquivos, faturamento excedido · 🇧🇷 🇺🇸 · clique,
[CH]
- SAP, ClickUp, Notion, Figma, GitHub, GitLab, Webflow, PandaDoc, Metabase, HubSpot — acesso não autorizado, exportação pronta, convites, duplo fator · 🇪🇸 🇧🇷 🇺🇸 · clique,
[CH]
- Gerenciadores de senhas — 1Password (recuperação de conta), Bitwarden (instalação) · 🇧🇷 🇺🇸 · clique
- Adobe ID — senha alterada · 🇪🇸 🇧🇷 🇺🇸 · clique,
[CH]
- Apple e iCloud — compra não reconhecida, dados da conta atualizados, recibo de compra, Apple Arcade · 🇧🇷 🇺🇸 · clique,
[CH], [RW]
- Zoom, LinkedIn, Instagram, WhatsApp, Spotify e YouTube — convite para reunião, conta suspensa, senha alterada, novo login, código de acesso · 🇪🇸 🇧🇷 · clique,
[CH]
Telefonia e internet
Muito usados no Brasil, onde o e-mail da operadora é cotidiano.
- Claro — atualização da linha, bônus de internet, fatura aberta, comprovante · 🇪🇸 🇧🇷 · clique,
[CH], [RW]
- TIM — atualização da linha, bônus de internet, confirmação de acesso, documento · 🇧🇷 · clique,
[CH], [RW]
- Vivo — troca de chip, confirmação de acesso, comprovante de solicitação · 🇧🇷 · clique,
[CH], [RW]
- Tigo — atualização de senha, na Bolívia e na Colômbia · 🇪🇸 · clique,
[CH]
- Movistar — Cyber Day, sorteio de iPhone · 🇪🇸 · clique
- Algar Telecom — fatura · 🇧🇷 · clique
Bancos, finanças e carteiras digitais
- Bancos da Argentina — Galicia, Macro, Santander Río, ICBC, Banco Nación, BCRA, Byma · 🇪🇸 · clique,
[CH]
- Bancos do Chile — Banco de Chile, BCI, BancoEstado · 🇪🇸 · clique,
[CH]
- Bancos do Peru — BCP e BBVA: atualização de senha, inconsistência no extrato da conta · 🇪🇸 ·
[CH], [RW]
- Bancos da Colômbia e do Brasil — Bancolombia (conexão empresarial), Nubank, Santander, Itaú, Sam's Club · 🇪🇸 🇧🇷 · clique,
[CH]
- Carteiras digitais e fintechs — Mercado Pago, Modo, Takenos, DolarApp, Astropay · 🇪🇸 🇧🇷 · clique
- Bancos internacionais — JP Morgan, Morgan Stanley, BCB (segundo fator), Chainalysis · 🇺🇸 · clique,
[CH]
- Impostos e órgãos públicos — ARCA (certificados digitais, controle cambial, imposto de renda), ARBA (dívida de imposto sobre veículos, domicílio fiscal eletrônico, plano de pagamentos), DIAN Colômbia, notificação de sentença · 🇪🇸 · clique,
[CH], [RW]
Recursos humanos e pagamentos internos
Os que mais funcionam, porque o remetente parece interno.
- Pagamento de participação nos lucros — comprovante, depósito, liquidação, notificação · 🇪🇸 · clique
- Contracheque (TuLegajo) · 🇪🇸 · clique
- Deel — você recebeu o pagamento, alerta de segurança, pesquisa de feedback · 🇧🇷 🇺🇸 · clique,
[CH]
- HIBOB, Humange e Naaloo — documentos e registros · 🇪🇸 · clique,
[CH]
- Benefícios corporativos — Wellhub, Si Vale, Oh! Gift Card, PedidosYa (benefício corporativo), Uber (conta da sua empresa) · 🇪🇸 🇧🇷 · clique,
[CH]
