O Madison Square Garden confirmou que um e-mail que levou funcionários a acreditar que estavam escolhendo um anel de campeão dos Knicks era uma simulação de phishing, e chamou a decisão de usar os anéis como isca de “erro infeliz”. A Associated Press relatou que em setembro de 2026 os funcionários da MSG receberam um e-mail dizendo “Congratulations, your Employee Championship Ring is here”, com um gráfico mostrando dois estilos de anel para escolher. Quem clicou no link no final foi enviado para uma aula obrigatória de cibersegurança.
O que aconteceu
Os New York Knicks venceram o campeonato da NBA na terça-feira à noite e os jogadores receberam seus anéis antes da derrota na estreia da temporada contra o Philadelphia. The Athletic relatou que os técnicos assistentes não receberam anéis naquela noite, o que trouxe atenção para a simulação de setembro. Um porta-voz do Madison Square Garden disse que a empresa havia enviado o e-mail para sua equipe corporativa como uma simulação de um ataque de phishing projetada para fortalecer a segurança contra hackers, e confirmou que a MSG foi recentemente hackeada e extorquida usando um login e senha de um funcionário obtidos por meio de um ataque de phishing semelhante. A empresa acrescentou que mais de 275 jogadores e funcionários ainda receberão seus anéis, e que os anéis e joias para a família dos Knicks valem mais de 3,7 milhões de dólares.
Por que as equipes de segurança fazem simulações de phishing
O phishing simulado é uma ferramenta padrão de conscientização. Agências de segurança como a ENISA e o NIST o recomendam como parte de um programa mais amplo, porque as defesas técnicas sozinhas não bloqueiam todas as mensagens maliciosas e o comportamento das pessoas decide o que chega ao destino. Um clique em uma isca falsa gera treinamento adicional em vez de uma invasão. Os limites éticos importam tanto quanto o próprio exercício. As orientações para essas campanhas dizem que elas devem ser autorizadas no nível adequado, que ninguém deve ser envergonhado por falhar e que iscas capazes de causar angústia normalmente são evitadas. Um e-mail de celebração sobre anéis de campeonato fica exatamente no limite dessa linha, e a MSG já admitiu que a escolha foi um erro.
O que quem opera e-mail não pode deixar passar
A simulação existe porque a MSG já sabe o que custa um clique real de phishing. A empresa foi hackeada e extorquida depois que um login e senha de um funcionário foram roubados em um ataque real de phishing. Essa é a sequência que toda organização deve ter em mente: um roubo de credenciais por e-mail se transforma em um episódio de extorsão, e o treinamento de conscientização é a resposta. O treinamento ensina as pessoas a desconfiar, mas a desconfiança sozinha não verifica quem realmente enviou um e-mail. Esse é o trabalho da autenticação. SPF, DKIM e DMARC provam que uma mensagem vem realmente do domínio que ela afirma, e uma política DMARC em quarantine ou reject impede que o e-mail falsificado chegue às caixas de entrada em primeiro lugar. Quando seus próprios funcionários e clientes não podem confiar no remetente visível, cada mensagem interna se torna um teste potencial de phishing, legítima ou não.
Se o seu domínio ainda pode ser falsificado, seus funcionários estão fazendo a própria simulação de phishing todos os dias sem a sua permissão. O Excello Mail mapeia cada fonte legítima de envio e leva seus domínios até p=reject sem quebrar o e-mail real. Cadastre-se gratuitamente no Excello Mail e garanta que os únicos e-mails surpresa que sua equipe receba sejam os que você mesmo enviou.