Teste de phishing de anel do campeonato ‘Tone Deaf’ do Knicks provoca reação negativa
O New York Knicks conquistou seu primeiro título da NBA desde 1973 na temporada passada, transformando Manhattan em uma festa de semanas e dando ao Madison Square Garden outro motivo para se tornar a “Meca do Basquete”. Mas enquanto o Garden, que é administrado pelo proprietário dos Knicks, James Dolan, através do Madison Square Garden Sports e empresas MSG relacionadas, se preparava para comemorar o título, alguns funcionários receberam um teste de e-mail de phishing que atraiu críticas de comentaristas esportivos e levantou questões mais amplas sobre como as empresas deveriam testar a conscientização dos funcionários em segurança cibernética.
De acordo com o The Athletic, o e-mail obtido pela publicação parabenizava os destinatários pelos supostos anéis de campeonato dos funcionários e oferecia-lhes a escolha entre dois designs: “Championship Gold” e “Garden Classic”. Também descreveu os anéis como gratuitos, personalizados e feitos pelo mesmo joalheiro dos anéis dos jogadores.
Infelizmente, a oferta nada mais era do que uma simulação de phishing que o Madison Square Garden teria conduzido em meio às preocupações de James Dolan com a segurança cibernética. Os funcionários que clicaram no link foram obrigados a concluir o treinamento em segurança cibernética, e muitos funcionários antigos do MSG, incluindo alguns envolvidos nas operações comerciais dos Knicks, supostamente não receberiam anéis de campeonato.
A polêmica se estendeu à cerimônia de abertura do time, na noite de terça-feira, quando os assistentes técnicos foram presenteados com caixas de ringue que pareciam vazias. De acordo com a reportagem do The Athletic, os treinadores foram informados naquele dia que seus anéis chegariam em uma data posterior.
A mídia esportiva reage
James Dolan e a organização MSG enfrentaram novas críticas online depois que o The Athletic publicou seu relatório.
Josh Margolis, da NBC Montana, escreveu no X: “Disfarçar um teste de phishing como uma ordem de anel de campeonato é muito, muito nojento. Os jogadores precisam conseguir alguns anéis para esses funcionários”.
“Apenas James Dolan pode desperdiçar a boa vontade de um título de NYK tão rápido”, acrescentou a conta do podcast Fear the Fro, focada no Cleveland Cavaliers. “Puxar o tapete de seus funcionários com a falsa promessa de um anel de campeonato como um teste de phishing é coisa de supervilão surdo.”
O redator da SB Nation, James Dator, criticou o teste de phishing, caracterizando a oferta do anel falso como uma fraude e descrevendo-a como “além de nojenta”.
James Dolan receber um e-mail de phishing enviado aos funcionários sobre anéis, apenas para responsabilizar aqueles que clicaram no link e os forçou a fazer um curso de segurança cibernética é uma loucura.
Mesmo que você esteja preocupado com a segurança cibernética em geral, use anéis de campeonato como forma… https://t.co/Pt62NSUdTc
– Recapitulação dos Knicks (@TheKnicksRecap) 23 de outubro de 2026
Até mesmo uma conta de fã dos Knicks, The Knicks Recap, criticou a medida, postando: “Mesmo que você esteja preocupado com a segurança cibernética em geral, usar anéis de campeonato como isca é um trabalho desagradável”.
Outra conta de fã dos Knicks rejeitou as críticas, escrevendo: “Em todos os trabalhos corporativos reais na América, as empresas realizam testes de e-mails de phishing para impedir que os funcionários cliquem em besteiras aleatórias que os hackers usam para violar sistemas e potencialmente levar a empresa à falência. Chama-se segurança cibernética. Mas são Dolan e os Knicks, então, de repente, é um escândalo”.
Portanto, o desacordo não é simplesmente sobre se as empresas deveriam realizar testes de phishing. É uma questão de saber se o design de um teste e as medidas de acompanhamento ajudam os funcionários a se tornarem mais seguros ou apenas os punem por clicarem.
Por que os testes punitivos de phishing podem sair pela culatra
As críticas também levantam questões sobre como as organizações deveriam projetar simulações de phishing. O Centro Nacional de Segurança Cibernética do Reino Unido diz que punir funcionários por clicarem em um e-mail de teste pode começar a parecer uma “armadilha” e alerta as organizações para verificarem com o RH antes de executar qualquer coisa que possa incomodar os funcionários. De acordo com a orientação do Instituto Nacional de Padrões e Tecnologia sobre exercícios de phishing, “Essas atividades não devem ser punitivas, nem nenhum funcionário deve ser chamado para responder. Quando vistos como oportunidades de aprendizagem, os exercícios de phishing podem fornecer dados importantes sobre vulnerabilidades e sobre quais funcionários podem precisar de suporte adicional de aprendizagem”.
Esta não é a primeira vez que uma empresa usa uma recompensa altamente emocional como isca de phishing e depois enfrenta uma reação negativa. Em dezembro de 2020, GoDaddy enviou aos funcionários um e-mail prometendo um bônus único de férias de US$ 650. Os destinatários que desejavam o dinheiro foram instruídos a clicar em um link e preencher um formulário com dados pessoais dentro de um prazo definido. Aproximadamente 500 funcionários fizeram isso e, dois dias depois, aqueles que clicaram receberam um acompanhamento do diretor de segurança da empresa informando que haviam falhado em um teste de phishing e precisariam refazer o treinamento de conscientização em segurança. Mais tarde, a GoDaddy se desculpou, dizendo que entendia que “alguns funcionários ficaram chateados com a tentativa de phishing e consideraram que ela era insensível”.
Ao mesmo tempo, a organização escolheu uma isca que faz sentido do ponto de vista técnico. Num relatório recente, a Kaspersky descobriu que uma simulação de phishing com o tema FIFA que promove prémios por vestir uma camisola da selecção nacional atingiu uma taxa de cliques de 66%. Então, sim, uma oferta de anel falso era plausível o suficiente para pegar pessoas. O problema é que a melhor isca click-through deve ser equilibrada com a necessidade de manter o ambiente de trabalho geral positivo.
A história mais ampla de medidas de segurança agressivas do MSG
O teste de phishing também ocorreu num contexto em que Dolan e as suas empresas já foram alvo de críticas por medidas de segurança agressivas. Durante as finais da NBA de 2026 dos Knicks, a segurança em torno do Madison Square Garden foi significativamente reforçada para o jogo 3 porque o presidente Donald Trump estava presente. ABC7 New York descreveu um extenso perímetro de segurança, vários pontos de verificação, triagem no estilo TSA, uma política de proibição de bagagem e instruções para os fãs chegarem duas horas antes.
Ainda assim, tem havido muitas preocupações em torno da tecnologia de segurança do MSG quando Trump também não está presente. O Madison Square Garden opera há anos com um sistema de reconhecimento facial projetado para escanear cada pessoa que passa por suas portas. A tecnologia tornou-se pública pela primeira vez em 2018. Em 2023, relatórios descreveram como a MSG Entertainment utilizou tecnologia de reconhecimento facial para identificar advogados afiliados a empresas envolvidas em litígios contra a empresa e negar-lhes a entrada nos seus locais, incluindo nos casos em que os advogados individuais não estavam a lidar pessoalmente com as disputas relevantes.
O uso da tecnologia de reconhecimento facial pelo MSG também atraiu críticas sobre o tratamento dado às pessoas que criticaram Dolan publicamente. Em março de 2025, Frank Miller, residente de Seattle, foi recusado em um show no Radio City Music Hall, outro local da MSG Entertainment. Miller já havia desenhado uma camiseta criticando Dolan, mas disse que nunca a usou. O MSG, no entanto, afirmou que Miller fez ameaças contra um executivo do MSG nas redes sociais e produziu e vendeu mercadorias que considerou ofensivas.
Em julho, outras reportagens da Wired revelaram um banco de dados MSG vazado que atribuía pontuações de risco a celebridades e seus convidados, com fãs conhecidos dos Knicks, como Ben Stiller, marcados como “baixo risco” e certos rappers marcados como “alto risco”.
