Simulações de Phishing em 2026: Casos Reais Que Reduziram 68% dos Cliques

TL;DR — Leia em 60 segundos

• Empresas brasileiras que implementaram simulações de phishing estruturadas em ciclos trimestrais reduziram em até 68% a taxa de cliques em campanhas maliciosas reais em menos de 12 meses.
• Em 2026, ataques de phishing utilizam inteligência artificial generativa, deepfakes de voz e personalização baseada em vazamentos de dados públicos e privados, elevando drasticamente o risco para organizações de todos os portes.
• Programas eficazes combinam tecnologia, métricas comportamentais, resposta a incidentes e cultura organizacional, não apenas envio de e-mails simulados.
• A maturidade em simulações de phishing está diretamente ligada à conformidade com a LGPD, redução de incidentes e diminuição de custos operacionais relacionados a fraudes e ransomware.

O que é Simulações de Phishing e Campanhas e por que é crítico em 2026

Simulações de phishing são campanhas controladas e planejadas que replicam ataques reais de engenharia social com o objetivo de medir, educar e fortalecer o comportamento de segurança dos colaboradores. Diferentemente de treinamentos teóricos, essas simulações colocam o usuário diante de uma situação prática: um e-mail convincente, um SMS suspeito, um link falso ou até mesmo um portal corporativo clonado. A partir da interação do usuário, a organização coleta dados sobre taxa de cliques, inserção de credenciais, reporte de incidentes e tempo de reação. Em 2026, essa prática deixou de ser opcional para empresas que buscam maturidade em segurança da informação.

O contexto brasileiro é especialmente desafiador. O país permanece entre os principais alvos globais de ataques de phishing, segundo relatórios internacionais de ameaças cibernéticas. O avanço do PIX, a digitalização acelerada do setor financeiro e a adoção massiva de trabalho híbrido criaram um ecossistema fértil para fraudes. Criminosos utilizam temas como atualização de cadastro bancário, notificações fiscais, processos trabalhistas e até comunicações falsas da Receita Federal para enganar colaboradores. Em ambientes corporativos, o phishing é frequentemente a porta de entrada para ransomware, exfiltração de dados e comprometimento de e-mails corporativos.

Em 2026, a sofisticação dos ataques atingiu outro patamar. Ferramentas de inteligência artificial permitem que criminosos gerem mensagens altamente personalizadas com base em informações extraídas de redes sociais, vazamentos de dados e até portais públicos. Deepfakes de voz são utilizados para simular ligações de executivos solicitando transferências urgentes. A automação em larga escala possibilita ataques direcionados a centenas de empresas simultaneamente, ajustando o discurso conforme o setor de atuação. Nesse cenário, confiar apenas em filtros de e-mail e soluções técnicas é insuficiente.

Simulações de phishing tornaram-se críticas porque abordam o elo mais vulnerável da cadeia de segurança: o fator humano. Estudos conduzidos por consultorias globais indicam que mais de 80% das violações de dados têm algum componente de engenharia social. No Brasil, empresas que adotaram programas estruturados de simulação reportaram redução significativa na taxa de cliques e aumento expressivo no número de reportes voluntários de e-mails suspeitos. Isso significa que colaboradores deixam de ser o ponto fraco e passam a atuar como sensores ativos de ameaça.

Além do aspecto técnico, há também implicações legais e reputacionais. A LGPD impõe obrigações claras sobre proteção de dados pessoais. Vazamentos decorrentes de phishing podem gerar sanções administrativas, multas e danos à imagem da organização. Programas de simulação documentados demonstram diligência e compromisso com boas práticas de segurança, podendo mitigar riscos jurídicos em caso de incidentes.

Portanto, em 2026, simulações de phishing não são apenas uma ferramenta de treinamento, mas um componente estratégico de governança, gestão de risco e continuidade de negócios. Empresas que negligenciam essa prática expõem-se a perdas financeiras, danos reputacionais e impacto operacional significativo.

Como funciona na prática: Anatomia completa

Na prática, uma simulação de phishing bem estruturada envolve planejamento estratégico, definição de métricas, construção de cenários realistas e análise detalhada dos resultados. O processo começa com a definição de objetivos claros: reduzir taxa de cliques, aumentar reportes, testar áreas críticas ou avaliar maturidade por departamento. Sem objetivos definidos, a campanha se torna apenas um exercício isolado sem impacto estratégico.

A construção dos cenários é uma etapa sensível. Em 2026, campanhas eficazes replicam tendências reais observadas no cenário de ameaças. Isso inclui falsos comunicados de RH sobre benefícios, mensagens simulando fornecedores com boletos alterados, notificações de atualização de senha e convites para eventos corporativos. A credibilidade do cenário é fundamental para medir comportamentos autênticos. Contudo, há uma linha ética clara: a simulação não deve constranger, expor ou ridicularizar colaboradores.

Após o envio da campanha, as interações são monitoradas em tempo real. Métricas como taxa de abertura, clique em link, download de anexo, inserção de credenciais e reporte ao time de segurança são registradas. Organizações maduras utilizam esses dados para segmentar treinamentos personalizados. Por exemplo, departamentos financeiros frequentemente apresentam maior risco em cenários de fraude de pagamento, enquanto equipes de tecnologia podem ser mais vulneráveis a falsos alertas de atualização de sistema.

Outro componente essencial é o feedback imediato. Quando um colaborador interage com a simulação, ele deve receber orientação educativa clara, explicando os sinais que indicavam risco. Esse momento pedagógico é crucial para consolidar aprendizado. Sem feedback estruturado, a simulação perde parte significativa de seu valor formativo.

Engenharia social moderna

A engenharia social em 2026 vai além de e-mails. Simulações profissionais incluem SMS corporativos falsos, mensagens via aplicativos de colaboração e até ligações automatizadas. O objetivo é preparar a organização para múltiplos vetores de ataque. Empresas que expandiram o escopo das simulações observaram redução consistente de incidentes reais envolvendo canais alternativos ao e-mail.

Métricas comportamentais avançadas

Além da taxa de clique, organizações avançadas analisam tempo de resposta, reincidência e comportamento pós-incidente. Um colaborador que clica mas reporta imediatamente apresenta perfil de risco diferente daquele que ignora a mensagem sem reportar. Essas nuances permitem programas de capacitação direcionados e mais eficazes.

Integração com SOC e resposta a incidentes

Simulações eficazes não operam isoladamente. Elas se integram ao SOC 24x7, permitindo testar fluxos reais de resposta. Quando um colaborador reporta um e-mail suspeito, o time de segurança deve analisá-lo rapidamente. Esse exercício fortalece processos e reduz tempo de contenção em incidentes reais.

Passo a passo: Implementação profissional

Fase 1: Diagnóstico e mapeamento

A implementação começa com diagnóstico detalhado da maturidade atual. Isso envolve análise de incidentes passados, entrevistas com lideranças, revisão de políticas internas e levantamento de indicadores históricos. Empresas que já sofreram ataques tendem a apresentar maior engajamento inicial, mas também traumas organizacionais que precisam ser tratados com cuidado.

O mapeamento deve identificar áreas críticas, como financeiro, jurídico e alta gestão. Também é essencial considerar colaboradores externos, terceirizados e parceiros com acesso a sistemas internos. Muitas violações ocorrem por meio de cadeias de suprimentos digitais.

Nessa fase, recomenda-se aplicar uma campanha piloto controlada para estabelecer linha de base. Essa medição inicial servirá como referência para avaliar evolução ao longo do tempo.

Fase 2: Planejamento e arquitetura

Com base no diagnóstico, define-se a arquitetura do programa. Isso inclui periodicidade das campanhas, diversidade de cenários, políticas de comunicação interna e critérios de escalonamento. Programas eficazes operam em ciclos contínuos, não ações isoladas anuais.

Também é fundamental envolver RH e jurídico para garantir alinhamento com cultura organizacional e conformidade legal. Transparência sobre a existência do programa, sem revelar datas específicas, aumenta confiança e reduz percepção de punição.

Fase 3: Implementação e testes

A fase de implementação envolve configuração de plataforma especializada, segmentação de usuários e criação de templates personalizados. Testes internos garantem que e-mails não sejam bloqueados por filtros corporativos antes de atingir os destinatários.

Durante a execução, monitoramento em tempo real permite ajustes rápidos. Caso um cenário gere confusão excessiva ou impacto operacional inesperado, o time pode intervir.

Fase 4: Monitoramento contínuo

Após cada campanha, relatórios detalhados devem ser apresentados à liderança. Métricas comparativas mostram evolução por área e perfil de risco. Treinamentos complementares são aplicados conforme necessidade.

O monitoramento contínuo inclui revisão periódica de cenários para acompanhar tendências de ameaças emergentes. Em 2026, isso significa incorporar IA, deepfake e ataques multicanal nas simulações.

Erros críticos e como evitá-los

Um erro comum é tratar simulações como ação punitiva. Quando colaboradores sentem-se vigiados ou envergonhados, o programa perde credibilidade. A abordagem deve ser educativa e colaborativa.

Outro erro é repetir o mesmo tipo de cenário. A previsibilidade reduz eficácia e não prepara para ameaças reais diversificadas. Variar temas e níveis de complexidade é essencial.

A ausência de métricas claras compromete avaliação de resultados. Sem indicadores definidos, não é possível comprovar redução de risco.

Ignorar alta liderança também é falha crítica. Executivos são alvos frequentes de spear phishing e devem participar do programa.

Não integrar com resposta a incidentes limita aprendizado operacional. Simulações devem testar fluxos reais.

Campanhas excessivamente agressivas podem gerar desgaste. Equilíbrio é fundamental.

Falta de comunicação interna gera rumores e desconfiança.

Não oferecer treinamento complementar reduz impacto educativo.

Ignorar terceiros amplia superfície de ataque.

Descontinuar o programa após melhora inicial leva à regressão comportamental.

Ferramentas e tecnologias essenciais

Ferramenta | Categoria | Diferencial | Indicação Plataformas de simulação corporativa | SaaS | Automação e relatórios avançados | Empresas médias e grandes Gateways de e-mail seguros | Segurança de e-mail | Filtro com IA | Todas Soluções de awareness | Treinamento | Microlearning integrado | Empresas com alta rotatividade SIEM integrado | Monitoramento | Correlação de eventos | Ambientes complexos Ferramentas de OSINT | Inteligência | Análise de exposição pública | Testes avançados Soluções de MFA | Autenticação | Redução de impacto pós-clique | Todas

Cada tecnologia deve ser avaliada conforme maturidade e orçamento. Integração entre elas maximiza eficácia.

Checklist completo de implementação

Prioridade alta inclui diagnóstico inicial, definição de métricas, envolvimento da liderança, escolha de plataforma, alinhamento jurídico, campanha piloto, relatório executivo e plano de treinamento.

Prioridade média envolve integração com SOC, expansão para múltiplos canais, segmentação por área, análise comportamental, revisão trimestral de cenários, atualização de políticas internas e campanhas para terceiros.

Prioridade contínua inclui auditoria anual, testes surpresa, revisão de indicadores, benchmarking setorial, comunicação interna recorrente, reforço cultural e atualização tecnológica.

Casos reais e estudos de caso

Uma instituição financeira brasileira implementou simulações trimestrais após incidente de phishing que resultou em tentativa de fraude milionária. A taxa inicial de cliques era de 42%. Após 12 meses, caiu para 13%, representando redução superior a 68%. Paralelamente, reportes voluntários aumentaram 240%.

Uma empresa do setor industrial com 3 mil colaboradores enfrentava recorrentes infecções por malware via e-mail. Após programa estruturado com foco em áreas operacionais, reduziu incidentes reais em 55% no primeiro ano.

Uma healthtech brasileira adotou simulações integradas ao SOC. Durante exercício, identificou falha no fluxo de resposta interna. Ajustes realizados reduziram tempo médio de contenção em incidentes reais subsequentes.

Como a Decripte Resolve Simulações de Phishing e Campanhas: Serviços e Diferenciais

A Decripte atua com abordagem integrada que combina simulações de phishing, SOC 24x7, resposta a incidentes e testes de intrusão. Diferentemente de fornecedores que entregam apenas plataforma, a Decripte integra inteligência de ameaças ao desenho das campanhas, garantindo realismo alinhado ao cenário brasileiro.

O SOC 24x7 monitora interações em tempo real e valida fluxos de resposta. Em caso de incidente real, a equipe especializada atua imediatamente na contenção e investigação forense.

Os serviços incluem alinhamento à LGPD, relatórios executivos para conselho e integração com programas de compliance. A experiência prática em resposta a incidentes permite calibrar campanhas conforme vulnerabilidades observadas em campo.

Empresas interessadas podem iniciar pelo diagnóstico gratuito no Intelligence Center disponível em https://decripte.com.br/intelligence-center. O processo envolve diagnóstico inicial, reunião de alinhamento estratégico e ativação personalizada do serviço.

Perguntas frequentes (FAQ)

Simulações de phishing expõem colaboradores?

Não. Quando conduzidas de forma ética, os dados são tratados de maneira agregada e educativa, sem exposição pública individual.

Qual periodicidade ideal?

Programas maduros operam em ciclos trimestrais com variações temáticas.

É obrigatório comunicar previamente?

Sim, recomenda-se informar sobre existência do programa sem divulgar datas específicas.

Pequenas empresas precisam?

Sim. PMEs são alvos frequentes e possuem menos recursos para recuperação.

Pode gerar problema trabalhista?

Quando alinhado ao jurídico e conduzido com transparência, riscos são mitigados.

Quanto tempo para ver resultados?

Normalmente entre 6 e 12 meses há redução significativa de cliques.

Simulações substituem tecnologia?

Não. São complementares a filtros e MFA.

Funcionam contra deepfake?

Podem incluir cenários simulados para conscientização.

Devem incluir diretoria?

Sim, executivos são alvos prioritários.

É possível medir ROI?

Sim, comparando redução de incidentes e custos evitados.

Treinamento online é suficiente?

Não sem prática simulada.

Como começar?

Através de diagnóstico estruturado e escolha de parceiro especializado.

Comece agora — diagnóstico gratuito em 5 minutos

A maturidade em segurança começa pelo reconhecimento honesto do risco atual. O Intelligence Center da Decripte oferece diagnóstico gratuito acessível em https://decripte.com.br/intelligence-center, permitindo identificar exposição e vulnerabilidades comportamentais.

Empresas que desejam avançar podem conhecer os planos personalizados em https://decripte.com.br/planos e aprofundar conhecimento técnico no portal https://decripte.com.br/artigos.

A decisão de agir hoje pode evitar incidentes milionários amanhã. Acesse o Intelligence Center, realize seu diagnóstico gratuito e fortaleça imediatamente a resiliência da sua organização.

Análise Técnica Aprofundada: Vetores e Táticas MITRE ATT&CK

As campanhas modernas de phishing observadas em 2026 demonstram uma convergência clara entre engenharia social sofisticada e técnicas descritas no framework MITRE ATT&CK. No estágio inicial, predominam técnicas de Initial Access (TA0001) como Spearphishing Link (T1566.002) e Spearphishing Attachment (T1566.001), frequentemente combinadas com Trusted Relationship (T1199) para explorar cadeias de fornecedores. Em casos reais, atacantes utilizaram domínios comprometidos de parceiros legítimos para hospedar páginas de captura de credenciais, reduzindo drasticamente a eficácia de filtros tradicionais baseados apenas em reputação.

Observou-se também a crescente adoção de Credential Harvesting (T1056) com páginas que replicam fluxos completos de autenticação federada, incluindo prompts MFA falsos. Em ambientes Microsoft 365 e Google Workspace, os agentes maliciosos passaram a utilizar proxies reversos do tipo Adversary-in-the-Middle (AiTM), permitindo capturar tokens de sessão válidos e contornar MFA — técnica alinhada a Session Hijacking (T1539). Esse vetor explica por que organizações com MFA habilitado ainda registraram comprometimentos bem-sucedidos antes da implementação de FIDO2 ou autenticação resistente a phishing.

Na fase de execução, muitos ataques incorporaram Malicious Script (T1059) por meio de arquivos HTML smuggling, onde o payload é reconstruído no navegador da vítima. Essa técnica, combinada com Obfuscated/Compressed Files (T1027), dificulta inspeções estáticas de gateway. Em simulações controladas, foi demonstrado que 41% dos usuários que clicaram em links suspeitos também executaram arquivos ZIP protegidos por senha quando instruídos em contexto urgente — evidenciando a importância de controles técnicos além do treinamento.

A etapa de persistência frequentemente envolveu Account Manipulation (T1098), com criação de regras de encaminhamento automático em caixas de e-mail comprometidas. Tais regras permitiam que atacantes monitorassem comunicações financeiras, preparando terreno para Business Email Compromise (BEC). Essa tática, alinhada a Collection (TA0009), prolonga o tempo médio de permanência (dwell time), que em casos reais superou 18 dias antes da detecção.

Por fim, ataques mais avançados integraram Defense Evasion (TA0005) por meio de domínios recém-registrados com certificados TLS válidos e infraestrutura hospedada em provedores cloud legítimos (T1583.003 – Acquire Infrastructure: Cloud Infrastructure). Isso dificulta bloqueios baseados em IP estático. A rotação rápida de subdomínios, aliada a DNS dinâmico, reduziu a janela de resposta tradicional, exigindo monitoramento contínuo baseado em comportamento e telemetria de identidade.

Indicadores de Comprometimento e Detecção

A identificação eficaz de phishing moderno depende da correlação de múltiplos IOCs. Entre os principais indicadores observados estão: domínios recém-criados (<30 dias), discrepâncias sutis em SPF/DKIM/DMARC, redirecionamentos HTTP 302 encadeados e certificados TLS emitidos por ACs automatizadas com padrões de nomenclatura suspeitos. Entretanto, IOCs isolados têm vida útil curta; portanto, recomenda-se priorizar indicadores comportamentais.

No SIEM, regras de correlação devem monitorar eventos como múltiplas falhas de login seguidas por autenticação bem-sucedida a partir de ASN incomum, criação de regras de inbox forwarding, concessão de permissões OAuth suspeitas (Consent Grant Anomalies) e download massivo de dados após autenticação via token válido. Um exemplo prático é correlacionar evento de login com UserAgent anômalo + alteração de MFA + criação de regra de e-mail em intervalo inferior a 10 minutos.

Regras YARA podem ser aplicadas para detecção de HTML smuggling, identificando padrões como uso intensivo de atob() combinado com criação dinâmica de Blob e URL.createObjectURL. Além disso, gateways seguros devem inspecionar anexos protegidos por senha quando possível, aplicando sandbox comportamental para observar chamadas PowerShell ocultas ou execução de mshta.exe, frequentemente associadas a Living off the Land Binaries (LOLBins).

A detecção avançada deve incorporar UEBA (User and Entity Behavior Analytics). Perfis comportamentais permitem identificar desvios como login fora do padrão geográfico, acesso a SharePoint incomum ou geração repentina de tokens OAuth para APIs sensíveis. Organizações que implementaram UEBA relataram redução média de 52% no tempo de detecção de contas comprometidas por phishing.

Roadmap de Implementação em 12 Meses

Fase 1: Diagnóstico (Meses 1-3)

O primeiro trimestre deve focar em avaliação de maturidade. Isso inclui análise de postura DMARC (modo none/quarantine/reject), testes de phishing controlados para estabelecer baseline de cliques e auditoria de políticas MFA. Métrica-chave: taxa inicial de clique e taxa de reporte voluntário.

Também é essencial realizar assessment de logs disponíveis no SIEM, verificando retenção mínima de 180 dias e capacidade de correlacionar eventos de identidade. Um gap comum identificado é a ausência de logs detalhados de aplicações SaaS, limitando visibilidade pós-comprometimento.

Ao final da fase, deve-se apresentar relatório executivo com indicadores quantitativos: percentual de usuários suscetíveis, tempo médio de detecção atual e cobertura de autenticação forte. Meta: estabelecer baseline confiável para comparação futura.

Fase 2: Fundação (Meses 4-6)

Nesta etapa, implementa-se DMARC em modo reject, autenticação resistente a phishing (FIDO2/WebAuthn) para grupos críticos e segmentação de privilégios administrativos. Métrica principal: redução de 30% na taxa de clique em simulações recorrentes.

Paralelamente, configurar regras SIEM específicas para detecção de AiTM e criação de regras de inbox suspeitas. Implementar playbooks SOAR para bloqueio automático de sessão e reset de credenciais.

Treinamentos direcionados por perfil (financeiro, RH, TI) devem ser conduzidos com simulações contextualizadas. Meta: elevar taxa de reporte para acima de 40% dos e-mails simulados.

Fase 3: Operação (Meses 7-9)

Com controles técnicos estabelecidos, a organização passa a operar ciclos mensais de simulação baseados em ameaças reais (threat-informed). Métrica: redução acumulada de 50% na taxa de cliques comparada ao baseline.

Implementar UEBA e monitoramento contínuo de concessões OAuth. Expandir autenticação forte para 80% da base de usuários. Integrar inteligência de ameaças externas ao SIEM para bloqueio proativo de domínios emergentes.

Testes de Red Team focados em phishing devem validar eficácia dos controles. Indicador de sucesso: tempo médio de contenção inferior a 4 horas após detecção.

Fase 4: Otimização (Meses 10-12)

A fase final concentra-se em automação e melhoria contínua. Playbooks SOAR devem executar quarentena automática, revogação de tokens e bloqueio condicional baseado em risco. Meta: reduzir MTTD em 60% comparado ao início do programa.

Implementar métricas executivas consolidadas: taxa de clique <5%, taxa de reporte >60% e zero contas administrativas comprometidas por phishing no período.

Por fim, realizar auditoria independente e simulação de ataque full-scope para validar resiliência organizacional. O sucesso é medido não apenas pela redução de cliques, mas pela capacidade comprovada de detectar e conter ataques reais em tempo mínimo.

Perguntas Aprofundadas de Executivos Seniores

1. Qual é o retorno financeiro real de investir em simulações de phishing e autenticação resistente a phishing?

O retorno financeiro deve ser analisado sob a ótica de redução de risco quantificável. Incidentes de BEC frequentemente ultrapassam milhões em perdas diretas, sem contar impactos reputacionais e multas regulatórias. Ao reduzir 68% dos cliques e implementar MFA resistente a phishing, a organização diminui drasticamente a probabilidade de comprometimento de credenciais privilegiadas — principal vetor de fraude financeira. Estudos de mercado indicam que o custo médio de um incidente relacionado a phishing supera em múltiplos o investimento anual em treinamento e tecnologia preventiva. Além disso, seguradoras cibernéticas já exigem controles como DMARC em modo reject e MFA forte para manter prêmios reduzidos. Portanto, o ROI não é apenas preventivo, mas também financeiro direto via redução de prêmios e mitigação de perdas potenciais.

2. Como equilibrar experiência do usuário e segurança avançada?

A fricção introduzida por controles adicionais deve ser compensada por autenticação moderna e transparente. Soluções FIDO2 eliminam senhas, reduzindo atrito e aumentando segurança simultaneamente. A chave está na adoção de políticas baseadas em risco: usuários em contexto de baixo risco enfrentam menos desafios, enquanto acessos suspeitos acionam verificações adicionais. Organizações maduras utilizam autenticação adaptativa, preservando produtividade. A comunicação clara sobre o “porquê” das medidas aumenta aceitação interna. Segurança eficaz não deve ser percebida como obstáculo, mas como facilitador de continuidade operacional.

3. Qual o impacto estratégico na governança corporativa?

Phishing deixou de ser problema técnico e tornou-se risco estratégico. Conselhos administrativos exigem métricas claras de exposição e resiliência. Incorporar indicadores como taxa de clique, MTTD e cobertura MFA ao dashboard de risco corporativo eleva a maturidade de governança. Além disso, demonstra diligência perante reguladores e investidores. Programas estruturados reduzem responsabilidade legal da liderança ao comprovar adoção de melhores práticas reconhecidas internacionalmente.

4. Como medir efetividade além da taxa de cliques?

A taxa de clique é apenas indicador inicial. Métricas avançadas incluem tempo de reporte, taxa de reporte voluntário, tempo de contenção e percentual de credenciais expostas bloqueadas antes de uso malicioso. Avaliações de Red Team fornecem visão realista da postura defensiva. A maturidade ideal é atingida quando mesmo usuários que clicam reportam rapidamente, permitindo resposta ágil antes de impacto relevante.

5. Estamos protegidos contra phishing com IA generativa?

A IA generativa elevou qualidade linguística e personalização dos ataques, tornando-os quase indistinguíveis de comunicações legítimas. A resposta não deve focar apenas em conscientização, mas em arquitetura de segurança resiliente: autenticação forte, monitoramento comportamental e automação de resposta. Organizações que combinam treinamento contínuo com controles técnicos avançados conseguem neutralizar ganhos obtidos por atacantes com IA. A defesa eficaz depende menos de prever cada novo e-mail malicioso e mais de reduzir drasticamente o impacto caso um usuário interaja com ele.