O phishing deixou de ser aquele e-mail com português mal escrito, remetente estranho e promessa improvável. Em 2026, boa parte das mensagens que chegam à caixa de entrada dos colaboradores brasileiros é redigida por modelos de linguagem, adaptada ao contexto do destinatário e enviada de domínios cuidadosamente escolhidos para passar despercebida pelos filtros técnicos. Segundo pesquisa da KnowBe4 citada em relatório de estatísticas de phishing publicado em 2026, 82,6% dos e-mails de phishing atuais contêm algum tipo de conteúdo gerado por IA, e as versões produzidas com auxílio de modelos generativos alcançam taxas de clique 4,5 vezes maiores que as tradicionais.

O Brasil ocupa uma posição desconfortável nesse cenário. Segundo levantamento da Associação de Defesa de Dados Pessoais e do Consumidor (ADDP) divulgado em reportagem do Correio Braziliense em novembro de 2025, o país é o segundo colocado no ranking global de ataques cibernéticos, com aproximadamente 700 milhões de tentativas por ano, o equivalente a 1.379 ataques por minuto. Só entre janeiro e setembro de 2025 foram registrados 1,5 milhão de casos específicos de phishing, além dos golpes via WhatsApp e falsa central de atendimento que compartilham a mesma lógica de engenharia social.

Neste artigo, você vai entender o que caracteriza um ataque de phishing hoje, quais são os principais tipos, quais sinais permitem identificar uma mensagem suspeita e como estruturar uma cultura de segurança que reduza a probabilidade de sua equipe cair no golpe.

O que caracteriza um ataque de phishing?

Phishing é um ataque de engenharia social que usa comunicação eletrônica para induzir a vítima a executar uma ação que compromete a segurança da empresa. Essa ação pode ser inserir credenciais em uma página falsa, aprovar uma transferência para conta indevida, baixar um anexo malicioso, clicar em um link que instala malware ou revelar informação sensível como código de autenticação, dados de cliente ou documentos internos.

O que distingue o phishing de outras ameaças é que a vulnerabilidade explorada não está em software ou hardware, e sim no comportamento humano. Nenhum patch corrige a decisão de um colaborador que, sob pressão de urgência, clica em um link vindo de um remetente aparentemente confiável. Segundo o relatório de cibersegurança da Brasscom analisado pela Duranium em dezembro de 2025, 85% dos incidentes de phishing mapeados no Brasil resultaram em violação de dados, e o custo médio da violação alcançou US$ 1,36 milhão em 2024, com aumento de 11,5% em relação ao ano anterior.

Como o phishing evoluiu com inteligência artificial?

A adoção massiva de IA generativa mudou três aspectos práticos do ataque. O primeiro é a qualidade da linguagem. Textos em português fluente, sem erros gramaticais, com terminologia setorial correta e tom adequado ao remetente supostamente representado. O segundo é a personalização. Modelos de linguagem processam informações públicas sobre a empresa e o colaborador, incluindo perfil no LinkedIn, notícias recentes e menções em redes sociais, produzindo mensagens que citam projetos reais, colegas verdadeiros e contextos que aumentam a credibilidade.

O terceiro é a expansão para múltiplos canais. O ataque começa em um e-mail bem construído, mas evolui para uma chamada de voz com clonagem baseada em amostras de três segundos de áudio, uma reunião no Teams ou Zoom com deepfake de vídeo em tempo real ou uma mensagem no WhatsApp usando foto e voz do executivo. Segundo dados compilados por publicação sobre deepfakes em Business Email Compromise em março de 2026, a proporção de ataques de BEC que utilizam deepfake de voz, vídeo ou texto passou de menos de 5% em 2023 para 40% no primeiro trimestre de 2026, com perda média por incidente superando US$ 4,1 milhões.

Os principais tipos de phishing que atingem empresas brasileiras

Phishing não é uma categoria única. É um portfólio de técnicas que compartilham a mesma lógica de engano, aplicadas em canais e formatos distintos.

Phishing por e-mail em massa: é a modalidade mais antiga e ainda a mais volumosa. Mensagens genéricas enviadas para grandes listas, imitando bancos, órgãos públicos ou empresas conhecidas, com link para uma página falsa que captura credenciais.

Spear phishing: ataque direcionado a uma pessoa ou pequeno grupo, personalizado com informações específicas sobre a vítima. Muito mais eficaz que o phishing em massa e cada vez mais comum entre empresas médias e grandes.

Business Email Compromise (BEC): modalidade em que o atacante se passa por executivo, fornecedor ou parceiro para induzir transferências bancárias, alteração de dados de pagamento ou envio de informações confidenciais. Segundo estatísticas compiladas pela Bright Defense, cerca de 78% das mensagens de BEC são tentativas de personificação, e 82% dessas tentativas se passam por CEO ou outro executivo.

Smishing: phishing via SMS, com mensagens que simulam alertas bancários, notificações da Receita Federal, avisos de entrega ou confirmações de cadastro, geralmente com link encurtado.

Vishing: phishing por voz, incluindo chamadas de falsa central de atendimento, suporte técnico impostor e, cada vez mais, deepfakes de voz de executivos solicitando ações urgentes.

Quishing: phishing via QR Code, em que o código impresso ou enviado por e-mail direciona a vítima para uma página falsa. Como o QR não permite inspeção visual do endereço antes do clique, essa modalidade contorna vários filtros técnicos.

Adversary-in-the-Middle (AiTM): ataque em que o phishing captura não apenas a senha, mas também o cookie de sessão pós-autenticação, permitindo ao invasor contornar autenticação multifator baseada em códigos ou notificações.

Sinais que denunciam um ataque de phishing

Mesmo com toda a sofisticação atual, quase todos os ataques de phishing carregam sinais que permitem a identificação. Alguns são técnicos e outros são comportamentais, e vale a pena treinar a equipe para reconhecer os dois grupos.

Domínio do remetente ligeiramente alterado

É comum encontrar substituições sutis como troca de “m” por “rn”, uso de domínios muito parecidos com o legítimo, ou envio a partir de subdomínios que não pertencem à organização real. Passar o mouse sobre o nome do remetente antes de clicar continua sendo uma das verificações mais eficazes.

Senso de urgência artificial

Frases como “aja imediatamente”, “sua conta será bloqueada em duas horas” e “resposta necessária ainda hoje” existem para tirar o destinatário do modo reflexivo e colocá-lo em modo reativo. Executivos legítimos raramente pressionam a equipe a executar transferências ou revelar informações em minutos, sem espaço para verificação.

Discrepância entre texto do link e endereço real

Um link exibido como www.bancolegítimo.com.br pode apontar para um endereço completamente diferente. Sempre é possível verificar o destino real ao passar o mouse sobre o link, seja em desktop ou ao visualizar os detalhes do link em dispositivos móveis.

Solicitação incomum vinda de canal conhecido

Um pedido de troca urgente de dados bancários de fornecedor, uma solicitação do CEO para pagamento imediato à nova conta, uma ordem de compra de vale-presente para colaboradores. Qualquer ação incomum, mesmo vinda de remetente reconhecível, merece verificação por canal alternativo.

Anexos ou links inesperados

Documentos, planilhas ou PDFs vindos sem contexto prévio, ou vindos com contexto vago como “veja em anexo” e “confira o documento”, exigem cautela. O mesmo vale para links que exigem login imediato em serviços corporativos.

Elementos visuais quase corretos

Logo levemente distorcido, cores fora do padrão, fonte diferente da normalmente usada pelo remetente, formatação inconsistente. Ataques sofisticados corrigem esses detalhes, mas ainda escapam com frequência.

Requisição de confidencialidade

Mensagens que pedem para o destinatário não comentar com colegas, não envolver a equipe financeira ou não seguir os procedimentos habituais são um dos indicadores mais fortes de tentativa de BEC. Nossos artigos sobre quais erros de segurança mais comuns colocam empresas em risco de ataques trazem contexto adicional sobre padrões comportamentais que aumentam a exposição corporativa.

Como preparar sua equipe para não cair no golpe

Reduzir a taxa de sucesso de phishing na sua empresa exige combinar controles técnicos, processos e formação continuada. Nenhum desses elementos funciona isoladamente.

Autenticação multifator resistente a phishing

MFA baseado em SMS ou em códigos de aplicativo continua sendo melhor do que apenas senha, mas pode ser contornado por ataques do tipo AiTM que capturam o código junto com a credencial. Métodos resistentes a phishing, baseados em chaves criptográficas físicas (padrão FIDO2) ou biometria vinculada ao dispositivo, elevam significativamente a barreira do ataque.

Filtros técnicos atualizados

Gateways de e-mail com análise comportamental, verificação de reputação de domínio, sandbox de anexos e inspeção de URL no momento do clique reduzem substancialmente o volume que chega ao usuário. Configurações corretas de SPF, DKIM e DMARC no domínio próprio também dificultam que atacantes se passem pela sua empresa em ataques contra terceiros.

Processos de dupla verificação para ações sensíveis

Toda transferência acima de determinado valor, alteração de dados bancários de fornecedor, criação de novo beneficiário ou pagamento urgente deve exigir confirmação por canal alternativo antes da execução. Se o pedido veio por e-mail, a confirmação deve ser por telefone. Se veio por WhatsApp, a confirmação deve ser presencial ou por e-mail oficial. A técnica das duas confirmações em canais diferentes, defendida por especialistas em fraude digital no Brasil, elimina a maioria dos golpes de BEC.

Treinamento contínuo e simulações

Um treinamento anual em segurança é insuficiente. As empresas com melhores resultados combinam formação inicial, campanhas simuladas de phishing ao longo do ano e comunicação recorrente sobre novas modalidades. O objetivo não é punir o colaborador que clica em uma simulação, mas identificar os pontos que precisam de reforço na comunicação.

Cultura de reporte sem culpa

Colaboradores precisam ter um canal claro e acessível para reportar mensagens suspeitas, e precisam saber que reportar é sempre a atitude correta, mesmo quando a suspeita for injustificada. Ambientes onde o medo da repreensão inibe o reporte multiplicam o tempo até a detecção de ataques reais.

Governança sobre dados públicos da empresa

Perfis corporativos no LinkedIn, releases de imprensa e conteúdo em redes sociais fornecem matéria-prima para spear phishing. Isso não significa deixar de comunicar, mas revisar o que é público sobre estrutura de aprovação, hierarquia de decisão e processos internos.

O que fazer quando o clique já aconteceu?

Mesmo com treinamento e controles, o clique eventualmente vai acontecer. A diferença entre um incidente contornável e uma crise geralmente está no que ocorre nos primeiros minutos.

Se o colaborador digitou credenciais em uma página suspeita, a senha deve ser trocada imediatamente e as sessões ativas encerradas em todas as plataformas. Se houver MFA em vigor, é necessário verificar se algum dispositivo desconhecido foi vinculado à conta e revogar acessos suspeitos.

Se o colaborador baixou ou executou um anexo, o dispositivo deve ser isolado da rede antes de qualquer outra ação. Continuar conectado pode permitir a propagação lateral de malware. A equipe de TI ou o parceiro de segurança precisa ser acionado para analisar o dispositivo e avaliar sinais de comprometimento em outros pontos do ambiente.

Se o incidente envolveu execução de transferência ou envio de dado sensível, os canais bancários e as áreas afetadas precisam ser notificados de imediato. Em casos de fraude via Pix, a Resolução Conjunta nº 6 do Banco Central estabelece protocolos entre instituições para tentar reter e recuperar valores em janelas curtas. Para incidentes de maior porte, nosso conteúdo sobre o que fazer se a sua empresa for vítima de um ataque de ransomware aprofunda como estruturar a resposta nas primeiras horas.

Perguntas frequentes sobre ataques de phishing

Muitas dúvidas surgem quando gestores de TI e líderes de área começam a estruturar a proteção contra phishing em suas empresas. As perguntas abaixo aparecem com frequência em conversas com clientes que enfrentaram incidentes ou querem reduzir a probabilidade de que aconteçam. As respostas foram organizadas para apoiar tanto decisões técnicas quanto o alinhamento entre TI, segurança e áreas de negócio, e podem servir como referência inicial antes de uma análise mais aprofundada da postura de segurança da sua operação.

Meu antivírus e meu filtro de e-mail não são suficientes contra phishing?

Reduzem o volume que chega, mas não eliminam. Ataques modernos usam domínios recém-criados, anexos com técnicas de evasão e páginas hospedadas em serviços legítimos como Google Docs ou Canva, o que dificulta o bloqueio por reputação. Segundo dados de mercado, cerca de 55% das páginas de phishing em 2026 usam certificados SSL válidos, o que anula a antiga regra de confiar apenas em sites com HTTPS. Filtros técnicos são camadas essenciais, mas precisam ser combinados com formação e processos.

Phishing atinge apenas empresas grandes?

Não. Empresas médias e pequenas são alvos frequentes justamente porque possuem ativos valiosos com maturidade de segurança inferior. Segundo o Censo do CISO Advisor 2026, 9 em cada 10 pequenas e médias empresas brasileiras sofreram pelo menos uma tentativa de ataque via WhatsApp Web ou e-mail corporativo em 2025. Muitos criminosos preferem esse porte porque a resposta a incidentes tende a ser mais lenta e menos estruturada.

Como o WhatsApp entra na estratégia de phishing corporativo?

O WhatsApp é hoje um dos vetores mais eficazes de engenharia social no Brasil. Falsos executivos criam contatos com foto e mensagens que imitam o líder da empresa, pedindo compras urgentes de vale-presente, transferências de valores ou envio de documentos internos. Empresas que utilizam o WhatsApp como canal profissional precisam estabelecer regras claras sobre quais assuntos podem ou não ser tratados por lá, e treinar colaboradores para desconfiar de qualquer contato vindo de número desconhecido, mesmo que a foto e o nome pareçam familiares.

Vale a pena rodar campanhas simuladas de phishing na minha empresa?

Sim, desde que sejam bem executadas. Campanhas simuladas mostram, com dados objetivos, quais áreas e quais tipos de mensagem geram mais cliques. Elas ajudam a orientar treinamento futuro e a acompanhar a evolução do risco humano ao longo do tempo. O erro comum é usar essas campanhas para punir colaboradores, o que gera medo e reduz reportes futuros. O propósito deve ser sempre educativo, com o clique tratado como oportunidade de reforço, não como falha pessoal.

Autenticação multifator é suficiente para bloquear phishing?

Reduz muito, mas não elimina totalmente. MFA baseado em SMS ou código de aplicativo pode ser contornado por ataques do tipo Adversary-in-the-Middle, que capturam o segundo fator no momento em que o usuário o digita na página falsa. MFA resistente a phishing, baseado em chaves criptográficas físicas ou biometria vinculada ao dispositivo, tem eficácia significativamente maior. Onde possível, essa modalidade deve ser padrão para acessos privilegiados e áreas sensíveis.

Proteja sua equipe com quem entende o cenário brasileiro

Com 22 anos de experiência, a Ayko apoia empresas brasileiras na implementação de estratégias completas de cibersegurança, combinando controles técnicos, políticas de acesso, monitoramento contínuo e capacitação de equipes. Nossa abordagem parte da análise cuidadosa do ambiente e das ameaças específicas que atingem cada setor, considerando o cenário nacional em que operamos.

Se sua empresa quer reduzir a exposição a ataques de phishing e estruturar uma cultura de segurança que sustente a operação, entre em contato com nossos especialistas e descubra como transformar prevenção em vantagem competitiva.