Golpes de phishing: como funcionam hoje e como proteger a sua empresa

Autor: Pedro Tebaldi PM do KeepGreen

Publicado mar/2015Atualizado ago/2026

Durante anos, o treinamento corporativo contra fraude cabia em uma frase: desconfie de e-mail com erro de português. Esse conselho envelheceu mal. Modelos de linguagem escrevem português impecável, copiam o tom da comunicação interna da empresa e montam uma página de login idêntica à original.

Pior: a defesa que a maioria das empresas considera definitiva também caiu. O segundo fator de autenticação deixou de ser barreira quando o atacante para de roubar a senha e passa a roubar a sessão já autenticada.

Este artigo mostra como os golpes de phishing funcionam hoje, quais sinais clássicos ainda ajudam, quais viraram folclore e quais controles técnicos realmente interrompem o ataque. Ao final, você encontra o roteiro dos primeiros 30 minutos depois que alguém da equipe cai.

O que é um golpe de phishing?

Golpe de phishing é a fraude em que o criminoso se passa por alguém confiável para induzir a vítima a entregar informação ou executar uma ação. Ele chega por e-mail, mensagem, ligação, QR code ou canal de colaboração. O objetivo pode ser a senha, o código de autenticação, um pagamento desviado ou a instalação de um programa malicioso.

Repare que a técnica não ataca o sistema, ataca a decisão da pessoa. Por isso, controle técnico sozinho nunca resolve, assim como treinamento sozinho também não resolve.

Vale separar o termo de seus parentes próximos. Spear phishing é o ataque direcionado a uma pessoa específica, com pesquisa prévia. Smishing chega por SMS ou aplicativo de mensagem. Vishing usa ligação telefônica. Quishing esconde o endereço malicioso dentro de um QR code.

Como o phishing mudou e o que deixou de funcionar

Três mudanças recentes tornaram obsoleta boa parte do material de conscientização que ainda circula nas empresas brasileiras.

A primeira é a escrita. A IA generativa eliminou o erro de gramática como sinal de fraude e permitiu personalização em escala: o criminoso monta mensagens específicas por cargo, por área e até por projeto em andamento, usando dados públicos de redes profissionais.

A segunda é o roubo de sessão. Em vez de capturar a senha e esbarrar no segundo fator, o atacante coloca um proxy reverso entre a vítima e a página real de login. A vítima digita a senha, aprova o segundo fator no celular e entra normalmente. Enquanto isso, o proxy copia o cookie de sessão já validado. Com esse cookie, o criminoso entra sem precisar de senha nem de código.

Essa técnica tem nome: adversary-in-the-middle. Ferramentas prontas transformaram o que era artesanal em serviço vendido por assinatura, o que derrubou drasticamente o nível técnico exigido do atacante.

A terceira mudança é o canal. O phishing saiu do e-mail e foi para onde a fiscalização é menor: mensagens em ferramentas de colaboração, convites de calendário, comentários em documentos compartilhados e QR codes impressos em cartazes ou colados sobre o original.

Os tipos de golpe que mais atingem empresas

Cada variante exige um controle diferente. Tratar tudo como “e-mail suspeito” deixa buracos previsíveis na defesa.

Vale destacar o BEC. Ele quase nunca envolve link ou anexo malicioso, o que faz a mensagem passar limpa por filtros baseados em reputação. O ataque é puramente conversacional. O dano vai direto para o caixa.

Os números do phishing no Brasil

O Brasil tem série pública sobre isso, mantida pelo centro nacional de resposta a incidentes desde 1999. Ela ajuda a dimensionar o problema sem depender de manchete de fornecedor.

Das 24.030 notificações de fraude registradas em 2025, 22.818 foram phishing, enquanto malware ficou com apenas 1.212 registros, conforme a série pública do CERT.br consultada em agosto de 2026.

A leitura importa mais do que o número absoluto. A fraude brasileira aposta em enganar a pessoa, não em vencer a barreira técnica. Detalhamos a metodologia e as demais categorias nas estatísticas de incidentes registradas no Brasil, incluindo a ressalva de que a base é voluntária e não representa um censo.

Sinais que ainda valem e sinais que envelheceram

Boa parte das listas de “como identificar um e-mail falso” foi escrita há dez anos e nunca revisada. A tabela abaixo separa o que continua útil do que virou falsa sensação de segurança.

Um sinal novo merece entrar no treinamento: pedido de código. Nenhuma equipe de TI legítima liga pedindo o número que chegou por SMS. Quem pede o código está tentando concluir um login que já começou do outro lado.

Defesas técnicas que realmente barram o golpe

Conscientização reduz a taxa de cliques, porém nunca chega a zero. Por isso, a arquitetura precisa assumir que alguém vai cair e limitar o estrago.

Autenticação resistente a phishing

Esta é a única defesa que quebra o ataque de proxy reverso. Chaves de segurança FIDO2 e passkeys amarram a credencial ao domínio real do site, o que impede a autenticação em um endereço falso, mesmo que a pessoa insista.

A orientação da agência americana de cibersegurança recomenda esse formato como o mais seguro e trata SMS e notificação push como alternativas fracas. Priorize a adoção em contas privilegiadas, financeiro e diretoria.

Camada de e-mail e identidade

Configure SPF, DKIM e DMARC com política de rejeição no seu domínio, para dificultar que alguém envie mensagem se passando por você. Complemente com marcação visível para remetentes externos, quarentena de anexos e bloqueio de encaminhamento automático para fora do domínio.

Do lado da identidade, reduza o tempo de vida das sessões, exija reautenticação em operações sensíveis e restrinja acesso por dispositivo gerenciado. Essas medidas encurtam a janela de uso de um cookie roubado.

Todas elas se apoiam nos mesmos princípios de arquitetura zero trust que já valem para o restante do ambiente: nenhum acesso é confiável só porque partiu de dentro.

Detecção e resposta

Cookie roubado gera rastro: login de um país incomum, novo dispositivo, criação de regra de caixa de entrada que move mensagens para pastas escondidas. Monitorar esses eventos costuma revelar a invasão antes do prejuízo.

Uma plataforma de SIEM correlaciona esses sinais com o restante da telemetria, ao passo que a operação de SOC transforma o alerta em ação. Sem alguém acompanhando, o alerta apenas engorda o log.

O que fazer nos primeiros 30 minutos

Alguém clicou, digitou a senha e aprovou o segundo fator. A partir desse momento, cada minuto conta, porque o atacante costuma agir rápido para garantir persistência.

Passo 1: conter o acesso

Bloqueie a conta afetada e desconecte o dispositivo da rede quando houver suspeita de programa malicioso. Não apague nada, porque os registros servirão para dimensionar o incidente depois.

Passo 2: revogar sessões e credenciais

Trocar a senha não basta: o cookie roubado continua válido. Revogue todas as sessões ativas da conta, invalide tokens de aplicativos conectados e force novo cadastro do segundo fator.

Passo 3: investigar o alcance

Procure regras de encaminhamento criadas na caixa postal, aplicativos autorizados recentemente, alterações de contato de recuperação e mensagens enviadas em nome da vítima. É nesse ponto que o BEC costuma aparecer.

Passo 4: comunicar quem precisa saber

Acione seu plano de resposta a incidentes e avise as áreas afetadas, o financeiro (se houver risco de pagamento) e o encarregado de dados quando informação pessoal estiver envolvida. Registre a linha do tempo enquanto ela ainda está fresca.

Quando o golpe vira obrigação legal

Nem todo clique gera dever de comunicar. Contudo, quando o phishing dá acesso a dados pessoais, a empresa entra em outro regime: o da Lei Geral de Proteção de Dados.

A avaliação começa por três perguntas. Quais dados o atacante alcançou, quantos titulares foram afetados e qual o risco concreto para essas pessoas. Uma caixa postal comprometida raramente guarda apenas conversas internas, porque ela acumula anexos, planilhas e históricos de atendimento.

Havendo risco relevante, o controlador precisa comunicar a autoridade nacional e, conforme o caso, os próprios titulares. O prazo é curto, o que torna o registro da linha do tempo, feito ainda na contenção, uma peça central da defesa.

Vale preparar esse fluxo antes do incidente. Defina quem decide sobre a comunicação, qual é o texto padrão e quais evidências acompanham o relato. Empresa que discute isso durante a crise perde tempo justamente na hora em que ele custa mais caro.

Um efeito secundário costuma passar batido. O mesmo evento pode acionar cláusulas contratuais com clientes corporativos, que muitas vezes exigem aviso em prazo ainda menor que o legal.

Como treinar as pessoas sem transformar em teatro

Simulação de phishing virou rotina em muitas empresas, com resultados desiguais. O erro mais comum é usar o exercício para expor quem errou, o que produz medo e faz a pessoa esconder o próximo clique em vez de avisar.

Inverta a lógica. Meça a taxa de reporte, não apenas a taxa de clique. Comemore quem avisou rápido, dê um botão de “reportar” no cliente de e-mail e garanta resposta a quem usa.

Ajuste também o conteúdo. Treinamento que ainda ensina a procurar erro de português desatualiza a equipe. Material público e gratuito ajuda a manter o repertório em dia, como a cartilha de segurança para internet, que traz linguagem acessível para público não técnico.

Por fim, trate o processo como controle. A regra que impede fraude de pagamento não é lembrar do treinamento: é exigir confirmação por segundo canal para qualquer troca de dados bancários, sem exceção para pedido urgente da diretoria.

Essa disciplina pertence ao mesmo conjunto de práticas de cyber security que sustenta a segurança em TI da empresa.

Conclusão

Os golpes de phishing continuam sendo a fraude mais notificada no Brasil porque atacam o elo que nenhuma atualização corrige: a decisão de quem lê a mensagem. Mudou o disfarce, não a mecânica. A IA apagou os erros de escrita, o proxy reverso derrubou a confiança cega no segundo fator e o QR code abriu um canal que passa longe do filtro de e-mail.

A resposta, portanto, precisa ser em camadas. Autenticação resistente a phishing nas contas críticas, higiene de domínio bem configurada, sessões curtas, monitoramento de comportamento anômalo e um processo de pagamento que não dependa de ninguém estar atento em um dia ruim.

Some a isso uma cultura em que avisar sobre o clique é mais fácil do que esconder. Empresas que medem reporte, não apenas erro, descobrem incidentes em minutos em vez de semanas.

Quer visibilidade contínua sobre eventos suspeitos no seu ambiente, com correlação de logs e acionamento quando algo foge do padrão? Fale com um especialista da OpServices e avalie o seu cenário.