🚀 A CloudSEK se torna a primeira empresa de segurança cibernética de origem indiana a receber investimentos da Estado dos EUA fundo
Leia mais
Principais conclusões:
- Os ataques de phishing em 2026 são moldados pela automação em grande escala, iscas geradas por IA e entrega multicanal, tornando os ataques mais convincentes e difíceis de filtrar.
- Phishing financeiro, SaaS e baseado em identidade continuam sendo áreas altamente segmentadas, com os atacantes refinando táticas para roubar credenciais, acionar pagamentos não autorizados e explorar marcas confiáveis.
- Pequenas empresas e consumidores comuns enfrentam uma exposição crescente, pois os atacantes confiam em faturas de rotina, mensagens curtas e fraudes de pagamento rápido para gerar perdas financeiras imediatas.
- As organizações que investem na conscientização do usuário, na facilidade de emissão de relatórios, na proteção de identidade e nos testes contínuos estão melhor posicionadas para limitar os danos, mesmo quando surgem novas tendências de phishing.
O que é phishing?
O phishing é uma técnica de ataque cibernético em que os atacantes se disfarçam de entidades confiáveis para induzir as pessoas a compartilhar informações confidenciais. Essas mensagens geralmente aparecem como e-mails, textos ou mensagens legítimas que solicitam que os usuários cliquem em um link, baixem um arquivo ou forneçam credenciais.
Funciona atraindo a vítima para uma interação confiável e orientando-a para uma ação específica. Quando a mensagem ganha confiança, o usuário é direcionado a um site falso, anexo malicioso ou formulário criado para capturar silenciosamente detalhes de login ou outros dados privados.
Depois que as informações são coletadas, os atacantes as usam para acessar contas, se passar por usuários ou lançar novos ataques dentro de uma organização. Como todo o processo depende do comportamento normal do usuário e não de falhas técnicas, o phishing permanece eficaz mesmo em ambientes bem protegidos.
Por que o phishing é uma séria ameaça à segurança cibernética?
O phishing é uma séria ameaça à segurança cibernética porque transforma silenciosamente as interações digitais diárias em oportunidades de abuso.
- Mensagens normais: O phishing geralmente parece uma comunicação rotineira, o que faz com que as pessoas respondam sem parar para questioná-la.
- Pressão emocional: Muitos ataques são bem-sucedidos ao criar urgência ou autoridade que leva os usuários a agir antes de pensar.
- Logins roubados: Depois que as credenciais são capturadas, os invasores podem acessar os sistemas sem acionar alertas técnicos imediatos.
- Propagação interna: Uma conta comprometida é frequentemente usada para se passar por colegas confiáveis e avançar dentro de uma organização.
- Danos comerciais: O phishing pode causar perda financeira, exposição de dados e interrupção operacional muito depois de a mensagem inicial ser esquecida.
- Mudança constante: Os métodos de ataque continuam evoluindo junto com as plataformas e os hábitos do usuário, dificultando a eliminação completa do phishing.
Quais são as principais tendências de ataques de phishing em 2026?
1) Campanhas de phishing em escala industrial
O phishing em escala industrial depende da criação automatizada de domínios, rotação de hospedagem e entrega de mensagens em alto volume. Os atacantes reutilizam modelos bem-sucedidos enquanto mudam constantemente a infraestrutura para evitar derrubadas.
Os relatórios de coordenação de crimes cibernéticos da Índia mostram como a fraude repetível e em grande escala se tornou, com 23,02 lakh de reclamações de crimes cibernéticos tratadas e 7.130 milhões em perdas evitadas em 2025. O volume reflete operações de phishing projetadas para escala em vez de precisão.
Sinais-chave
- Registros intermitentes de domínios semelhantes
- Hospedagem de curta duração e rotação frequente de URL
- Mesma isca reutilizada com pequenas variações de texto
Melhores defesas
- Bloqueie domínios recém-registrados para usuários de alto risco
- Aplicar DMARC (rejeitar) + monitorar relatórios de falsificação
- Detone ligações/acessórios isoladamente antes da entrega
2) Phishing bancário e financeiro
O phishing bancário explora a urgência em relação à segurança da conta, reembolsos ou alertas de fraude para desencadear reações rápidas. Os atacantes se concentram em coletar credenciais, OTPs ou empurrar as vítimas para transações não autorizadas.
As autoridades financeiras do Reino Unido registraram 4.465 denúncias de fraude vinculadas a falsas falsificações de identidade financeira no início de 2025, com centenas de vítimas enviando dinheiro. Esses números mostram como a confiança na marca permanece eficaz como uma alavanca de phishing.
Sinais-chave
- Solicitações de login “Verificar agora” + solicitações OTP
- Pedidos de recuperação falsos (“recuperamos seus fundos”)
- Links que imitam portais bancários com truques sutis de domínio
Melhores defesas
- MFA resistente a phishing para acesso bancário/administrativo
- Verificação acelerada para novos beneficiários e ações de alto risco
- Avisos do usuário quando os domínios são recém-criados ou são incompatíveis
3) Phishing com código QR (esmagar)
O phishing QR oculta destinos maliciosos por trás de códigos digitalizáveis, empurrando os usuários para navegadores móveis com inspeção limitada. Os atacantes geralmente colocam códigos QR em faturas, avisos de estacionamento e mensagens relacionadas à entrega.
Entre abril de 2024 e abril de 2025, as autoridades do Reino Unido receberam 784 denúncias de esmagamento com perdas de quase 3,5 milhões de libras esterlinas. Ambientes físicos, como estacionamentos, tornaram-se pontos de entrega frequentes desses golpes.
Sinais-chave
- Códigos QR em faturas, estacionamento, entregas, e-mails de “verificação de conta”
- Sobreposições de adesivos QR ou sinalização adulterada
- Redirecione as cadeias após a digitalização
Melhores defesas
- Proteção de terminais móveis e controles de navegação segura
- Incentive “digite o site manualmente” para pagamentos/logins
- Desative fluxos de login iniciados por QR para sistemas confidenciais
4) Comprometimento de e-mail comercial e fraude de faturas
Os ataques BEC manipulam conversas comerciais reais para redirecionar pagamentos ou extrair credenciais. Cronometrar o ataque durante ciclos de pagamento legítimos reduz as suspeitas e aumenta o sucesso.
Os relatórios australianos de crimes cibernéticos mostram que o BEC continua sendo um dos tipos de fraude comercial de maior impacto, representando uma parcela significativa dos incidentes financeiramente prejudiciais em 2025. As perdas geralmente ocorrem sem malware ou comprometimento técnico óbvio.
Sinais-chave
- Alterações de dados bancários de última hora
- Domínios de remetente semelhantes ou incompatibilidades de “resposta a”
- Pressão para contornar as aprovações normais
Melhores defesas
- Verificação fora de banda para alterações de pagamento
- Aprovação dupla para novos beneficiários e atualizações de conta
- Alerta sobre criação de regras de caixa de correio + encaminhamento incomum
5) Coleta de credenciais de SaaS e webmail
Os logins na nuvem são direcionados porque um único compromisso pode desbloquear e-mails, arquivos e serviços conectados. As páginas de phishing imitam cada vez mais portais de SSO e fluxos de trabalho de documentos compartilhados.
Os relatórios de 2025 da Nova Zelândia mostraram um aumento trimestral de 15% nos incidentes de phishing e coleta de credenciais, destacando o foco contínuo na aquisição de contas. Os atacantes geralmente mudam rapidamente após o acesso para expandir o controle.
Sinais-chave
- Armadilhas de login “Sessão expirada”/“visualizar arquivo compartilhado”
- Solicitações de consentimento do OAuth de aplicativos desconhecidos
- Solicitações de cansaço do MFA e desafios repetidos de login
Melhores defesas
- Aplique o MFA resistente a phishing (FIDO2/WebAuthn)
- Acesso condicional (viagem impossível, postura do dispositivo)
- Bloqueie aplicativos OAuth arriscados e revise o consentimento do aplicativo regularmente
6) Phishing em mídias sociais e mensagens
O phishing por meio de plataformas de mensagens depende de velocidade, familiaridade e contas comprometidas. Mensagens curtas e identidades confiáveis reduzem a probabilidade de uma análise cuidadosa.
As autoridades cibernéticas suíças relataram um aumento no phishing entregue por meio de mensagens no estilo SMS em 2025, incluindo campanhas de falsificação de identidade com multas de estacionamento. Esses golpes mostram como os atacantes estão se afastando da entrega somente por e-mail.
Sinais-chave
- Mensagens “Você deve uma multa/entrega perdida” com links de pagamento
- URLs encurtados e páginas de destino parecidas
- Solicitações para mover o bate-papo para outra plataforma
Melhores defesas
- Desative as visualizações de links para grupos de alto risco sempre que possível
- Use a filtragem de DNS no celular + bloqueie encurtadores conhecidos
- Treine a equipe para verificar solicitações por meio de canais confiáveis
7) Misturas de phishing omnicanal
O phishing omnicanal reforça uma única narrativa fraudulenta em e-mails, SMS, aplicativos de mensagens e chamadas telefônicas. Ver a mesma mensagem por meio de vários canais aumenta a percepção de legitimidade.
Dados da polícia de Cingapura de 2025 mostram que as perdas por phishing estão aumentando drasticamente, com muitos casos envolvendo vários métodos de contato. A coordenação entre canais se tornou uma tática de conversão padrão.
Sinais-chave
- SMS referenciando um e-mail anterior (“conforme mencionado anteriormente...”)
- Chamadas de acompanhamento alegando “equipe de fraude” ou “suporte”
- Cutucadas repetidas até que a vítima responda
Melhores defesas
- Números de retorno de chamada únicos e verificados para equipes de suporte
- Manuais para as etapas de “verificar identidade e interromper o pagamento”
- Canais de relatórios rápidos para a equipe sinalizar iscas multitoque
8) Roubo de consumidores e phishing com perdas financeiras diretas
Esses golpes são projetados para monetização imediata, em vez de acesso a longo prazo. As vítimas são direcionadas diretamente para pagamentos, entrada de cartão ou envio de credenciais.
O Relatório de Ameaças Cibernéticas de 2025 da Nova Zelândia registrou 26,9 milhões de dólares em perdas financeiras diretas, refletindo a eficácia do phishing focado na conversão. A maioria das perdas ocorreu logo após o primeiro contato.
Sinais-chave
- Solicitações de pagamento “Reembolso/entrega/fiscal/fraude de conta”
- Solicitações de detalhes do cartão, login bancário ou códigos de autenticação
- Páginas falsas de “estorno” ou “verificação de segurança”
Melhores defesas
- Alertas bancários/de pagamento para destinatários e valores incomuns
- Pontuação de risco baseada em dispositivo para logins e transações
- Educação de que OTPs e códigos MFA nunca são compartilhados
9) Exposição a phishing em pequenas empresas
As pequenas empresas continuam vulneráveis devido à limitação da equipe de segurança e à dependência do e-mail para pagamentos. Os atacantes exploram faturas, pedidos e comunicações rotineiras com fornecedores.
A Pesquisa de Violações de Segurança Cibernética do Reino Unido de 2025 descobriu que 35% das microempresas sofreram phishing no ano passado. O phishing continua sendo o vetor de ataque inicial mais comum para organizações menores.
Sinais-chave
- Iscas para faturas e pedidos de compra
- Tickets de suporte falsos e e-mails de “suspensão de conta”
- Falsificação de identidade de fornecedor programada para pagamentos rotineiros
Melhores defesas
- Segurança gerenciada de e-mail com fortes controles de falsificação de identidade
- Regras de verificação de pagamento (especialmente para beneficiários iniciantes)
- Fluxo de trabalho simples de geração de relatórios internos (“relatório com um clique”)
10) Aumento dos volumes nacionais de relatórios
As plataformas governamentais de denúncia de phishing fornecem informações sobre a escala e as tendências dos ataques. O aumento dos relatórios também reflete a crescente conscientização e participação do público.
O centro cibernético nacional da Suíça registrou 35.727 relatórios de incidentes cibernéticos no primeiro semestre de 2025, incluindo 5.981 tentativas de phishing e 7.412 URLs de phishing exclusivos. Os dados mostram tanto o volume quanto a rápida rotatividade da infraestrutura.
Sinais-chave
- Ondas repetidas de phishing vinculadas a eventos sazonais e ciclos de cobrança
- Alta rotatividade de URLs, mesmo quando os temas permanecem os mesmos
- Aumentos nas categorias de fraude junto com o phishing
Melhores defesas
- Torne os relatórios fáceis (botão e cabeçalhos automáticos)
- Compartilhe IOCs rapidamente entre equipes e fornecedores
- Rastreie as principais iscas semanalmente e ajuste os controles continuamente
11) Phishing gerado por IA e engenharia social automatizada
O phishing gerado por IA remove muitas das falhas de linguagem nas quais os usuários costumavam confiar para detectar fraudes. Os atacantes agora produzem em massa mensagens altamente contextuais a um custo mínimo.
O relatório da Europol de 2025 vinculou os ecossistemas de phishing como serviço a dezenas de milhares de domínios e milhares de usuários. A automação e a IA transformaram o phishing em uma cadeia de suprimentos criminosa de baixo atrito.
Sinais-chave
- Mensagens que parecem excepcionalmente bem escritas e contextualizadas
- Teste A/B rápido de linhas de assunto e call-to-action
- Iscas de alto volume e altamente variadas com o mesmo objetivo
Melhores defesas
- Proteção de sessão/token MFA + resistente a phishing
- Forte acesso condicional e fiscalização da confiança no dispositivo
- Treinamento de usuários focado na verificação do processo, não na gramática
Como as organizações podem se preparar para ataques avançados de phishing?
É mais difícil impedir o phishing avançado porque ele se mistura à comunicação normal no trabalho, portanto, a preparação deve se concentrar no comportamento diário, em vez de em cenários raros de ataque.
Conscientização do usuário
É mais provável que os funcionários evitem o phishing quando o reconhecem nas mensagens que veem todos os dias. A exposição prática funciona melhor do que os lembretes que só existem nas sessões de treinamento.
Relatórios fáceis
Os relatórios rápidos limitam os danos causados pelo phishing. Quando as pessoas se sentem à vontade para sinalizar mensagens suspeitas, os ataques são contidos mais rapidamente.
Proteção de identidade
A maioria dos phishing obtém sucesso roubando detalhes de login, não quebrando sistemas. Limitar o acesso e observar logins incomuns reduz o impacto das credenciais expostas.
Cobertura do canal
O phishing não permanece mais no e-mail. Mensagens de texto, ferramentas de colaboração e chamadas telefônicas agora são pontos de entrada comuns e precisam da mesma atenção.
Testes contínuos
O comportamento real mostra onde o risco realmente existe. Testes regulares revelam lacunas que as políticas e suposições ignoram.
Conclusão
O phishing tem menos a ver com e-mails suspeitos e mais com a facilidade com que as interações diárias podem ser manipuladas. À medida que os ataques se misturam ao trabalho normal e à comunicação pessoal, a linha entre ações seguras e inseguras não é mais óbvia.
O verdadeiro desafio daqui para frente não é identificar todas as novas táticas de phishing, mas criar hábitos e sistemas que limitem os danos quando ocorrem erros. As organizações que se concentram em visibilidade, verificação e resposta estarão muito mais bem equipadas para lidar com qualquer forma que o phishing assuma a seguir.
Perguntas frequentes
1. Por que o phishing gerado por IA está crescendo tão rapidamente?
A IA permite que os invasores criem mensagens altamente convincentes e personalizadas em grande escala. Isso elimina os erros óbvios que antes ajudavam os usuários a reconhecer fraudes.
2. Como o quishing difere do phishing tradicional?
O Quishing usa códigos QR para levar as vítimas a sites maliciosos por meio de seus dispositivos móveis. Como o usuário inicia a verificação, muitos filtros de segurança nunca têm a chance de inspecionar o link.
3. Por que o comprometimento do e-mail comercial ainda é uma grande ameaça?
Os ataques BEC se inserem em conversas financeiras reais, tornando-os difíceis de questionar. Eles confiam no tempo e na falsificação de identidade, em vez de malware, o que mantém a detecção baixa.
4. Por que as contas SaaS e de webmail são alvos frequentes no phishing?
Um único login na nuvem pode desbloquear e-mail, armazenamento e vários serviços conectados. Esse amplo acesso torna a coleta de credenciais mais valiosa do que os ataques baseados em dispositivos.
5. Como os aplicativos de mídia social e mensagens são usados no phishing?
Os atacantes enviam mensagens curtas e rápidas que imitam contatos ou serviços confiáveis. Essas plataformas parecem casuais, então os usuários geralmente clicam antes de verificar a fonte.
6. O que torna o phishing omnicanal mais eficaz?
Ver a mesma mensagem por e-mail, SMS e chamadas faz com que o golpe pareça confiável. Essa repetição diminui o ceticismo e aumenta a chance de engajamento.
7. Por que os consumidores são cada vez mais alvo de fraudes financeiras diretas?
Esses golpes visam pagamentos instantâneos por meio de reembolsos falsos, multas ou taxas de entrega. Os atacantes confiam na urgência para que as vítimas ajam antes de verificar a solicitação.
8. Por que as pequenas empresas são fortemente afetadas por ataques de phishing?
As pequenas empresas geralmente dependem do e-mail para pagamentos, aprovações e comunicação com fornecedores, facilitando a falsificação de identidade. A equipe de segurança limitada deixa menos espaço para detectar anomalias sutis.
9. O que indicam os crescentes dados nacionais de denúncias de phishing?
Volumes maiores de relatórios mostram tanto a crescente atividade de ataque quanto o aumento da conscientização do usuário. A rápida rotatividade de domínios e URLs também revela a rapidez com que a infraestrutura de phishing muda.
10. Como os atacantes adaptam as táticas de phishing tão rapidamente?
As plataformas de automação e phishing como serviço permitem que os invasores testem e modifiquem fraudes em tempo real. Essa iteração rápida mantém o phishing eficaz mesmo quando as defesas melhoram.
