Última atualização em 22 de julho de 2026 às 11:23
Quem nunca recebeu aquele e-mail estranho do banco pedindo pra atualizar seus dados urgentemente? Ou uma mensagem no WhatsApp anunciando uma promoção boa demais pra ser verdade? Isso é phishing, e continua sendo a porta de entrada mais usada por golpista no Brasil, mesmo com toda a evolução de ferramenta de proteção.
Segundo a Kaspersky, o Brasil concentra 62% de todos os ataques de phishing registrados na América Latina, a maior fatia da região. Neste guia você entende como o golpe funciona, os tipos mais comuns hoje, e como reconhecer antes de cair nele.
O que é phishing e como funciona
Phishing é quando alguém se passa por empresa ou pessoa confiável pra roubar seu dado ou dinheiro, geralmente através de link falso, arquivo infectado ou pedido direto de informação sensível.
O nome vem do inglês “fishing”, pescaria. O golpista lança uma isca convincente, um e-mail que parece do seu banco, uma mensagem que parece da Receita Federal, um perfil que parece de um amigo, e espera que alguém morda. O objetivo final é sempre o mesmo: fazer você clicar num link malicioso, baixar um arquivo infectado ou entregar dado sensível por vontade própria.
Os golpistas capricham nos detalhes pra parecer legítimos: copiam logo e cor de empresa real, criam senso de urgência falso, usam endereço de site parecido com o original, e aproveitam qualquer assunto do momento pra dar contexto crível ao golpe.
Os principais tipos de phishing hoje
O golpe se adapta ao canal. Email, SMS, ligação, QR code e até rede social viraram porta de entrada, cada um com uma técnica diferente.
Spear phishing: o golpe personalizado
No spear phishing, o golpista pesquisa informação sua nas redes sociais antes de agir, criando uma mensagem que menciona seu nome, seu trabalho ou um projeto real que você está envolvido. Quanto mais específico o conteúdo, mais convincente o golpe fica.
Whaling: quando o alvo é executivo
O whaling mira especificamente diretor, CEO e outras pessoas com acesso a sistema crítico ou informação valiosa da empresa, geralmente simulando comunicação interna urgente.
Smishing e vishing: além do e-mail
O smishing usa mensagem de texto, e o vishing acontece por ligação telefônica, muitas vezes com voz clonada por inteligência artificial simulando alguém conhecido. Isso deixou de ser hipótese distante, já é o formato de golpe que mais cresce no país.
Quishing: o golpe por QR code
Esse é o tipo que mais ganhou força recentemente. No quishing, o golpista substitui um QR code legítimo, de estacionamento, cardápio de restaurante ou boleto, por um código falso que leva a um site malicioso. Como o link fica escondido dentro da imagem, é mais difícil de identificar antes de escanear.
Clone phishing: o golpe do sósia
Aqui o golpista copia um e-mail legítimo que você já recebeu antes, como uma fatura ou confirmação de compra, e substitui o link ou anexo original por uma versão maliciosa. Como o conteúdo parece familiar, a desconfiança cai.
LER Inteligência artificial e cibercrime: como hackers estão usando IA para atacar
Como identificar uma tentativa de phishing
Desconfie de pedido de informação sensível por mensagem, de qualquer senso de urgência artificial, e sempre confira o endereço completo do remetente antes de agir.
- Erro de português ou formatação estranha. Empresa grande revisa comunicado antes de enviar. Texto com erro grosseiro ou tom “robótico” é sinal de alerta, embora golpes gerados por IA hoje já venham sem esse tipo de erro, o que torna esse sinal menos confiável sozinho.
- Pedido de informação que não faz sentido. Banco não pede senha completa por e-mail. Nenhuma empresa séria solicita dado confidencial por mensagem direta.
- Urgência artificial. “Sua conta será bloqueada em minutos” é tática clássica pra te fazer agir sem pensar. Pare e pergunte por que tanta pressa.
- Remetente com endereço estranho. Confira o endereço completo, não só o nome exibido. Golpista usa domínio parecido com o oficial, com uma letra trocada ou um sufixo diferente.
- Link suspeito. Antes de clicar, veja pra onde o link realmente leva, segurando o dedo sobre ele no celular ou passando o mouse por cima no computador.
Ferramentas gratuitas que ajudam a se proteger
| Ferramenta | O que faz | Por que vale a pena |
|---|---|---|
| Avast Free Antivírus | Bloqueia site malicioso e detecta e-mail de phishing | Proteção básica sem custo |
| Malwarebytes Free | Remove software malicioso | Útil pra limpar o aparelho se você já clicou em algo suspeito |
| Gerenciador de senhas do navegador (Google, Apple, Microsoft) | Gera e avisa sobre senha vazada | Reduz reuso de senha entre serviços |
| Proton VPN Free | Criptografa a conexão | Proteção extra em Wi-Fi público |
| uBlock Origin | Bloqueia anúncio e site malicioso | Reduz redirecionamento pra página de phishing |
O que fazer se você já clicou
Resposta curta: troque a senha imediatamente, contate o banco se envolveu dado financeiro, e monitore sua conta nas semanas seguintes.
- Troque a senha das contas mais importantes primeiro, e-mail e banco, com senha nova e diferente da anterior.
- Ligue pro seu banco se você informou dado bancário ou de cartão. Eles podem bloquear e emitir cartão novo.
- Monitore sua conta nas próximas semanas, e reporte qualquer transação estranha imediatamente.
- Registre boletim de ocorrência, principalmente se houve prejuízo financeiro. Muitos estados já permitem fazer isso online.
- Avise a empresa que teve o nome usado no golpe. Isso ajuda a proteger outras pessoas do mesmo golpe.
Por que caímos em phishing, mesmo sabendo do risco
Resposta curta: o golpe explora emoção, não lógica. Medo, curiosidade, ganância e confiança automática em marca conhecida são os gatilhos mais usados.
Mensagem que ativa medo (“sua conta foi invadida”), curiosidade (“veja quem visitou seu perfil”), ganância (“você ganhou um prêmio”) ou confiança automática num logotipo familiar reduzem nossa capacidade de análise crítica no momento exato em que mais precisamos dela. Reconhecer esse mecanismo emocional ajuda mais do que decorar uma lista de sinais de alerta.
Perguntas frequentes
Como reconhecer phishing quando o texto não tem mais erro de português?
Com IA generativa, golpes bem escritos deixaram de ser sinal de confiança. O foco precisa mudar pra verificar o endereço real do remetente, desconfiar de urgência artificial, e nunca fornecer dado sensível por mensagem, independente da qualidade do texto.
QR code de restaurante ou estacionamento pode ser perigoso?
Pode. O quishing substitui QR code legítimo por versão falsa que leva a site malicioso. Antes de escanear, confira se o código está colado por cima do original ou se parece adulterado, e desconfie se o link resultante pedir dado de pagamento incomum pro contexto.
Vale a pena usar gerenciador de senha do próprio navegador?
Sim, é melhor do que reutilizar senha ou anotar em bloco de notas. Ferramentas como o gerenciador do Google e do Apple já avisam quando uma senha aparece em vazamento conhecido, o que ajuda a agir rápido.
Resumindo
Phishing continua sendo o golpe mais comum porque explora emoção, não falta de tecnologia. A defesa mais eficaz combina ceticismo treinado (verificar remetente e link antes de agir) com camada técnica básica (senha única, gerenciador de senha, antivírus atualizado). Compartilhe esse conhecimento com quem no seu círculo tem menos familiaridade com tecnologia, principalmente pessoa mais velha, que segue sendo alvo preferencial desse tipo de golpe.
LER 5 dicas de segurança digital para evitar golpes online
Com olhar atento às tendências de IA, segurança digital e ao mercado de dispositivos móveis, Jhonny Almeida transforma temas complexos em conteúdos claros e práticos. É responsável pela curadoria e pela precisão técnica dos artigos do Em Dia News, garantindo ao leitor informações sempre atualizadas e relevantes.