ChatGPT
Claude
Perplexity
Gemini
Phishing é um dos golpes mais antigos da internet e, ainda assim, um dos que mais crescem. A razão é simples: ele não precisa quebrar nenhum sistema. Basta convencer uma pessoa a entregar, por conta própria, a senha, o código de confirmação ou os dados do cartão. Para as empresas, o problema tem dois lados. Funcionários podem ser enganados e abrir a porta da operação. E clientes podem ser enganados por mensagens que usam a marca da empresa, entregando credenciais que depois são usadas para invadir contas, pedir crédito e movimentar dinheiro. Este texto explica o que é phishing, quais formas o golpe assume, como reconhecer uma tentativa e, principalmente, como impedir que dados roubados virem prejuízo.
O que é phishing
Phishing é um golpe de engenharia social em que o criminoso se passa por uma empresa, um órgão ou uma pessoa de confiança para enganar a vítima e fazer com que ela entregue informações sensíveis, como senhas, códigos de verificação, dados pessoais e dados bancários, ou instale um programa malicioso.
O nome vem do inglês fishing, pescar. O golpista lança a isca, uma mensagem que parece legítima, e espera que alguém morda. A grafia com "ph" é uma herança da cultura hacker dos anos 1990, quando o termo começou a circular.
O que diferencia o phishing de outros ataques é que ele mira a pessoa, e não a máquina. O sistema da empresa pode estar atualizado e bem protegido. Se o cliente digita a própria senha em uma página falsa, o criminoso entra pela porta da frente, com credencial válida.
O tamanho do problema
Os números mostram um golpe em expansão. O relatório do Anti-Phishing Working Group, consórcio internacional que monitora o tema, registrou 1.069.681 ataques de phishing no segundo trimestre de 2026, alta de 10,1% sobre o primeiro trimestre. No mesmo período, o phishing por SMS cresceu 40% e o golpe por voz, 20%.
Os dados também mostram para onde o golpe se move. Serviços de e-mail e de software na nuvem foram o setor mais visado no trimestre, com 29,1% dos ataques, porque uma conta de e-mail invadida abre caminho para redefinir a senha de quase todo o resto. E os ataques de comprometimento de e-mail corporativo com pedido de transferência bancária cresceram 88% de um trimestre para o outro.
Os tipos de phishing mais comuns
O phishing mudou de canal ao longo dos anos, mas a lógica é sempre a mesma: criar urgência e levar a vítima a agir sem pensar.
Phishing por e-mail. A forma clássica. Uma mensagem com a identidade visual de um banco, de uma loja ou de um serviço avisa sobre bloqueio de conta, compra não reconhecida ou prêmio a resgatar, e pede um clique.
Smishing. O mesmo golpe por SMS. A mensagem curta, com link encurtado, simula aviso de entrega, pendência de pagamento ou alerta de segurança.
Phishing por aplicativo de mensagem. Perfis falsos de atendimento, com foto e nome da empresa, abordam o cliente no WhatsApp ou em redes sociais e pedem dados para "resolver um problema".
Vishing. O golpe por telefone. A falsa central de atendimento liga, informa uma suposta transação suspeita e conduz a vítima a passar códigos ou instalar um aplicativo de acesso remoto.
Spear phishing. A versão direcionada. Em vez de mensagens em massa, o criminoso estuda a vítima, usa nome, cargo, colegas e fornecedores reais e escreve uma mensagem difícil de distinguir de uma comunicação legítima. É o formato preferido para atacar empresas.
Comprometimento de e-mail corporativo. Uma variação do spear phishing em que o golpista se passa por um diretor ou fornecedor e pede uma transferência urgente ou a troca da conta de pagamento.
Página falsa. Em todos os formatos, o destino costuma ser uma página que imita o login da empresa. Ela captura o que a vítima digita e, muitas vezes, repassa os dados em tempo real para o criminoso entrar na conta verdadeira enquanto a vítima ainda está na tela.
O phishing é parte de uma família maior de golpes que exploram a confiança das pessoas, tema detalhado no texto sobre golpes de engenharia social.
Como reconhecer uma tentativa de phishing
Nenhum sinal isolado prova que uma mensagem é golpe, mas alguns padrões se repetem e valem tanto para o cliente quanto para o funcionário.
Urgência fora do comum. "Sua conta será bloqueada em duas horas", "último aviso", "confirme agora". A pressa existe para impedir a pessoa de checar.
Remetente ou endereço quase certo. Uma letra trocada, um domínio diferente, um subdomínio estranho antes do nome da marca. Vale olhar o endereço completo, não só o nome exibido.
Pedido de dado que a empresa não pede. Senha, código de verificação, número completo do cartão. Empresas sérias não pedem essas informações por mensagem ou telefone.
Link encurtado ou anexo inesperado. Arquivos compactados, documentos que pedem para habilitar recursos e links que escondem o destino.
Oferta boa demais. Prêmio, reembolso ou desconto que ninguém pediu.
Mudança de dados de pagamento. No ambiente corporativo, qualquer pedido para trocar a conta de um fornecedor ou fazer uma transferência fora do fluxo deve ser confirmado por outro canal.
Quer saber como impedir que credenciais roubadas em golpes virem contas invadidas na sua operação? Fale com um especialista da Valid.
Por que treinar as pessoas não basta
Conscientização é necessária. Campanhas de orientação para clientes e simulações para funcionários reduzem a taxa de clique e criam o hábito de desconfiar. Mas uma estratégia baseada só em educação tem um limite claro: basta uma pessoa, em um dia de pressa, cair uma vez.
Com a base de clientes, o desafio é ainda maior. A empresa não controla o que cada cliente lê, em que aparelho, com quanta atenção. E as páginas falsas estão cada vez mais convincentes, inclusive com textos gerados por inteligência artificial, sem os erros de português que antes denunciavam o golpe.
Por isso, a pergunta certa muda. Em vez de "como garantir que ninguém caia?", a empresa precisa perguntar "o que acontece quando alguém cai?". Se a senha e o código roubados forem suficientes para entrar na conta, o golpe funcionou. Se não forem, o criminoso tem o dado, mas não tem a conta.
Como impedir que a credencial roubada vire conta invadida
A proteção eficaz contra o phishing está nas camadas que tornam o dado roubado inútil. Cada uma barra uma parte do caminho do golpista.
Autenticação com mais de um fator
A senha sozinha não deve abrir a conta. A autenticação de dois fatores acrescenta um código de uso único, com validade curta e bloqueio depois de tentativas erradas. É uma barreira importante, mas o phishing mais sofisticado também tenta capturar o código. Por isso, a escolha dos fatores importa, como mostra o texto sobre MFA e autenticação multifator.
Biometria nos momentos de risco
O fator que o golpista não consegue pedir por mensagem é o rosto da vítima. Exigir a confirmação facial em login de aparelho novo, recuperação de conta, troca de dados cadastrais e transações de valor alto fecha justamente as portas que o phishing tenta abrir. O funcionamento da tecnologia está em reconhecimento facial: como funciona e onde as empresas usam para travar fraude.
Prova de vida contra a imagem falsa
Golpistas que já têm a foto da vítima, retirada de redes sociais ou de um documento vazado, tentam usá-la na verificação facial. O liveness confirma que existe uma pessoa real diante da câmera, e não uma foto, uma tela, um vídeo ou uma máscara.
Confirmação contra bases de referência
Quando o golpe envolve abrir uma conta nova com os dados roubados, a verificação biométrica confronta o rosto de quem está fazendo o cadastro com bases de referência ligadas ao CPF. O criminoso pode ter todos os dados da vítima, mas não tem o rosto dela. É essa camada que impede que dados roubados em um golpe virem uma conta laranja aberta em nome de outra pessoa.
Monitoramento de comportamento
Login de um aparelho nunca visto, em outra cidade, seguido de troca de e-mail e transferência para um destinatário novo: cada evento sozinho pode ser normal, mas a sequência é típica de conta tomada após phishing. Regras que reconhecem esse padrão e pedem uma camada extra no meio do caminho interrompem o golpe a tempo. A consulta ao bureau ajuda a completar o quadro, mostrando se o novo telefone ou e-mail informado combina com o histórico do titular.
A confiança não nasce de uma tecnologia isolada. Ela nasce da integração entre camadas de verificação, combinadas conforme o risco de cada jornada. Na Plataforma de Segurança Digital da Valid, essa combinação é montada no orquestrador de produtos, totalmente no-code: a empresa define em que momento cada camada entra e pode endurecer a régua de um canal sob ataque sem travar os outros.
O que fazer quando a marca é usada em um golpe
Mesmo com boas defesas, a empresa vai encontrar páginas e perfis falsos usando o seu nome. A resposta rápida reduz o número de vítimas.
Monitorar. Acompanhar o registro de domínios parecidos com o da marca, perfis falsos em redes sociais e anúncios suspeitos.
Derrubar. Pedir a remoção da página ao provedor de hospedagem, ao registrador do domínio e às plataformas de redes sociais, com as evidências organizadas.
Avisar os clientes. Comunicar pelos canais oficiais quais são os endereços e números verdadeiros e o que a empresa nunca pede.
Proteger as contas expostas. Quando houver sinal de que clientes entregaram dados, forçar a troca de credenciais e exigir uma camada extra de verificação nos próximos acessos.
Registrar e aprender. Cada campanha de phishing revela algo sobre o golpista: o canal, o horário, o argumento. Esse registro alimenta as regras de risco e as próximas campanhas de orientação.
Em instituições reguladas pelo Banco Central, os indícios de fraude também entram no compartilhamento de dados previsto pela Resolução Conjunta nº 6/2023, o que ajuda outras instituições a barrar a mesma tentativa.
Phishing dentro de casa: o funcionário como alvo
Boa parte dos grandes incidentes em empresas começa com um único e-mail aberto por um funcionário. Uma credencial corporativa roubada pode dar acesso a sistemas internos, a dados de clientes e a fluxos de pagamento.
As mesmas camadas valem para dentro de casa: autenticação multifator em todos os sistemas críticos, confirmação biométrica em aprovações de pagamento e acessos administrativos, separação de funções em transferências e confirmação por outro canal sempre que alguém pedir mudança de conta bancária de fornecedor. Somadas a simulações periódicas de phishing e a uma regra clara de como reportar uma mensagem suspeita, elas reduzem tanto a chance de clique quanto o estrago quando o clique acontece.
Quando o golpe acerta a senha, a identidade ainda pode barrar
O phishing vai continuar evoluindo, com mensagens mais convincentes, novos canais e páginas cada vez mais parecidas com as originais. A empresa não tem como impedir que todos os clientes recebam a isca. Tem como garantir que a isca, sozinha, não abra a conta.
A Valid é emissora dos principais documentos oficiais do Brasil e opera motores biométricos que somam mais de 3 bilhões de validações por ano. É essa experiência com a identidade dos brasileiros que sustenta a Plataforma de Segurança Digital da Valid. Se a sua operação ainda depende só de senha e código para proteger as contas dos clientes, converse com o time da Valid e veja como transformar a credencial roubada em uma tentativa barrada.
