Phishing é fingir ser alguém em quem você confia para atraí-lo a um site falso. Veja os tipos e as defesas mais confiáveis (sem passos de ataque).
Como funciona: mira no julgamento humano, não em um defeito de software
Onde o XSS ou a injeção de SQL exploram um defeito no software, o phishing explora o julgamento humano. Mensagens como "sua conta está suspensa" ou "urgente — confirme agora" usam urgência, autoridade e medo para roubar o momento em que você pararia para pensar, e então o atraem a um site falso pixel a pixel para digitar sua senha. Um site com zero vulnerabilidades técnicas ainda vaza credenciais se seus usuários forem enganados.
Os tipos (nomes diferentes, a mesma abordagem de se passar por outro e atrair)
Phishing em massa
disparado para muitas pessoas
Spear phishing
voltado a uma pessoa/organização específica
BEC
passa-se por fornecedor/executivo para ordenar pagamento
Smishing
por SMS
Vishing
por telefone
AiTM
retransmite o login ao site real, derrota o MFA
Os nomes diferem, mas o núcleo é o mesmo: atrair você falsificando confiança. Em particular, o BEC (comprometimento de e-mail corporativo) causa grandes perdas financeiras sem nenhum malware — apenas "uma solicitação de pagamento que parece vir de um fornecedor". É um tipo que você detém com uma checagem de processo de negócio, não com tecnologia.
Phishing vs spam vs e-mail falsificado vs golpe de falso suporte técnico
Termos que costumam ser confundidos, lado a lado. Eles se sobrepõem, mas os objetivos são diferentes.
| Termo | Objetivo | Forma típica |
|---|---|---|
| Phishing | Roubar credenciais ou dados de cartão, ou fazer você rodar um malware | E-mail ou SMS que se passa por uma empresa e leva a uma página de login falsa |
| Spam | Enviar anúncios ou links de golpe em massa | Publicidade não solicitada; pode incluir phishing |
| E-mail falsificado (spoofing) | Falsificar o remetente (uma técnica, não um objetivo) | Usa um domínio ou uma pessoa real; serve ao phishing e ao BEC |
| Golpe de falso suporte técnico (alerta falso) | Fazer você ligar e depois pedir dinheiro ou acesso remoto | Uma tela dizendo "seu PC está infectado" com um número de telefone |
O spoofing é a técnica; o phishing é o golpe que a usa. Para impedir que o seu próprio domínio seja falsificado, veja como configurar SPF, DKIM e DMARC; para alertas falsos, veja como lidar com um golpe de falso suporte técnico (em inglês).
Exemplos: a situação no Japão e incidentes
O Council of Anti-Phishing Japan recebeu um recorde de 2.454.297 denúncias de phishing em 2025, cerca de 1,43 vez o número de 2024.
O phishing também foi a porta de entrada de incidentes. No ataque de ransomware à KADOKAWA (2024), credenciais roubadas por phishing direcionado a funcionários foram apontadas como a via de entrada. No roubo de NEM da Coincheck (2018), e-mails enviados a funcionários foram relatados como o primeiro passo.
E-mails falsos usando o nome de uma empresa que acabou de sofrer um vazamento também costumam aparecer logo em seguida (por exemplo, o caso da Medica Shuppan, em inglês).
Defesa: detenha com um mecanismo, não com vigilância
Use MFA resistente a phishing (o mais importante)
Um mecanismo que não responde a sites falsos é a defesa mais confiável. Passkeys / chaves de segurança de hardware (FIDO2) são vinculadas ao domínio, então em um domínio falso a autenticação simplesmente não se completa — nem mesmo o invasor no meio (AiTM) consegue retransmiti-la. Códigos de SMS/autenticador podem ser retransmitidos, então mova primeiro suas contas mais importantes (e-mail, domínio, pagamentos) para um MFA resistente (→ escolhendo MFA).
Não clique no link — vá ao site oficial você mesmo
Não toque em links em e-mail ou SMS; acesse o site oficial diretamente por um favorito ou digitando o endereço. Quanto mais uma mensagem se apresenta como "checagem de conta", "cobrança" ou "entrega", mais você deve abri-la do seu jeito, e não pelo link dela.
Corte o spoofing de e-mail com tecnologia
Configure o SPF/DKIM/DMARC do seu domínio corretamente para que e-mails forjados passando-se pelo seu domínio possam ser rejeitados na ponta de recebimento (→ o que são SPF/DKIM/DMARC). Um gerenciador de senhas não preenche automaticamente em um domínio falso, então "não preencheu" já é em si um sinal de que o site é falso.
Pause sob urgência/autoridade; verifique pagamentos por outro canal
"Agora mesmo", "do executivo", "você pode impedir" — essa pressão é o sinal de um golpe. Quando estiver sendo apressado, pause. Para qualquer solicitação envolvendo um pagamento ou credenciais, verifique a pessoa por um canal separado, como uma ligação telefônica, antes de agir (a defesa mais importante contra BEC).
Fácil de derrotar
Senha mais apenas um código de SMS/autenticador. Com um site falso pixel a pixel retransmitindo o código (AiTM), até uma pessoa cuidadosa tem suas credenciais levadas. Uma defesa que assume "eu consigo identificar".
Realmente detém
Uma passkey/chave de hardware vinculada ao domínio. Em um domínio falso a autenticação não se completa, então mesmo um usuário enganado não é comprometido. Um mecanismo "seguro mesmo que você não consiga identificar".
A visão deste site: 'tome cuidado' não é uma estratégia de defesa
Achamos frágil apoiar-se apenas em "treinamento de equipe" e "conscientização" contra phishing. Agora que o invasor no meio (AiTM) é rotina, por mais cuidadosa que alguém seja, não dá para detectar com segurança um site falso pixel a pixel mais a retransmissão do código. A conscientização pode ajudar, mas não pode ser a defesa principal. Aquilo em que se apoiar é um mecanismo: implante MFA resistente a phishing vinculado ao domínio, começando pelas suas contas mais importantes. Investir em um design que continua seguro mesmo quando as pessoas não identificam o falso funciona melhor do que tentar treiná-las para identificá-lo.
Como verificar você mesmo
Verifique a autenticação de e-mail do seu domínio
Digite seu domínio no Verificador de SPF / DKIM / DMARC para confirmar que os três estão configurados e que a política de DMARC não continua em p=none.
Veja os resultados de autenticação e o domínio da mensagem
No Gmail, use "Mostrar original"; no Outlook, veja o código-fonte da mensagem. Procure spf=, dkim= e dmarc= no cabeçalho Authentication-Results. Mesmo quando passam, verifique à parte se o domínio do remetente pertence à empresa verdadeira.
Use o preenchimento automático do gerenciador de senhas como sinal
Se o seu gerenciador de senhas não preenche automaticamente em um site onde você salvou um login, o domínio pode ser outro. Confira o domínio na barra de endereços antes de digitar qualquer coisa.
Veja qual MFA suas contas principais usam
Nas contas de e-mail, nuvem, pagamentos e registrador de domínio, verifique nas configurações de segurança se há suporte a passkey ou chave de hardware, e mude sempre que estiver disponível.
Achar que "eu não vou ser enganado" é a crença mais perigosa
O maior erro na defesa contra phishing é o excesso de confiança de "eu consigo identificar". O invasor no meio (AiTM) mostra uma tela pixel a pixel e retransmite a senha e o código de uso único que você digita para o site real na hora. Em outras palavras, mesmo que você seja cuidadoso e digite o código correto, esse código correto também é roubado. Então basear sua defesa em "vigilância para identificar" é em si o erro; o movimento certo é mudar para um mecanismo: autenticação que não se completa em um domínio falso (MFA resistente a phishing). Recusar-se a parar em "tome cuidado" é o ponto de partida da defesa moderna contra phishing.
Fontes (primárias)
- Council of Anti-Phishing Japan, "Phishing Report 2026" (em japonês) — antiphishing.jp (número de denúncias em 2025; aumento de domínios dos próprios invasores que passam no DMARC)
- Council of Anti-Phishing Japan, "Report phishing" (em japonês) — antiphishing.jp
- APWG, "Report Phishing" (em inglês) — apwg.org
- NIST SP 800-63B-4, "Digital Identity Guidelines: Authentication and Authenticator Management" (em inglês) — pages.nist.gov (definição de autenticação resistente a phishing)
Leia a seguir
- Caso real: o vazamento de dados da Booking.com (2026) — mensagens falsas da hospedagem que conhecem sua reserva
- Caso real: o vazamento de dados do Canvas (Instructure, 2026) — golpes com tema escolar
- Aprenda: escolhendo o MFA do jeito certo (o que é MFA resistente a phishing)
- Glossário: o que são SPF/DKIM/DMARC (corte e-mails forjados com tecnologia)
- Glossário: o que é ransomware (phishing é sua principal rota de entrada)
- Aprenda: armazenando senhas com segurança (impeça que credenciais roubadas sejam abusadas)
- Glossário: o que é um open redirect (abusa de um domínio legítimo para desviar usuários a um site falso)
- Caso: o roubo de NEM da Coincheck (2018) (o phishing direcionado contra funcionários foi, segundo relatos, o primeiro passo de um roubo de criptoativos de ~US$ 530 milhões)