Top 20 Ataques de Phishing Mais Utilizados: Como Identificar e Prevenir

Neste artigo:

• Por que o phishing ainda é o maior risco corporativo
• Os 20 ataques de phishing mais utilizados
• Como identificar um ataque de phishing
• Estratégia de prevenção em camadas
• Impacto financeiro e regulatório no Brasil
• Conclusão

Para a diretoria, phishing não é um problema técnico distante: é uma questão de continuidade de negócio. Em 2026, 94% das organizações relataram ter sofrido tentativas de phishing, e uma média de 3,4 bilhões de e-mails maliciosos circulam por dia no mundo. O golpe deixou de ser o e-mail mal escrito de uma década atrás — hoje ele é redigido por inteligência artificial, personalizado com dados vazados e distribuído por múltiplos canais.

O motivo pelo qual o phishing lidera as estatísticas é simples: ele ataca o elo humano, não o firewall. Não importa quão robusta seja a infraestrutura se um colaborador — ou um executivo — clica em um link fraudulento e entrega credenciais. As campanhas de engenharia social são a porta de entrada para ransomware, fraude financeira e vazamento de dados.

Compreender os formatos mais comuns é o primeiro passo para transformar o colaborador de vulnerabilidade em linha de defesa. A seguir, os 20 tipos que mais aparecem em investigações reais.

Cada modalidade abaixo tem um vetor próprio e, portanto, exige um sinal de alerta e uma medida de defesa específicos. Reunimos os 20 golpes em uma referência prática para gestores.

1. E-mail phishing (phishing em massa)

O golpe clássico: e-mails genéricos disparados a milhares de destinatários, imitando marcas conhecidas. A Microsoft segue como marca mais imitada, presente em 43,1% das tentativas.

• Sinal de alerta: saudação genérica, domínio de remetente suspeito e senso de urgência.
• Prevenção: filtros de e-mail com análise de reputação e treinamento de conscientização contínuo.

2. Spear phishing (phishing direcionado)

Ataque ultrapersonalizado, com nome, cargo e referência a projetos reais da vítima. Tem taxa de sucesso de até 30%.

• Sinal de alerta: mensagem plausível demais que solicita ação incomum.
• Prevenção: verificação de identidade por segundo canal antes de qualquer ação sensível.

3. Whaling (fraude do executivo)

Direcionado a CEOs, CFOs e demais C-levels, frequentemente com apelo jurídico ou financeiro urgente.

• Sinal de alerta: pressão de tempo combinada a confidencialidade ("não comente com ninguém").
• Prevenção: política de dupla aprovação para decisões financeiras e jurídicas.

4. Business Email Compromise (BEC)

O criminoso se passa pelo CEO ou CFO para solicitar transferências urgentes. Gera mais de US$ 50 bilhões em perdas anuais no mundo.

• Sinal de alerta: mudança de dados bancários de fornecedor por e-mail.
• Prevenção: confirmação por telefone de qualquer alteração de pagamento.

5. Clone phishing

O atacante copia um e-mail legítimo já recebido pela vítima e substitui anexos ou links por versões maliciosas.

• Sinal de alerta: e-mail "reenviado" ou "atualizado" que você não esperava.
• Prevenção: desconfiar de duplicatas e validar com o remetente original.

6. Vishing (phishing por voz)

Ligações que imitam bancos, suporte de TI ou executivos. O crescimento recente é impulsionado por deepfakes de voz que clonam o CEO ou familiares.

• Sinal de alerta: pedido de senha, token ou transferência por telefone.
• Prevenção: nunca fornecer credenciais por voz; usar palavra-código interna.

7. Smishing (phishing por SMS)

Mensagens de texto fraudulentas com links encurtados, muitas vezes simulando entregas, bancos ou órgãos públicos.

• Sinal de alerta: SMS com link e urgência de "resolver pendência".
• Prevenção: não clicar em links de SMS; acessar o canal oficial diretamente.

8. Quishing (phishing por QR Code)

QR Codes maliciosos em e-mails ou colados sobre placas legítimas. Cresceram 400% entre 2023 e 2025.

• Sinal de alerta: QR Code inesperado que leva a tela de login.
• Prevenção: conferir a URL antes de autenticar e desconfiar de QR em e-mails.

9. Pharming

Redirecionamento silencioso da vítima para um site falso, mesmo digitando o endereço correto, via envenenamento de DNS.

• Sinal de alerta: site oficial com pequenas diferenças visuais ou sem cadeado válido.
• Prevenção: DNS seguro, HTTPS obrigatório e monitoramento de integridade.

10. Angler phishing (redes sociais)

O criminoso se passa por atendimento oficial de uma marca em redes sociais para interceptar clientes insatisfeitos.

• Sinal de alerta: perfil de suporte sem verificação que pede dados por DM.
• Prevenção: interagir apenas com contas oficiais verificadas.

11. Watering hole

O atacante compromete um site legítimo frequentado pelo público-alvo e infecta os visitantes.

• Sinal de alerta: site confiável exibindo pop-ups ou pedidos de download incomuns.
• Prevenção: proteção de endpoint e navegação segura corporativa.

12. Credential harvesting (roubo de credenciais)

Páginas de login falsas que capturam usuário e senha de serviços em nuvem como Microsoft 365 e Google Workspace.

• Sinal de alerta: tela de login idêntica, mas com URL divergente.
• Prevenção: autenticação multifator (MFA) resistente a phishing.

13. Phishing em apps de colaboração

Golpes dentro de Teams, Slack e Zoom, aproveitando a confiança nas ferramentas internas.

• Sinal de alerta: mensagem de "colega" com link externo e urgência.
• Prevenção: restringir convidados externos e educar sobre golpes internos.

14. Phishing com anexo malicioso

Documentos (PDF, Office, ISO) que instalam malware ao serem abertos.

• Sinal de alerta: anexo inesperado pedindo "habilitar macros".
• Prevenção: sandbox de anexos e bloqueio de macros por padrão.

15. Open redirect / manipulação de URL

Uso de redirecionadores de domínios legítimos para mascarar o destino final malicioso.

• Sinal de alerta: link longo com parâmetros de redirecionamento estranhos.
• Prevenção: inspeção de URL e reescrita segura de links.

16. Phishing por AI generativa

E-mails criados por IA, sem erros de português e altamente convincentes, adaptados a cada vítima em escala.

• Sinal de alerta: ausência dos "erros clássicos" não significa legitimidade.
• Prevenção: verificação de contexto e cultura de "confiar, mas verificar".

17. Deepfake / fraude de identidade audiovisual

Vídeos e áudios sintéticos que simulam executivos em reuniões para autorizar fraudes.

• Sinal de alerta: pedido financeiro em videochamada fora do fluxo normal.
• Prevenção: protocolos de verificação e limites de alçada bem definidos.

18. Man-in-the-middle (MFA bypass)

Kits de phishing que interceptam o token de MFA em tempo real, contornando a autenticação.

• Sinal de alerta: solicitação repetida de login logo após autenticar.
• Prevenção: MFA baseado em FIDO2/passkeys, resistente a interceptação.

19. Callback phishing (TOAD)

E-mail sem link que induz a vítima a ligar para um número controlado pelo golpista, misturando e-mail e voz.

• Sinal de alerta: "cobrança" ou "renovação" pedindo que você ligue urgente.
• Prevenção: validar cobranças apenas pelos canais oficiais da empresa.

20. Phishing sazonal e de eventos

Campanhas que exploram datas (Imposto de Renda, Black Friday, eleições) e crises para aumentar a conversão.

• Sinal de alerta: ofertas ou alertas "urgentes" ligados ao momento.
• Prevenção: comunicação interna antecipando temporadas de golpe.

Apesar da diversidade de formatos, quase todos os golpes de engenharia social compartilham os mesmos gatilhos psicológicos. Treinar a equipe para reconhecê-los vale mais do que decorar 20 nomes técnicos.

Na prática, um gestor deve orientar o time a desconfiar sempre que uma mensagem combinar pressa com pedido de credenciais, dinheiro ou dados. Passar o mouse sobre links antes de clicar, conferir o domínio real do remetente e validar solicitações sensíveis por um segundo canal já neutraliza a maioria das tentativas. Nenhum banco, órgão público ou executivo legítimo pedirá senha ou token por e-mail, SMS ou telefone.

Não existe solução única contra phishing. A defesa eficaz combina tecnologia, processo e pessoas — o que chamamos de segurança em profundidade. Para o C-level, o investimento se justifica pelo ROI: prevenir custa uma fração do valor de um incidente.

Programas de conscientização com simulações regulares reduzem drasticamente a taxa de cliques em campanhas maliciosas. Combinados a testes técnicos, formam a base de um programa maduro. Vale conhecer também como um teste de intrusão identifica falhas antes do atacante e como estruturar a gestão de vulnerabilidades de forma contínua, pilares que sustentam qualquer defesa contra engenharia social. A conformidade com a ISO 27001 formaliza esses controles em processos auditáveis.

Para aprofundar boas práticas técnicas, o OWASP e as diretrizes de segurança do NIST são referências reconhecidas internacionalmente.

Para a diretoria, o custo de um ataque de phishing vai muito além da fatura fraudada. Ele envolve parada operacional, resposta técnica, aumento do prêmio de seguro cibernético, perda de contratos e, sobretudo, risco regulatório.

No Brasil, a LGPD exige que a organização notifique a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares sempre que houver risco relevante decorrente de um incidente de segurança. Um vazamento originado de phishing pode, portanto, gerar sanções administrativas, além do dano reputacional. Setores regulados enfrentam camadas adicionais de exigência do Bacen e da CVM. A ANPD colocou a fiscalização de tratamento de dados entre suas prioridades para o ciclo 2026–2027, o que eleva a exposição das empresas que negligenciam a prevenção.

Em síntese, tratar phishing como risco de negócio — e não apenas como tema de TI — permite ao C-level dimensionar corretamente o investimento em defesa frente ao custo, muito maior, de um incidente concretizado.

Os ataques de phishing evoluíram de e-mails genéricos para operações sofisticadas com IA, deepfakes e múltiplos canais, mas o objetivo permanece o mesmo: explorar a confiança humana para contornar controles técnicos. Conhecer os 20 formatos mais utilizados permite que gestores transformem cada colaborador em uma linha de defesa consciente.

A prevenção eficaz é sempre em camadas: tecnologia resistente a phishing, processos com verificação por segundo canal e pessoas treinadas de forma contínua. Essa combinação reduz drasticamente a probabilidade de um clique se tornar uma crise.

Para o C-level, a mensagem é direta: o investimento em conscientização e defesa contra engenharia social custa uma fração do que representa um único incidente de vazamento sob a LGPD. Proteger a caixa de entrada é proteger a receita, os dados e a reputação da empresa.

Leia também:

• Pentest de Aplicações Web: como identificar falhas antes do atacante
• ISO 27001: o guia da certificação de segurança da informação
• LGPD na prática: como adequar sua empresa e evitar sanções