Um e-mail do diretor financeiro pedindo um pagamento urgente. Um QR code enviado pelo "RH" para atualizar o cadastro do plano de saúde. Uma ligação com a voz idêntica à do CEO, que está viajando e precisa de uma transferência rápida. Em 2026, nenhuma dessas situações levanta suspeita logo de cara, e é por isso que o phishing segue tirando o sono de empresas de todos os tamanhos.

Os números mostram o tamanho do problema. O relatório anual do IC3, o centro de denúncias de crimes na internet do FBI, publicado em abril de 2026, registrou cerca de US$ 20,9 bilhões em perdas com crimes digitais em 2025, um aumento de 26% em relação ao ano anterior.

Só o comprometimento de e-mail corporativo causou prejuízos de aproximadamente US$ 3 bilhões. Pela primeira vez, o documento também contabilizou separadamente os golpes com uso de inteligência artificial: foram mais de 22 mil queixas e quase US$ 900 milhões perdidos.

A seguir, você vai conhecer os cinco golpes de phishing que mais exigem atenção neste ano, como cada um funciona e quais medidas reduzem de fato o risco para a sua empresa.

1. Comprometimento de e-mail corporativo escrito com ajuda de IA

O BEC (sigla em inglês para Business Email Compromise) é o golpe em que o criminoso se passa por um executivo, fornecedor ou parceiro para convencer alguém a transferir dinheiro, alterar dados bancários ou enviar informações sigilosas. No Brasil, uma das versões mais comuns é o e-mail do "fornecedor" avisando que a conta para pagamento mudou, muitas vezes acompanhado de um boleto adulterado.

O que mudou foi a qualidade das mensagens. Antes, erros de português denunciavam a fraude. Hoje, ferramentas de IA produzem textos limpos, no tom exato de quem está sendo imitado, a partir de e-mails vazados e publicações no LinkedIn. Em muitos casos, o golpista nem precisa falsificar o endereço: ele invade antes a conta real de um fornecedor e responde dentro de uma conversa legítima, o que faz a mensagem passar pelos filtros sem problema.

O momento também é escolhido com cuidado. Fechamento do mês, véspera de feriado e semanas em que o diretor está fora são as janelas preferidas. Qualquer pedido que combine urgência, sigilo e troca de dados bancários deve ser confirmado por outro canal, usando um telefone que já estava no cadastro, e nunca o número informado no próprio e-mail.

2. Quishing: o QR code que escapa dos filtros

O quishing é o phishing feito com QR codes. Em vez de um link clicável, o e-mail traz uma imagem com o código e uma justificativa plausível: "sua autenticação em dois fatores vai expirar", "há um documento aguardando sua assinatura" ou "confirme seus dados para receber o reembolso". O funcionário aponta o celular, cai numa página de login falsa e entrega a senha corporativa.

O golpe funciona bem por dois motivos. Primeiro, muitos filtros de e-mail analisam links em texto, mas não leem o conteúdo de imagens e PDFs. Segundo, a leitura acontece no celular pessoal, que normalmente fica fora das proteções da rede da empresa e tem uma tela pequena, que dificulta conferir o endereço.

A versão física também cresce. Criminosos colam adesivos com QR codes falsos sobre os verdadeiros em estacionamentos, cardápios, recepções e materiais de eventos. Vale orientar a equipe a desconfiar de qualquer QR code que peça login ou pagamento, principalmente quando chega sem aviso.

Uma forma de reduzir esse risco é estender as proteções da empresa aos aparelhos que circulam fora dela. Um serviço de VPN criptografa o tráfego entre o dispositivo e a internet, o que dificulta a interceptação de dados em redes públicas de aeroportos, hotéis e cafés, e alguns ainda bloqueiam domínios maliciosos conhecidos. 

Ela não impede, porém, que alguém digite a senha num site falso, então funciona como uma camada a mais na segurança do negócio, ao lado das outras medidas. Para quem está avaliando um serviço para uso corporativo, vale buscar informações adicionais sobre criptografia, política de registros e recursos de bloqueio antes de decidir.

3. Deepfakes de voz e vídeo: a fraude do CEO ganhou rosto

Em 2024, um funcionário da empresa de engenharia Arup, em Hong Kong, transferiu cerca de US$ 25 milhões depois de participar de uma videoconferência com o que pareciam ser o diretor financeiro e outros colegas. Todos os participantes eram deepfakes. O caso mostrou que ver e ouvir alguém numa chamada já não prova nada.

Desde então, as ferramentas de clonagem de voz ficaram mais baratas e simples. Alguns segundos de áudio tirados de uma entrevista, de um podcast ou de um vídeo institucional bastam para criar uma imitação convincente.

Na prática, o golpe aparece como uma ligação do "presidente" para o financeiro, um áudio no WhatsApp pedindo um Pix urgente ou uma reunião rápida por vídeo com a câmera "travando" para disfarçar falhas na imagem.

Existe ainda uma variação que preocupa as áreas de RH: candidatos que usam rosto e voz sintéticos em entrevistas remotas para conseguir uma vaga e, com ela, acesso aos sistemas internos. A defesa mais eficaz aqui é de processo, não de tecnologia. Palavras-código combinadas entre executivos, retorno de ligação para um número conhecido e aprovação de pelo menos duas pessoas para pagamentos fora do padrão derrubam a maior parte dessas tentativas.

4. Páginas falsas de login que driblam a autenticação em dois fatores

Muita empresa ativou a autenticação em dois fatores e relaxou. Os criminosos responderam com kits de phishing do tipo "adversary in the middle", vendidos como serviço em fóruns clandestinos. Eles criam uma cópia perfeita da tela de login do Microsoft 365 ou do Google Workspace e funcionam como intermediários: repassam ao site verdadeiro a senha e o código digitados pela vítima e, no fim, capturam o cookie de sessão. Com ele, o invasor entra na conta sem precisar de senha nem de código.

Uma vez dentro, o criminoso lê os e-mails, cria regras para encaminhar ou esconder mensagens e usa a conta invadida para aplicar golpes de BEC em clientes e fornecedores, agora a partir de um endereço legítimo. Outra variação convence o usuário a autorizar um aplicativo malicioso ou a digitar um código numa página oficial da Microsoft, entregando o acesso sem roubar senha alguma.

A resposta mais sólida é adotar métodos de autenticação resistentes a phishing, como passkeys e chaves de segurança no padrão FIDO2. Recomendados pela CISA, agência de cibersegurança dos Estados Unidos, eles só funcionam no domínio verdadeiro e não podem ser repassados por uma página falsa.

5. Golpes multicanal: WhatsApp, Teams e o falso suporte técnico

No Brasil, o WhatsApp é um dos canais preferidos: o golpista usa a foto do sócio ou do gestor, diz que trocou de número e pede um pagamento urgente. Como a conversa acontece fora dos sistemas da empresa, ninguém da TI fica sabendo até o dinheiro sumir.

No ambiente corporativo, outra tática ganhou força. O criminoso inunda a caixa de e-mail da vítima com centenas de mensagens inúteis e depois aparece no Microsoft Teams ou por telefone como "suporte técnico", oferecendo ajuda. A vítima, aliviada, instala uma ferramenta de acesso remoto ou informa suas credenciais.

O caminho inverso também existe. Grupos como o Scattered Spider ficaram conhecidos por invadir grandes empresas apenas ligando para a central de atendimento interna, se passando por funcionários e pedindo a redefinição de senha e de autenticação. Por isso, o help desk precisa de regras rígidas de verificação de identidade, e mensagens externas no Teams devem ficar restritas a domínios aprovados.

Como proteger sua empresa contra o phishing em 2026

Nenhuma ferramenta isolada resolve o problema. O que funciona é combinar tecnologia, processos claros e pessoas bem orientadas:

• Adote autenticação resistente a phishing, como passkeys ou chaves FIDO2, começando pelas contas de executivos, financeiro e administradores de TI.
• Crie uma regra de dupla verificação para pagamentos e alterações de dados bancários, sempre por um canal diferente daquele em que o pedido chegou.
• Use soluções de segurança de e-mail capazes de analisar imagens, anexos e QR codes, e não apenas links em texto.
• Faça treinamentos contínuos com simulações que incluam ligações, áudios e QR codes.
• Monitore logins de locais incomuns e regras de encaminhamento criadas nas contas de e-mail.
• Mantenha a VPN ativa em notebooks e celulares usados fora do escritório.

Por fim, prepare a resposta. Funcionários precisam de um jeito fácil e sem punição para relatar um clique errado, porque cada minuto conta. Em caso de transferência fraudulenta, o banco deve ser acionado imediatamente. Se houver exposição de dados pessoais com risco relevante aos titulares, a LGPD exige comunicação à ANPD, e o regulamento da agência estabelece prazo de três dias úteis.

Conclusão

O phishing de 2026 é mais convincente, chega por mais canais e explora a confiança dentro das próprias empresas. E-mails sem erros, vozes clonadas, QR codes e falsos atendentes de suporte têm algo em comum: todos dependem de alguém agir rápido, sem conferir.

A boa notícia é que esse também é o ponto fraco dos golpistas. Empresas que criam o hábito de confirmar pedidos sensíveis por outro canal, protegem logins com métodos resistentes a phishing e mantêm a equipe treinada tornam o trabalho dos criminosos muito mais difícil. Revisar esses processos agora custa bem menos do que lidar com o prejuízo depois.