Phishing em 2026: as novas táticas que você precisa conhecer
O phishing não é mais um e-mail mal escrito de um príncipe nigeriano. Em 2026, é uma mensagem perfeitamente redigida que reproduz exatamente o tom do seu diretor financeiro, acompanhada de uma ligação com uma voz clonada por IA que confirma a solicitação. É um link enviado pelo WhatsApp a partir do que parece ser um fornecedor real, fazendo referência a um projeto interno que apenas cinco pessoas na sua empresa conhecem.
O phishing evoluiu mais rapidamente do que qualquer outra ameaça à segurança cibernética, e a América Latina é uma das regiões mais afetadas. De acordo com a IBM, a região está entre as mais afetadas pelo phishing em nível global, com o Brasil concentrando 53% dos incidentes, seguido pelo México e pelo Peru. Este artigo analisa as novas táticas que estão definindo o phishing em 2026 e o que os líderes de TI podem fazer para proteger suas organizações.
Tática 1: Phishing gerado por IA
Os modelos de linguagem eliminaram as barreiras linguísticas e estilísticas que antes tornavam o phishing facilmente identificável. Os invasores agora geram e-mails gramaticalmente perfeitos, contextualmente relevantes e personalizados para cada alvo. Um e-mail de phishing moderno pode mencionar seu nome, seu cargo, sua empresa, um projeto específico no qual você está trabalhando e o nome do seu chefe direto — tudo extraído automaticamente do LinkedIn e de outras fontes públicas.
De acordo com relatórios recentes, cerca de 83% dos e-mails de phishing atuais são gerados por IA. Isso não apenas aumenta a qualidade de cada tentativa, mas também permite que os invasores ampliem suas ações em grande escala: o que antes exigia pesquisa manual agora é automatizado em segundos.
Tática 2: Deepfakes de voz e vídeo
A clonagem de voz deixou de ser ficção científica. Com apenas alguns segundos de áudio — extraídos de uma apresentação gravada, um podcast ou uma ligação anterior —, um invasor pode reproduzir a voz de um executivo com precisão suficiente para enganar até mesmo funcionários experientes. Já foram registrados casos em que transferências fraudulentas foram autorizadas após uma ligação com a voz clonada de um CEO.
Os deepfakes de vídeo acrescentam mais uma camada de complexidade. Os invasores podem criar videochamadas falsas em plataformas como o Teams ou o Zoom, nas quais o interlocutor parece e soa como um executivo de verdade. Em 2026, as fraudes com deepfakes já representam uma parcela significativa da atividade fraudulenta global, e as empresas na América Latina, onde a autenticação por voz ainda é um mecanismo de confiança informal, mas comum, estão especialmente vulneráveis.
Tática 3: Phishing multicanal
O phishing não se limita mais ao e-mail. Os invasores agora coordenam campanhas que utilizam vários canais simultaneamente: um e-mail inicial legítimo seguido por uma mensagem de “confirmação” no WhatsApp, uma notificação falsa no Slack ou um SMS com um link de verificação. Essa tática multicanal aumenta a credibilidade do ataque, pois o funcionário percebe coerência entre os diversos pontos de contato.
Na América Latina, onde o WhatsApp é, de fato, uma ferramenta de comunicação empresarial, esse vetor é particularmente eficaz. Os ataques de engenharia social por meio do WhatsApp cresceram 155% em 2025, e a tendência continua se acelerando.
Tática 4: QRishing (phishing por códigos QR)
Os códigos QR se tornaram comuns no ambiente corporativo: cardápios de restaurantes, acesso ao Wi-Fi em escritórios, formulários de inscrição em eventos e links para documentos compartilhados. Os invasores se aproveitam dessa confiança colocando códigos QR maliciosos em contextos que parecem legítimos — desde cartazes em áreas comuns até anexos em e-mails.
Um código QR malicioso pode redirecionar para uma página de login falsa que rouba credenciais, baixar malware no dispositivo ou iniciar uma transação não autorizada. Ao escanear um QR, o usuário não consegue verificar a URL antes de interagir, o que elimina um dos poucos sinais de alerta que usuários experientes sabem identificar.
Tática 5: BEC 3.0 (Business Email Compromise com IA)
A fraude por comprometimento de e-mails corporativos evoluiu para sua terceira geração. Os invasores não se limitam mais a falsificar endereços de e-mail — eles combinam o acesso real a contas comprometidas com scripts de IA que reproduzem o estilo de redação do executivo e deepfakes de voz para “confirmar” as instruções por telefone. O resultado é um ataque quase impossível de distinguir de uma solicitação legítima.
Os setores mais afetados por esse tipo de ataque são o financeiro (38% das campanhas detectadas), a saúde (21%) e o de energia e infraestrutura crítica (17%).
Como proteger sua organização
A defesa contra o phishing moderno exige uma abordagem em várias camadas. A proteção de e-mails com análise de IA é essencial, mas não suficiente. As organizações precisam de treinamento contínuo com simulações realistas que reflitam as táticas atuais, protocolos de verificação fora de banda para qualquer solicitação financeira ou de acesso, autenticação multifatorial resistente ao phishing e monitoramento contínuo de identidades comprometidas.
Acima de tudo, os líderes de TI devem aceitar que o phishing não é mais apenas um problema de “usuários descuidados”. Trata-se de um problema de engenharia social sofisticada que exige defesas igualmente sofisticadas.
A Pint Solutions implementa camadas de proteção contra phishing que abrangem desde a segurança de e-mails até o treinamento da equipe e a proteção de identidade. Se você quiser avaliar o nível de preparação da sua organização, podemos ajudá-lo.