Por Sagie Dulce
Apesar de anos de treinamentos de conscientização e sistemas avançados de detecção e estratégias de defesa em constante evolução, o phishing continua sendo um dos riscos cibernéticos mais persistentes, à medida que os atacantes refinam suas táticas para explorar tanto a confiança humana quanto pontos cegos de segurança.
Para ajudar equipes de segurança a lidarem melhor com os golpes de phishing em evolução, este artigo apresenta uma visão abrangente sobre o que é phishing, como os ataques funcionam, tendências emergentes e as melhores práticas de prevenção.
O Que é Phishing em Cibersegurança?
Phishing é um tipo de ataque de engenharia social no qual adversários se passam por entidades confiáveis para enganar as vítimas e levá-las a revelar informações sensíveis, instalar malware ou conceder acesso não autorizado. Segundo o Data Breach Investigations Report 2025 da Verizon, ataques de engenharia social representam quase um quarto das violações externas de segurança, e 57% desses incidentes envolvem phishing.
Diferente de muitos outros tipos de ataque cibernético, o phishing tem como alvo a camada humana. E-mails, mensagens de texto, chamadas telefônicas e até QR Codes podem servir como vetores de ataque. Essas “iscas” são projetados para parecer autênticas, imitando marcas, colegas ou executivos, geralmente explorando sentimento de urgência ou medo para pressionar a vítima.
Como o Phishing Funciona?
Os ataques de phishing normalmente seguem quatro etapas:
- A isca: atacantes enviam uma mensagem fingindo ser um remetente confiável.
- O anzol: a mensagem contém um elemento malicioso, como um link ou anexo.
- A interação: a vítima clica, baixa, responde ou interage com o recurso malicioso.
- A exploração: os atacantes colhem credenciais, instalam malware ou obtêm acesso a sistemas sensíveis.
Vale notar que o phishing muitas vezes funciona como vetor inicial de acesso em campanhas maiores, como ataques de ransomware.
Técnicas de Phishing: Tipos de Ataque
Cibercriminosos usam diversas estratégias para atrair vítimas. Entre as mais comuns estão:
- Spear Phishing: Campanhas altamente direcionadas, voltadas a uma organização ou indivíduo específico. Atacantes pesquisam vítimas em plataformas como LinkedIn para incluir contexto legítimo nas mensagens.
- Clone Phishing: Aqui, os criminosos copiam uma mensagem legítima, como uma fatura ou convite de calendário, e substituem links ou anexos por versões maliciosas. Como são quase idênticas às originais, essas iscas são difíceis de identificar.
- Whaling: Focado em executivos seniores, membros de conselho ou outros alvos de alto valor, esse ataque visa induzir vítimas a transferir grandes quantias de dinheiro. As mensagens geralmente se passam por assuntos jurídicos ou financeiros urgentes.
- Phishing em Massa: A forma mais comum, em que e-mails são enviados em larga escala, apostando no volume e na probabilidade de sucesso.
- Business Email Compromise (BEC): Uma forma de spear phishing na qual o atacante se passa por um colega para manipular vítimas e obter dinheiro ou dados valiosos. O FBI estima que golpes de BEC já causaram prejuízos superiores a US$ 55 bilhões desde 2013.
- Smishing: Versão via SMS, em que atacantes se passam por bancos, transportadoras, órgãos públicos ou outros emissores confiáveis.
- Vishing: Phishing por voz, realizado via chamadas telefônicas. Com técnicas como caller ID spoofing, o número exibido parece legítimo, aumentando a taxa de sucesso.
Tendências em Phishing: IA, QR Codes e Ataques Híbridos
Os atacantes estão constantemente aprimorando técnicas para contornar defesas e explorar novas tecnologias. Entre as tendências atuais:
- Phishing com IA: Criar um e-mail convincente pode levar até 16 horas manualmente, mas com IA, atacantes produzem mensagens altamente direcionadas em minutos – incluindo deepfakes de voz e vídeo.
- Quishing (QR Code Phishing): O uso de QR Codes maliciosos explodiu, com mais de 1,7 milhão distribuídos apenas no primeiro trimestre de 2025. Como escondem a URL final, conseguem evadir muitas ferramentas de filtragem.
- Ataques Híbridos: Campanhas que combinam e-mail, SMS, ligações telefônicas e até redes sociais, criando golpes multifase mais difíceis de detectar.
Exemplos de Ataques de Phishing
Líderes de segurança sabem que phishing é uma das maiores ameaças – 76% afirmam que está entre suas principais preocupações. Alguns casos reais ilustram essa evolução:
Campanhas de Phishing do Grupo Medusa Ransomware
Desde 2021, a variante Medusa já fez mais de 300 vítimas em setores críticos. O grupo recruta initial access brokers (IABs) que exploram campanhas de phishing para roubar credenciais.
Ataques de Phishing em Gmail com IA
Com mais de 2,5 bilhões de usuários, o Gmail é um alvo preferencial. Recentemente, um golpe combinou e-mails falsos altamente realistas com ligações automatizadas em voz sintética para enganar usuários em tentativas de recuperação de conta.
Phishing com Redirecionamento ADFS da Microsoft
Nesse ataque, links legítimos do Microsoft Office são combinados com o Active Directory Federation Services (ADFS) para redirecionar usuários a páginas falsas que coletam credenciais. A isca inicial começa em anúncios patrocinados no Google.
Como Reconhecer Golpes de Phishing
Mesmo que as campanhas estejam cada vez mais sofisticadas, geralmente exibem alguns sinais de alerta:
- Urgência ou medo para pressionar respostas rápidas.
- Links suspeitos, como domínios falsos ou URLs encurtadas.
- Anexos inesperados.
- Pedidos fora do contexto normal de trabalho.
- Endereços de e-mail com pequenas variações.
Treinar funcionários para identificar esses sinais é essencial, mas precisa ser parte de uma defesa em camadas.
Como Prevenir Ataques de Phishing: Boas Práticas
Phishing é particularmente difícil de combater porque explora falhas humanas. Como muitos profissionais precisam abrir mensagens de desconhecidos no dia a dia, a prioridade deve ser impedir que ataques tenham sucesso, mesmo quando a interação ocorre.
As principais estratégias incluem:
- MFA Robusta em Todo Lugar
Senhas roubadas tornam-se inúteis se o acesso estiver protegido com autenticação multifator. Mas nem todas as MFA são iguais: SMS e push notifications podem ser contornados por técnicas avançadas de phishing.
- Microsegmentação Abrangente
Como phishing geralmente abre a porta para movimentos laterais, isolar cada ativo em sua própria zona segura limita imediatamente o raio de ação de um atacante.
- Treinamento Contínuo de Conscientização
Com atacantes explorando IA e múltiplos canais, colaboradores bem treinados permanecem uma linha vital de defesa.
Como a Zero Networks Neutraliza Phishing de Forma Automática
Embora os golpes de phishing continuem crescendo em volume e sofisticação, a Zero Networks oferece controles em camadas que neutralizam ataques antes que eles evoluam para incidentes maiores:
- Microsegmentação automatizada: cada ativo é isolado de forma preventiva, impedindo movimentos laterais mesmo após acesso inicial.
- MFA em nível de rede: autenticação sob demanda que protege acessos privilegiados, sistemas legados e dados sensíveis, bloqueando o uso indevido de credenciais roubadas.
- Políticas adaptativas: regras que evoluem dinamicamente junto às mudanças de rede, fechando brechas antes que sejam exploradas.
Quer ver como funciona na prática? Solicite uma demonstração em cybergate.solutions e descubra como proteger proativamente sua organização contra ataques de phishing cada vez mais sofisticados.