Em ataques de phishing, o Agente da ameaça finge ser alguém que não é e usa comunicação fraudulenta para enganar uma vítima a compartilhar informações sensíveis ou baixar malware.
Índice
Phishing faz um jogo com a palavra fishing, referindo-se à forma como Agentes da ameaça usam "iscas" para enganar suas vítimas ao se passar por entidades legítimas. É considerado um ataque de engenharia socialporque usa truques e comportamento fraudulento para explorar emoções humanas como medo, empatia e ganância.
Em um esquema de phishing, o atacante entra em contato por e-mail, mensagem de texto, ligação telefônica ou plataforma de mídia social, se passando por uma pessoa ou empresa legítima e confiável. Eles usam manipulação emocional para enganar a vítima a compartilhar dados pessoais ou corporativos sensíveis. O objetivo pode ser:
- Roubar informações de identificação pessoal (PII), como nomes de usuário, senhas, números de cartão de crédito, dados bancários ou informações corporativas sensíveis que podem vender ou usar para invadir contas ou roubar dinheiro
- Persuadir o usuário a transferir dinheiro para o que parece ser uma pessoa ou empresa respeitável
- Infectar o computador do usuário com malware ou ransomware
Quão comuns são os ataques de phishing?
Phishing é o vetor de ataque mais comum para violações de dados. No 1º trimestre de 2025, o Anti-Phishing Working Group contabilizou mais de um milhão de ataques de phishing, o maior número desde o final de 2023. Mais de 30% desses ataques tiveram como alvo os setores de pagamento on-line e financeiro.
Existem várias razões pelas quais o phishing é popular entre cibercriminosos:
- Tem baixo custo, tudo o que você precisa fazer é criar um e-mail ou mensagem de texto que pareça vir de uma empresa genuína.
- Os ataques são altamente bem-sucedidos porque exploram emoções humanas em vez de tecnologia pré-programada.
- As organizações dependem fortemente de e-mail, tornando-o um dos vetores de ameaça mais elevados.
- Nem sempre é possível detectar esses ataques em andamento, mesmo com software de segurança, porque um humano ainda pode optar por clicar em um link, abrir um documento ou compartilhar informações sensíveis. De acordo com um relatório do Gartner, "Erros humanos representam aproximadamente 76% de todas as violações de segurança. Além disso, invasões de sistema, ataques básicos a aplicações web e engenharia social, coletivamente, representam 79% de todas as violações."
Como os ataques de phishing começaram
O termo phishing foi usado pela primeira vez em 1994, quando um grupo de adolescentes trabalhou para obter manualmente números de cartão de crédito de usuários desavisados na AOL.
Desde então, os criminosos continuaram a inventar novas maneiras de coletar detalhes de qualquer pessoa conectada à Internet. Em meados dos anos 2000, outros termos como ‘spear phishing’ e ‘whaling’ passaram a existir para descrever ataques focados especificamente em executivos ou indivíduos de alto perfil e altamente autorizados.
Na década de 2010, os ataques de phishing não aconteciam apenas por e-mail ou salas de bate-papo. Agentes da ameaça estavam usando múltiplas plataformas, incluindo dispositivos móveis, mídias sociais e aplicativos de mensagens.
Hoje, Agentes da ameaça usam IA para criar mensagens, incluindo ligações telefônicas e vídeos, que parecem mais críveis, corrigindo erros gramaticais e ortográficos, personalizando mensagens ao coletar dados das mídias sociais e traduzindo-as para qualquer idioma alvo. Eles também podem criar Deepfakes: conteúdo de áudio e vídeo altamente realista em que a IA é frequentemente usada para capturar a voz ou imagem de alguém.
Como o phishing funciona?
Normalmente, a mensagem usada para iniciar um ataque de phishing é feita para parecer urgente, exigindo uma resposta rápida. Pode levar o destinatário a clicar em um link ou enviar informações sensíveis para evitar que uma conta seja desativada, por exemplo. Se o usuário concluir a ação, seus dados são compartilhados com o agente mal-intencionado ou malware é baixado para o seu computador. As mensagens de phishing são intencionalmente difíceis de identificar porque imitam a aparência e a sensação de mensagens legítimas, usando logotipos oficiais, URLs e outros recursos.
Embora a maioria das mensagens de phishing se passe por provenientes de uma fonte conhecida e confiável, como um banco, às vezes o remetente é um estranho, como no caso do ataque inicial de phishing que ficou conhecido como o golpe do "príncipe nigeriano". Nele, a vítima recebeu um e-mail de alguém alegando ser um membro da realeza rico ou uma autoridade oficial que precisava de ajuda para transferir dinheiro para fora do país. Eles prometeram uma grande recompensa futura se o destinatário primeiro lhes enviasse dinheiro ou informações pessoais. Essa tática ainda é usada hoje.
Aspectos técnicos do phishing
Embora um ataque de phishing possa ser tão simples quanto um e-mail fraudulento, existem muitas técnicas sofisticadas que foram desenvolvidas ao longo dos anos para tornar as mensagens mais convincentes e a captura de informações mais eficaz:
- Falsificação de domínio: disfarçar um e-mail ou site para fazê-lo parecer que é de um domínio autêntico, por exemplo, usando uma URL semelhante ou um domínio com erro de digitação (erro de ortografia ou leve variação de um site legítimo).
- Sites falsos: configurar um site fraudulento projetado para imitar um real.
- Falsificação de e-mail: forjar o endereço de e-mail do remetente, para que a mensagem pareça vir de uma organização genuína.
- Certificados SSL falsos: usar um certificado de segurança roubado ou fraudulento para fazer um site parecer seguro, geralmente exibindo o símbolo de cadeado familiar.
- Páginas de login falsas/maliciosas: cópias de formulários de login genuínos que capturam o nome de usuário e a senha da vítima.
- Links maliciosos: URLs que entregam malware ou redirecionam o usuário para uma página de phishing.
- Coleta de contatos: várias técnicas usadas para coletar dados como endereços de e-mail, nomes de funcionários ou informações pessoais para criar uma lista de alvos ou personalizar mensagens.
- DNS fast-fluxing: alternar rapidamente os endereços IP usados por um domínio malicioso para evitar detecção.
Como o phishing é diferente de outros ciberataques?
Outros tipos comuns de ciberataques são malware e spam. Veja como o phishing é diferente:
- Malware é uma ameaça técnica que pode ser instalada em um sistema sem que um humano responda a uma mensagem fraudulenta. O phishing pode ser usado para entregar malware, mas os dois são diferentes.
- Spam refere-se a mensagens em massa não solicitadas, como anúncios ou conteúdo indesejado. Diferentemente do phishing, spam não inclui falsificação de identidade ou engenharia social.
Tipos de ataques de phishing
Com tantos meios disponíveis para Agentes mal-intencionados, não é surpresa que existam múltiplos tipos de ataques de phishing hoje:
- Phishing em mídias sociais: Um Agente mal-intencionado entra em contato com a vítima por meio de uma DM em uma plataforma de mídia social, levando a phishing em mídia social.
- Phishing em aplicação/no aplicativo: Telas de login falsas ou mensagens pop-up maliciosas aparecem em aplicativos legítimos.
- Comprometimento de e-mail comercial (BEC): Essa forma corporativa altamente prejudicial de phishing pode usar contas de e-mail de funcionários invadidas para enviar mensagens ou fazer com que um cibercriminoso se passe por um executivo ou fornecedor para solicitar uma transferência de dinheiro para uma conta fraudulenta. Às vezes, BECs podem ser internos, com credenciais roubadas usadas por um insider da empresa para acessar o sistema de pagamento interno e desviar fundos.
- Clone phishing: Uma mensagem autêntica que foi recebida anteriormente é enviada novamente com um link malicioso ou anexo perigoso. Como o destinatário confiou na mensagem inicial, é mais provável que acredite e responda à mensagem subsequente.
- Phishing por e-mail: Um hacker envia um e-mail com aparência legítima projetado para causar preocupação, medo ou curiosidade e levar o destinatário a clicar em um link ou compartilhar dados pessoais. Apesar da infinidade de novas plataformas disponíveis para os cibercriminosos, o phishing por e-mail continua sendo o mais prevalente. Um dos motivos é que a mesma mensagem pode ser enviada separadamente para várias pessoas, aumentando as chances de sucesso.
- Phishing por código QR/ Quishing: Quishing é uma variante de phishing que ocorre quando um código QR leva a um site malicioso, por exemplo, onde as credenciais do usuário podem ser capturadas.
- Smishing: Um cibercriminoso envia uma mensagem de texto (um SMS) pedindo ao destinatário que clique em um link ou ligue para o remetente, levando a smishing.
- Spear phishing: Um hacker envia um e-mail direcionado a uma organização ou indivíduo. Frequentemente, alguém do departamento financeiro é alvo porque tem acesso privilegiado ou autoridade sobre dados sensíveis. O cibercriminoso pode coletar ou comprar informações sobre seu alvo para tornar a mensagem mais específica e convincente.
- Vishing: Um Agente da ameaça liga para um telefone fixo, móvel ou VoIP para envolver o usuário em uma conversa, o que é conhecido como vishing.
- Whaling: Whaling é semelhante ao spear phishing, mas geralmente tem como alvo executivos seniores.
Reconhecendo tentativas de phishing
Com o phishing sendo tão prevalente, é crucial que todos os funcionários estejam cientes dos sinais de mensagens de phishing, incluindo:
- Endereços de remetente suspeitos, como accounts.paypal@gmail.com, que usa 'paypal' no nome do e-mail, mas na verdade é um endereço do gmail.
- Erros ortográficos ou gramaticais na mensagem.
- Chamadas urgentes para ação, ameaças ou solicitações de informações pessoais.
- Nenhuma informação de contato no site ou na assinatura do e-mail.
- Ofertas que são boas demais para ser verdade.
- E-mails sem nome pessoal, por exemplo "Dear Madam."
- Links encurtados.
- Domínios incompatíveis, onde o final do endereço de e-mail não corresponde ao site oficial, por exemplo name@amaz0n.com em vez de name@amazon.com. Aqui, o o foi trocado por um zero.
- Anexos com um tipo de arquivo inesperado, especialmente .exe ou .zip.
Estudos de caso de ataques de phishing bem-sucedidos
Existem várias campanhas de phishing que ganharam notoriedade nos últimos anos:
- Phishing do Google Docs (2017): As vítimas receberam e-mails pedindo que concedessem acesso ao que parecia ser um Google Doc, mas era um aplicativo OAuth falso. Quando os usuários concederam acesso, os atacantes conseguiram acessar os contatos do Gmail dos usuários e enviar a mensagem para ainda mais vítimas.
- Golpes de phishing do PayPal (em andamento): Agentes mal-intencionados enviam e-mails que parecem mensagens oficiais do PayPal alertando sobre atividade suspeita ou problemas na conta. Quando o destinatário clica no link, ele é levado a uma página de login falsa onde suas credenciais e dados financeiros são roubados.
- Ataques de credenciais do Office 365 (2019–Presente): E-mails feitos para parecer notificações da Microsoft, geralmente direcionados a empresas. Eles podem alegar que a senha do destinatário expirou ou que ele tem um novo correio de voz, com um link levando a um portal de login falso que captura credenciais corporativas para uso em ataques de BEC.
Prevenindo ataques de phishing
Embora o phishing seja onipresente, há muitas maneiras pelas quais indivíduos e organizações podem proteger a si mesmos e seus negócios.
Melhores práticas para indivíduos
- Inspecione os e-mails cuidadosamente antes de responder. Verifique erros ortográficos ou gramaticais e evite compartilhar dados financeiros ou pessoais por e-mail. Pense antes de abrir um anexo de e-mail. Você esperava um anexo dessa pessoa? Se não, pergunte diretamente a ela.
- Verifique URLs antes de clicar e evite clicar em links de fontes desconhecidas. Passe o mouse sobre o link para ver se ele parece legítimo e se começa com https, indicando que é um site seguro. Evite clicar em URLs encurtadas, por exemplo bit.ly.
- Antes de digitar dados sensíveis em um site, observe a URL no topo da página. Este é o site real? Existem letras extras no endereço? Existem letras trocadas por números como um O por 0? Começa com https?
- Mantenha software de segurança, aplicativos, dispositivos e navegadores atualizados.
- Use firewalls, bem como antivírus, antimalware e ferramentas antiphishing.
- Altere senhas com frequência e use senhas com cerca de ou mais de 20 caracteres. Inclua letras maiúsculas, minúsculas, números ou símbolos em suas senhas. Não reutilize a mesma senha para vários sites ou aplicações. Se você tiver dificuldade em controlar suas senhas, crie uma longa que você vai lembrar e guarde as demais em um gerenciador de senhas.
- Ative a autenticação de dois fatores (2FA) na sua conta.
- Use plataformas de mensagens seguras.
- Pense antes de clicar em postagens de amigos. Se parece que um negócio é bom demais para ser verdade, provavelmente é. Pense antes de responder a uma postagem que diz que seu amigo está com problemas e precisa de dinheiro. É assim que eles entrariam em contato com você?
- Pense antes de clicar em um pop-up ou pop-under.
- Não forneça dados pessoais a menos que você tenha certeza de que está falando com alguém em quem confia.
Melhores práticas para organizações
- Use um gateway de e-mail para bloquear e-mails de spam e remover e-mails que contenham links ou anexos suspeitos.
- O Gartner recomenda: "Invista em soluções de segurança de e-mail com recursos de machine learning (ML) para identificar phishing e quishing gerados por IA." Essas ferramentas ajudam a detectar ataques sofisticados que filtros tradicionais podem não detectar.
- Use uma ferramenta de autenticação de e-mail de autenticação, relatório e conformidade de mensagem baseada em domínio (DMARC) para impedir que criminosos falsifiquem um endereço “de” em um e-mail.
- Invista em um filtro da web que realize detecção de URL maliciosa e filtragem de conteúdo.
- Instale uma solução de Endpoint Protection para proteger os dispositivos da organização.
- Use métodos de filtragem com IA para identificar e-mails de BEC.
- Empregue uma solução de segurança integrada de serviço para proteger contra ataques de phishing que vêm de dentro de sua organização.
- Informe seus funcionários sobre os perigos dos ataques de phishing, incluindo-os em simulações e treinamentos regulares de phishing.
O que fazer se você encontrar phishing
Se você ou sua organização forem vítimas de uma tentativa de phishing, é importante agir rapidamente:
- Verifique contas financeiras quanto a atividade suspeita ou inesperada.
- Altere senhas e ative 2FA.
- Execute uma varredura de segurança e instale ou atualize software antivírus e antimalware.
- Notifique autoridades relevantes, que podem incluir um banco, plataformas de mídia social, ISP, departamento de TI e departamento financeiro.
- Denuncie o ataque à Federal Trade Commission (FTC) e ao Anti-Phishing Working Group.
- Registre-se em uma agência de relatório de crédito como Equifax, Experian ou TransUnion para continuar se protegendo contra roubo de identidade.
Mantenha-se à frente da ameaça
Tentativas de phishing podem ser devastadoras, levando a violações de dados, perdas financeiras, roubo de propriedade intelectual, infecção por ransomware ou danos à reputação. É crucial que as organizações se protejam proativamente empregando segurança em camadas, permanecendo vigilantes e aumentando a conscientização entre os funcionários.
Onde posso obter ajuda para me defender contra ataques de phishing?
O phishing continua sendo uma das maneiras mais eficazes e custosas pelas quais atacantes infiltram organizações. À medida que técnicas de engenharia social evoluem, filtros tradicionais de e-mail e defesas reativas simplesmente não são suficientes. As equipes de segurança precisam de ferramentas que entendam o comportamento humano, detectem anomalias sutis e interrompam ameaças muito antes que cheguem à caixa de entrada. É aí que entra a segurança moderna de e-mail e colaboração com tecnologia de IA.
Trend Vision One™ – Email and Collaboration Security ajuda as organizações a gerenciar proativamente o risco humano e a se defender contra as ameaças de phishing mais avançadas da atualidade. Em vez de depender apenas de regras estáticas ou detecção baseada em assinatura, ela coloca as pessoas no centro da Cibersegurança analisando padrões de comunicação, comportamentos dos usuários, intenções de e-mail e sinais contextuais para descobrir ataques ocultos em relacionamentos confiáveis.
Scott Sargeant, Vice-Presidente de Gerenciamento de Produto, é um experiente líder em tecnologia com mais de 25 anos de experiência em fornecer soluções corporativas em todo o cenário de Cibersegurança e TI.
Perguntas Frequentes (FAQs)
Os ataques de phishing afetam pequenas empresas de forma diferente das grandes corporações?
Ataques de phishing frequentemente levam a maiores perdas financeiras, tempo de inatividade e danos à reputação para pequenas empresas porque elas não têm os mesmos recursos de Cibersegurança.
Qual é a diferença entre phishing e pharming?
O phishing engana as vítimas para que compartilhem informações sensíveis. Pharming redireciona secretamente um usuário de um site genuíno para um fraudulento.
Os ataques de phishing podem contornar a autenticação de dois fatores (2FA)?
Sim. É possível que um kit de phishing capture um código de uso único ou use um proxy reverso para invadir uma sessão de login, essencialmente contornando o 2FA.
Qual é um exemplo de um e-mail de phishing do mundo real?
Um e-mail falso da Amazon dizendo que sua conta foi suspensa e instruindo você a clicar em um link para verificar sua conta seria um exemplo de phishing.
Como cibercriminosos usam IA ou deepfakes em phishing?
Agentes da ameaça usam IA para escrever mensagens direcionadas e convincentes ou criar vozes ou vídeos deepfake que parecem e soam como alguém que o destinatário conhece.
Quais setores são mais visados por ataques de phishing?
Os setores mais visados por ataques de phishing incluem serviços financeiros, saúde e varejo, pois armazenam uma grande quantidade de dados de clientes e informações de pagamento.
Como usuários de dispositivos móveis podem se proteger contra phishing?
Usuários de dispositivos móveis devem verificar os remetentes das mensagens, usar aplicativos de Mobile Security, manter seus dispositivos e navegadores atualizados e evitar clicar em links suspeitos.
Quanto tempo leva para organizações detectarem um ataque de phishing?
Pode levar semanas ou meses para detectar um ataque de phishing, já que o phishing frequentemente só se torna evidente após as credenciais serem usadas indevidamente ou quando atividade suspeita é notada.
Quais consequências legais existem para atacantes de phishing?
As consequências legais para atacantes de phishing incluem multas, prisão, apreensão de bens e até extradição.
Qual papel a segurança de DNS desempenha na prevenção de phishing?
A segurança de DNS impede que um usuário acesse domínios maliciosos conhecidos ou sites falsos e oferece suporte a protocolos de autenticação como DMARC, SPF e DKIM para verificar remetentes.