O phishing é um ataque cibernético baseado em engenharia social, que utiliza comunicações falsas para imitar instituições confiáveis e roubar dados sensíveis. O objetivo é manipular a vítima para fornecer voluntariamente senhas, números de cartões e informações pessoais.

Essa tática geralmente recorre a um tom de urgência em e-mails, mensagens ou ligações telefônicas, pressionando o usuário a agir rapidamente sem verificar a procedência. Entre as variantes mais comuns, destacam-se o spear phishing, focado em alvos específicos, e o smishing, realizado via SMS em dispositivos móveis.

Para se proteger, o cuidado fundamental é nunca clicar em links suspeitos e sempre validar a identidade do remetente nos canais oficiais. Desconfie de alertas de bloqueio de conta ou promessas de prêmios que solicitem dados sensíveis, tratando qualquer contato inesperado com ceticismo.

A seguir, entenda detalhadamente o que é phishing, como o golpe funciona e suas variações. Também saiba como se proteger e o que fazer se for vítima desse ataque cibernético.

O que é phising?

O phishing é um golpe cibernético que utiliza mensagens falsas, como e-mails e SMS, ou sites clonados para imitar instituições confiáveis e enganar o usuário. Essa tática de engenharia social manipula a vítima para roubar dados sensíveis, como senhas e cartões, ou infectar o dispositivo com malware.

O que significa phishing?

Criado nos anos 1990, o termo phishing é um trocadilho com a palavra fishing (pescar), pois os cibercriminosos lançam “iscas” digitais esperando que as vítimas sejam “fisgadas” pelo golpe. A grafia com “ph” homenageia o phreaking, cultura pioneira de invasão de sistemas de telefonia.

A tática se popularizou na mesma década em ataques contra usuários da AOL, utilizando scripts e ferramentas automatizadas para roubar credenciais de acesso. Era o início da engenharia social em massa, focada em manipular o comportamento humano para obter dados.

Como funciona o phishing?

O ataque de phishing funciona por meio de mensagens falsas enviadas por e-mail, SMS ou redes sociais que imitam canais oficiais confiáveis. Utilizando fortes gatilhos de urgência, como supostas contas bloqueadas, os criminosos pressionam a vítima a agir rápido e sem pensar.

Essa tática é um exemplo de engenharia social, técnica que explora o comportamento humano em vez de falhas em softwares. O golpe tem sucesso justamente porque manipula a psicologia do usuário em situações cotidianas.

Na prática, a vítima é induzida a clicar em links maliciosos que levam a páginas clonadas ou a baixar anexos perigosos. Essas armadilhas permitem capturar dados diretamente ou instalar malwares no computador ou no celular.

Assim que a pessoa digita senhas ou dados de cartões nos formulários falsos, o criminoso rouba tudo em tempo real. Com essas credenciais, os golpistas invadem contas bancárias para roubar dinheiro ou entram em perfis de redes sociais para fazer novas vítimas.

Quais são os principais tipos de phishing?

As categorias de phishing variam conforme o meio utilizado para atingir as vítimas, como e-mail, SMS, ligações telefônicas e QR code. Também há ataques que focam especificamente no perfil do usuário que deve ser “fisgado” pelo cibercriminoso.

Phishing de e-mail (e-mail phishing)

O phishing de e-mail utiliza mensagens falsas em nome de fontes confiáveis para induzir o usuário a entregar dados ou baixar anexos perigosos. Com alertas urgentes de contas bloqueadas ou falsas faturas, os golpistas manipulam a vítima para que ela acesse páginas clonadas e digite senhas e credenciais.

Vishing

O vishing é a versão por voz do phishing, na qual criminosos utilizam chamadas telefônicas para simular falsas urgências em nome de bancos ou autoridades. Aqui, o objetivo é manipular a vítima para que ela informe senhas, PINs ou códigos de verificação voluntariamente.

Whaling

O whaling é um ataque direcionado a grandes figuras corporativas, como CEOs e diretores financeiros, para desviar dinheiro ou roubar dados estratégicos. Os criminosos utilizam engenharia social sob medida, criando mensagens personalizadas que imitam parceiros de negócios ou autoridades para exigir transferências urgentes.

Spear phishing

O spear phishing é um ataque direcionado a uma pessoa ou grupo específico, utilizando dados customizados para fazer com que a mensagem pareça legítima. Por exemplo, os golpistas podem se passar por chefes ou colegas de trabalho para roubar credenciais de acesso e obter informações confidenciais de uma empresa.

Smishing

O smishing é o phishing via SMS, no qual criminosos enviam mensagens de texto falsas simulando alertas urgentes de bancos ou entregas pendentes. A tática força o usuário a clicar em links maliciosos que levam a sites clonados ou instalar malwares para roubar dados e credenciais de acesso.

Quishing

O quishing usa QR codes falsos para direcionar as vítimas a páginas clonadas ou downloads perigosos. Espalhados tanto por e-mails quanto em cartazes ou adesivos falsos em locais públicos, esses códigos burlam filtros de segurança tradicionais para roubar senhas, dados financeiros ou instalar malwares.

Quais são exemplos de phishing?

Os principais exemplos de e-mail phishing envolvem alertas falsos de bancos, avisos de faturas atrasadas ou notificações de segurança sobre contas suspensas. Os criminosos imitam a identidade visual de instituições reais e inserem links para páginas clonadas ou anexos infectados com malwares.

Outras iscas frequentes exploram a curiosidade e o medo, como falsos comunicados de reembolso pendentes, prêmios inesperados ou alertas de suportes técnicos. Para enganar o usuário, os golpistas usam domínios mascarados ou muito parecidos com o original, induzindo o clique rápido em arquivos maliciosos.

Toda a dinâmica visual e textual usa gatilhos de urgência para pressionar a vítima a fornecer senhas e códigos de autenticação sem pensar. A recomendação de segurança é desconfiar de prazos fatais e checar qualquer informação diretamente nos canais oficiais das empresas.

Como se proteger contra phishing?

Existem algumas práticas que ajudam a criar barreiras de defesa para blindar os dados contra phishing. As principais são:

• Analise os links antes de abrir: para identificar phishing, posicione o cursor sobre o link ou copie o endereço URL e cole em um bloco de notas, procurando por erros de ortografia, extensões suspeitas ou domínios estranhos que denunciam páginas clonadas;
• Fique atento ao tom das mensagens: erros gramaticais gritantes, promessas de prêmios exageradas ou ameaças imediatas de bloqueio de contas são os principais sinais de phishing em e-mails e mensagens de texto;
• Ative a autenticação de dois fatores (2FA): configure a autenticação de dois fatores (2FA) em todas as contas. Essa camada extra de proteção que impede o acesso de invasores mesmo que eles consigam roubar a senha;
• Valide alertas por canais oficiais: caso receba uma cobrança de um banco ou pedido de dinheiro urgente de um colega, ignore os contatos fornecidos na mensagem. Procure e ligue diretamente para os canais de atendimento oficiais;
• Mantenha sistemas e softwares atualizados: ative atualizações automáticas de segurança do sistema operacional e do antivírus para corrigir vulnerabilidades. Além disso, mantenha uma rotina de backup para salvar cópias de arquivos importantes.

O que fazer se fui vítima de phishing?

Se você caiu em um golpe de phishing, é fundamental agir com rapidez para conter os danos. Algumas medidas imediatas de cibersegurança devem ser adotadas como contenção e proteção jurídica:

• Troque suas senhas imediatamente: substitua as credenciais das contas expostas imediatamente por combinações fortes e habilite a autenticação de dois fatores (2FA), criando uma barreira extra que bloqueia novos acessos dos invasores;
• Comunique as instituições financeiras: avise o seu banco ou operadora de cartão sobre o ocorrido para bloquear movimentações, monitorar extratos e contestar transações financeiras suspeitas feitas em seu nome;
• Registre um boletim de ocorrência: formalize a denúncia em uma delegacia virtual para obter o boletim de ocorrência. Esse documento é essencial para resguardar seus direitos caso os criminosos usem seus dados de forma indevida;
• Faça uma varredura no dispositivo: após o boletim de ocorrência, execute um antivírus atualizado para eliminar malwares ocultos, como vírus espiões, e limpe o histórico do navegador e o cache do sistema para remover rastros digitais deixados pelo golpe;
• Reforce as ferramentas de defesa do dispositivo: adote um gerenciador de senhas para evitar repetições e configure alertas de segurança no celular, impedindo que o sistema aceite conexões ou certificados digitais inválidos no futuro.

Phishing é um tipo de malware? 

Não, phishing é uma tática de manipulação psicológica usada para enganar o usuário e roubar dados, servindo como a porta de entrada para crimes cibernéticos. Ele funciona como uma “isca” digital que convence a própria vítima a entregar informações confidenciais voluntariamente.

O malware é um termo técnico abrangente para qualquer software malicioso instalado em um dispositivo, como um programa espião ou um vírus. Eles são projetados para infectar e danificar aparelhos e sistemas de computadores, visando prejudicar as vítimas.

Phishing é um tipo de vírus?

Não, phishing é uma armadilha de engenharia social que usa comunicações falsas para enganar o usuário, funcionando como uma “isca” digital para golpes cibernéticos. O objetivo é manipular o comportamento humano para roubar dados sensíveis ou abrir as portas do sistema para invasões.

Por outro lado, o vírus é um tipo específico de malware que infecta arquivos legítimos para danificar computadores e celulares. Em geral, é um arquivo autoexecutável que se replica ativamente para atingir outros programas disponíveis na mesma máquina.

Qual é a diferença entre phishing e pharming?

O phishing é um ataque de engenharia social baseado em “iscas” ativas, como e-mails ou SMS falsos, que dependem da ação da própria vítima para capturar dados. O golpe funciona manipulando a psicologia do usuário para que ele clique em um link suspeito e entregue seus dados voluntariamente.

O pharming é um ataque invisível que corrompe as rotas de navegação da internet modificando o sistema de DNS, serviço que traduz nomes de sites em números de IP. Essa técnica sequestra o tráfego automatizadamente, redirecionando o usuário para uma página falsa mesmo que ele digite a URL corretamente no navegador.

O que é phishing? Conheça os tipos de phishing e saiba como se proteger

Resumo

• Relatório de serviços de inteligência da Holanda detalha campanha de espionagem digital, que foca em usuários do WhatsApp e Signal.

• Segundo o documento, operação usa engenharia social para invadir contas nos mensageiros e mira autoridades, militares e jornalistas.

• Os investigadores atribuem a campanha a agentes ligados ao governo russo.

Autoridades de inteligência da Holanda divulgaram nessa segunda-feira (09/03) detalhes de uma campanha global de ataques digitais contra usuários do WhatsApp e do Signal, mensageiro popular no país. Segundo o relatório, a operação teria como foco autoridades governamentais, integrantes das forças armadas e jornalistas.

A investigação foi conduzida pelo Serviço de Inteligência e Segurança da Defesa da Holanda (MIVD) e o Serviço Geral de Inteligência e Segurança (AIVD). As agências afirmam que os ataques fazem parte de uma campanha de grande escala atribuída a agentes ligados ao governo russo.

De acordo com o documento, os invasores não dependem principalmente de malware para comprometer contas. Em vez disso, utilizam técnicas de engenharia social e phishing para enganar as vítimas e obter acesso às contas nos aplicativos de mensagens.

Hackers se passam por equipe de suporte

No caso do Signal, os hackers entram em contato diretamente com a vítima alegando atividades suspeitas, vazamento de dados ou tentativa de acesso indevido à conta.

Se a pessoa acredita na mensagem, os criminosos solicitam o código de verificação enviado por SMS e o PIN do usuário. Esses dados permitem registrar um novo dispositivo vinculado à conta da vítima e assumir o controle do perfil.

Depois disso, os hackers podem se passar pelo usuário e acessar contatos armazenados no aplicativo. A vítima geralmente é desconectada da conta, mas consegue recuperar o acesso registrando novamente o número.

O relatório dos serviços de inteligência alerta que essa situação pode gerar uma falsa sensação de normalidade. “Como o Signal armazena o histórico de bate-papo localmente no telefone, a vítima pode recuperar o acesso a esse histórico após o novo registro. Como resultado, a vítima pode presumir que nada está errado. Os serviços holandeses querem enfatizar que essa suposição pode estar incorreta”, diz o documento.

O que muda no caso do WhatsApp?

Os investigadores também apontaram ataques direcionados ao recurso “dispositivos conectados” do WhatsApp, que permite acessar a conta em computadores ou tablets.

Nesse cenário, as vítimas são induzidas a clicar em links maliciosos ou escanear QR Codes que, na prática, conectam o dispositivo do invasor à conta. Em vez de adicionar alguém a um grupo ou abrir um conteúdo legítimo, o processo acaba autorizando o acesso remoto ao aplicativo.

Diferentemente do que ocorre em alguns casos no Signal, o usuário pode não perceber imediatamente a invasão, já que a conta continua ativa no celular original.

Ao TechCrunch, o porta-voz da Meta Zade Alsawah afirma que a recomendação do WhatsApp é que usuários nunca compartilhem o código de verificação de seis dígitos e fiquem atentos a mensagens suspeitas.

As agências holandesas afirmam que métodos semelhantes já foram observados em campanhas ligadas à guerra na Ucrânia, indicando que o uso de engenharia social continua sendo uma das principais ferramentas em operações de espionagem digital.

Hackers miram contas de WhatsApp e Signal em ataque global

Resumo

• Hackers ligados à Rússia exploraram uma falha Office poucas horas após a correção da Microsoft.
• O ataque comprometeu órgãos diplomáticos, marítimos e de defesa em nove países.
• Segundo a empresa de segurança Trellix, a campanha durou 72 horas e utilizou 29 iscas diferentes, principalmente na Europa Oriental.

Pesquisadores de segurança identificaram uma campanha de espionagem cibernética que teria sido conduzida por hackers ligados ao governo da Rússia. A ofensiva explorou rapidamente uma falha crítica no Microsoft Office e começou menos de 48 horas após a Microsoft liberar uma atualização emergencial para corrigir o problema.

O ataque permitiu o comprometimento de dispositivos usados por organizações diplomáticas, marítimas e de defesa em mais de meia dúzia de países. Segundo a Trellix, empresa de cibersegurança, a velocidade da exploração reduziu drasticamente o tempo disponível para que equipes de TI aplicassem os patches e protegessem sistemas sensíveis.

Falha corrigida virou arma em menos de dois dias

A vulnerabilidade, catalogada como CVE-2026-21509, foi explorada pelo grupo rastreado sob nomes como APT28, Fancy Bear, Sednit, Forest Blizzard e Sofacy. Após analisar a correção liberada pela Microsoft, os invasores conseguiram desenvolver um exploit avançado capaz de instalar dois backdoors inéditos.

De acordo com a Trellix, toda a operação foi planejada para evitar detecção por soluções tradicionais de proteção de endpoints. Os códigos maliciosos eram criptografados, executados apenas na memória e não deixavam artefatos relevantes em disco. Além disso, os primeiros contatos com as vítimas partiram de contas governamentais previamente comprometidas, o que aumentou a taxa de sucesso das mensagens de phishing.

“O uso da CVE-2026-21509 demonstra a rapidez com que agentes alinhados a estados podem explorar novas vulnerabilidades, reduzindo a janela de tempo para que os defensores corrijam sistemas críticos”, escrevem os pesquisadores.

Segundo eles, “a cadeia de infecção modular da campanha — do phishing inicial ao backdoor em memória e aos implantes secundários — foi cuidadosamente projetada para explorar canais confiáveis e técnicas sem arquivos, para se esconder à vista de todos”.

A campanha de spear phishing durou cerca de 72 horas, começou em 28 de janeiro e utilizou ao menos 29 iscas diferentes, enviadas a organizações em nove países, principalmente da Europa Oriental. Oito deles foram divulgados: Polônia, Eslovênia, Turquia, Grécia, Emirados Árabes Unidos, Ucrânia, Romênia e Bolívia.

Como funcionavam os malwares instalados?

O ataque resultou na instalação dos backdoors BeardShell e NotDoor. O BeardShell permitia reconhecimento completo do sistema, persistência por meio da injeção de código em processos do Windows e movimentação lateral dentro das redes comprometidas.

Já o NotDoor operava como uma macro VBA — um tipo de script de automação de tarefas comum, mas que foi usado aqui como um comando malicioso oculto –, instalada após o desarme das proteções de macro do Outlook.

Uma vez ativo, o NotDoor monitorava pastas de e-mail e feeds RSS, reunindo mensagens em arquivos .msg enviados para contas controladas pelos invasores em serviços de nuvem. Para driblar controles de segurança, o malware alterava propriedades internas dos e-mails e apagava vestígios do encaminhamento automático.

A Trellix atribuiu a campanha ao grupo APT28 com “alta confiança”, avaliação reforçada pela Equipe de Resposta a Emergências Cibernéticas da Ucrânia (CERT-UA), que classifica o mesmo como UAC-0001. “A APT28 tem um longo histórico de espionagem cibernética e operações de influência”, afirmou a empresa.

Hackers russos usam falha crítica do Office para espionar usuários

Resumo

• Criminosos criam sites falsos que imitam o Detran e prometem descontos no IPVA em cinco estados brasileiros.
• Golpistas usam tráfego pago para destacar links fraudulentos em buscas por “pagamento IPVA” ou “desconto IPVA”.
• Fraude é detectada por domínios falsos e pagamentos via Pix para contas de laranjas.

Uma campanha de fraude digital está utilizando páginas que copiam fielmente os portais oficiais do governo para roubar o pagamento do IPVA (Imposto sobre a Propriedade de Veículos Automotores).

O golpe tem como alvo motoristas de cinco estados: Rio de Janeiro, Minas Gerais, Rio Grande do Sul, Mato Grosso do Sul e Santa Catarina. Os criminosos tentam atrair as vítimas por meio de anúncios patrocinados em sites de busca, prometendo descontos que não existem na tabela oficial.

Um levantamento da empresa de cibersegurança Kaspersky identificou ao menos 13 sites fraudulentos neste mês. Os criminosos estariam investindo no chamado tráfego pago para que os links apareçam no topo dos resultados do Google quando o usuário pesquisa por termos como “pagamento IPVA” ou “desconto IPVA”.

Site falso exibe dados do veículo

O esquema de phishing é bem feito do ponto de vista técnico, segundo a empresa. Ao acessar o endereço malicioso, o usuário deve inserir o número do Renavam ou a placa do veículo, e o sistema dos golpistas retorna as características reais do automóvel, como modelo, ano de fabricação e cor. Os dados, segundo a apuração, são cruzados com bancos de dados vazados ou públicos.

Essa validação de dados serve para dar credibilidade à fraude. Convencido de que está no ambiente do Detran ou da Secretaria da Fazenda (Sefaz), o motorista é direcionado para uma tela de pagamento que oferece um “abatimento especial” no valor do imposto.

A única forma de quitar a dívida nessas páginas é via Pix, geralmente por meio de um QR Code. De acordo com a Kaspersky, esse tipo de transferência instantânea permite que o dinheiro caia em contas de laranjas em bancos digitais e seja rapidamente pulverizado, tornando o rastreamento e o estorno extremamente difíceis para as autoridades e instituições financeiras.

Como identificar a fraude?

Os especialistas apontam que a principal vulnerabilidade explorada é a desatenção com o endereço do site. Os domínios falsos costumam misturar termos oficiais com palavras genéricas, como “pagamento-ipva-detran-rj.com” em vez do oficial “.rj.gov.br”.

Para evitar prejuízos, recomenda-se sempre:

• Certificar-se de que o site termina em gov.br e desconfiar de qualquer site com terminações comerciais (.com, .net) para serviços públicos.
• Verificar quem receberá o dinheiro. O pagamento de tributos estaduais sempre tem como destinatário o Governo do Estado ou a Secretaria da Fazenda, nunca uma pessoa física ou empresa desconhecida (LTDA).
• Não clicar em links recebidos por SMS ou e-mail. Digite o endereço do órgão oficial diretamente no navegador.

Vale lembrar que a inação de empresas como Meta e Google em relação aos golpes financeiros está na mira de alguns países. Na União Europeia, por exemplo, redes sociais passarão a responder por fraudes caso não tomem providências contra um golpe já denunciado.

Novo golpe do IPVA: sites falsos imitam o Detran com fidelidade e prometem descontos

Resumo

• Google processou um grupo que pode ter criado 200 mil páginas de phishing em 20 dias, além de vender kits prontos para golpes.
• O processo acusa o grupo de violação de marca e crime organizado, usando páginas falsas de instituições como os Correios dos EUA e o próprio Google.
• A big tech quer que o tribunal declare o esquema ilegal para remover o grupo de outras plataformas.

O Google entrou com uma ação judicial contra um grupo acusado de oferecer kits de phishing como serviço — um modelo que facilitava a criação de sites falsos para aplicar golpes virtuais.

A empresa alega que os réus, identificados apenas como integrantes de uma organização chamada Lighthouse, desenvolveram uma estrutura voltada a ajudar criminosos digitais a executar campanhas em larga escala, vendendo “kits prontos” para os golpes.

Segundo o processo, a rede vendia licenças mensais e modelos de páginas que imitavam sites de instituições financeiras, órgãos públicos e empresas conhecidas, como o serviço postal dos Estados Unidos (USPS). Em apenas 20 dias, o grupo teria criado cerca de 200 mil páginas fraudulentas, atraindo mais de um milhão de vítimas em potencial.

Como funcionava o esquema?

De acordo com a denúncia, os golpistas utilizavam as ferramentas do Lighthouse para enviar mensagens de texto falsas informando supostos problemas em entregas ou cobranças.

Os links levavam a páginas idênticas às de empresas legítimas, pedindo que o usuário inserisse dados pessoais e bancários. Mesmo quem desistia antes de enviar as informações tinha seus dados capturados, pois o sistema registrava as teclas digitadas.

Além de imitar o USPS, o grupo também teria reproduzido sites de pedágios eletrônicos e bancos, incluindo páginas com o logotipo do próprio Google. A empresa afirma que essa prática configura violação de marca registrada e fraude, além de prejudicar a confiança dos usuários em seus serviços.

O que o Google quer com a ação?

Na Justiça, o Google acusa o grupo de violar a Lei de Organizações Corruptas e Influenciadas pelo Crime Organizado (RICO Act) dos Estados Unidos, além de praticar fraude e uso indevido de marca. A companhia espera que o tribunal declare o esquema ilegal, o que permitiria a remoção da Lighthouse de outras plataformas e ajudaria autoridades a identificar os envolvidos, que estariam na China.

Ao The Verge, a conselheira-geral do Google, Halimah DeLaine Prado, disse que “cabe às empresas fazer o que puderem, onde puderem”, e que é “útil usarmos nossos recursos para ajudar a combater o crime cibernético que afeta nossos usuários”.

O Google também defende projetos de lei federais que fortalecem o combate a golpes digitais. No ano passado, a empresa melhorou a proteção em tempo real contra phishing no navegador Chrome.

Google vai à Justiça contra grupo que vendia “phishing como serviço”