Phishing em 2025: como reconhecer golpes cada vez mais sofisticados

O phishing de dez anos atrás era relativamente fácil de identificar: e-mails cheios de erros de português, links visivelmente estranhos e promessas exageradas de heranças de príncipes desconhecidos. O phishing de 2025 é outra história completamente diferente. Com a popularização de ferramentas de inteligência artificial generativa, golpistas passaram a produzir mensagens gramaticalmente perfeitas, visualmente idênticas às comunicações oficiais de bancos e empresas, e até vozes sintéticas capazes de imitar familiares em ligações telefônicas. Este artigo mapeia como o phishing evoluiu recentemente e quais sinais ainda funcionam para identificar esses golpes, mesmo na sua versão mais sofisticada.

O que mudou: o papel da inteligência artificial generativa#

Até poucos anos atrás, um dos principais sinais de alerta contra phishing eram erros de gramática e tradução malfeita, comuns em golpes traduzidos automaticamente de outros idiomas. Ferramentas de inteligência artificial generativa eliminaram praticamente essa barreira: hoje é possível gerar, em segundos, textos em português impecável, personalizados com o nome da vítima, o nome do banco correto e até referências a produtos ou serviços que a pessoa realmente usa, obtidos a partir de vazamentos de dados anteriores. Isso significa que a ausência de erros de português deixou de ser um indicador confiável de legitimidade.

Quishing: phishing por QR Code#

Uma tendência crescente é o phishing via QR Code, apelidado de “quishing”. Golpistas colam QR Codes falsos sobre códigos legítimos em parquímetros, cardápios de restaurante, panfletos e até em correspondências físicas simulando cobranças de órgãos públicos. Como QR Codes escondem visualmente o endereço de destino até o momento da leitura, muitas pessoas escaneiam sem verificar para onde estão sendo direcionadas, uma vulnerabilidade que golpes tradicionais por link não exploravam da mesma forma.

Como se proteger: antes de confirmar qualquer ação após escanear um QR Code, verifique o endereço completo exibido na tela do celular antes de tocar para abrir. Desconfie de QR Codes em locais públicos que pareçam colados por cima de outro adesivo, e evite escanear códigos recebidos em mensagens não solicitadas pedindo pagamento ou atualização cadastral.

Golpes de voz com IA (deepfake de áudio)#

Talvez a evolução mais preocupante do phishing recente seja o uso de clonagem de voz por inteligência artificial. Com poucos segundos de áudio público da voz de uma pessoa — retirados de vídeos em redes sociais, por exemplo —, ferramentas de IA conseguem gerar uma voz sintética convincente o suficiente para enganar familiares em ligações telefônicas, simulando situações de emergência que pedem transferência urgente de dinheiro, uma evolução tecnológica do já conhecido “golpe do parente em apuros”.

Como se proteger: estabeleça com a família uma “palavra-chave” combinada previamente, a ser usada em qualquer pedido urgente de dinheiro por telefone, que um golpista não teria como saber. Diante de qualquer ligação emocionalmente urgente pedindo transferência, desligue e ligue de volta para o número já conhecido da pessoa antes de agir.

Spear phishing: golpes personalizados usando dados vazados#

Diferente do phishing genérico enviado em massa, o spear phishing (phishing “de arpão”) é direcionado a uma pessoa ou empresa específica, usando informações reais obtidas de vazamentos de dados anteriores ou pesquisa nas redes sociais da vítima. Um e-mail que menciona corretamente seu nome completo, seu banco real, e até detalhes de uma compra recente é significativamente mais convincente do que uma mensagem genérica, e é exatamente esse nível de personalização que a IA generativa tornou barato e escalável para os criminosos.

Phishing por SMS (smishing) e aplicativos de mensagem#

Mensagens de texto simulando rastreamento de encomendas, pendências fiscais, ou notificações bancárias continuam extremamente eficazes, especialmente porque muitas pessoas confiam mais em SMS do que em e-mail, considerando (erroneamente) esse canal mais seguro. O padrão costuma envolver um link curto, disfarçado, levando a uma página que imita perfeitamente o site de uma transportadora, banco ou órgão público, solicitando dados pessoais ou pagamento de uma “taxa” de liberação.

Sinais que ainda funcionam para identificar phishing em 2025#

Mesmo com a sofisticação crescente, alguns sinais continuam confiáveis:

• Urgência artificial: prazos curtíssimos, ameaças de bloqueio imediato de conta, ou consequências graves anunciadas para “hoje mesmo” continuam sendo a ferramenta psicológica mais usada, porque impedem a vítima de parar para verificar.
• Canal incomum para o tipo de solicitação: bancos não pedem dados sensíveis por SMS ou WhatsApp; órgãos públicos não cobram taxas de liberação por link enviado por mensagem.
• Domínio do link não corresponde à empresa: mesmo com texto e visual perfeitos, o endereço real do link, visível ao segurar o dedo sobre ele sem clicar (ou passar o mouse no computador), raramente corresponde exatamente ao domínio oficial da empresa.
• Pedido de ação incomum para o contexto: pedir para escanear um QR Code para “confirmar recebimento” de uma encomenda, por exemplo, não é um procedimento padrão de nenhuma transportadora séria.
• Pressão para pular verificação: qualquer mensagem que desencoraje explicitamente checar com outras fontes (“não conte a ninguém”, “aja agora antes que expire”) é, por si só, um forte indicador de golpe.

Ferramentas e hábitos de defesa em camadas#

• Ative filtros antiphishing nativos do navegador e do provedor de e-mail, que usam listas atualizadas de sites maliciosos conhecidos.
• Use autenticação de dois fatores em todas as contas importantes, para que mesmo uma senha capturada por phishing não seja suficiente para o golpista acessar a conta.
• Prefira passkeys quando disponíveis, já que elas são estruturalmente resistentes a phishing, ao contrário de senhas tradicionais.
• Estabeleça a regra pessoal de nunca clicar em links recebidos por mensagens não solicitadas envolvendo dinheiro, dados pessoais ou senhas — em vez disso, acesse o site ou aplicativo oficial diretamente, digitando o endereço manualmente.

Phishing corporativo direcionado a colaboradores em home office#

Com a consolidação do trabalho remoto e híbrido, criminosos passaram a direcionar campanhas de phishing especificamente para colaboradores fora do ambiente corporativo tradicional, explorando o fato de que a verificação presencial com colegas (“posso confirmar isso com você pessoalmente?”) deixou de ser uma opção natural. Mensagens simulando comunicados de RH sobre benefícios, convites falsos para reuniões via link malicioso disfarçado de convite de calendário, e notificações falsas de sistemas internos de ponto eletrônico são exemplos comuns dessa categoria, que se aproveitam da rotina despersonalizada do trabalho remoto para parecer legítimas.

Como as próprias empresas estão respondendo a essa evolução#

Bancos, grandes varejistas e órgãos públicos brasileiros têm investido em campanhas de conscientização e em tecnologias de detecção que analisam padrões de comportamento incomuns, como tentativas de login vindas de localizações geográficas incomuns para aquele usuário específico, mesmo que a senha usada esteja correta. Além disso, a adoção crescente de passkeys, discutida em detalhe em outros artigos deste espaço, representa a resposta estrutural mais promissora ao problema, já que elimina a possibilidade de uma senha ser digitada (e capturada) em uma página falsa, independentemente de quão convincente ela pareça visualmente.

Phishing continuará evoluindo — e a defesa também precisa evoluir#

A corrida entre técnicas de golpe cada vez mais sofisticadas e mecanismos de defesa é constante, e é ingênuo esperar que qualquer lista de sinais de alerta permaneça válida para sempre sem atualização. O que permanece estável, independente da sofisticação técnica do golpe, é o princípio por trás de praticamente todo phishing bem-sucedido: explorar urgência emocional para evitar que a vítima pare, pense e verifique. Cultivar esse hábito de pausa — respirar, desconfiar de pressão artificial e confirmar por um canal independente antes de agir — continua sendo, mesmo em 2025, a defesa mais eficaz contra qualquer variante de phishing que ainda vai surgir.

Phishing direcionado a idosos: um padrão que merece atenção da família#

Golpistas frequentemente direcionam campanhas específicas a públicos mais vulneráveis, e usuários idosos, muitas vezes menos familiarizados com as nuances técnicas descritas neste artigo, seguem sendo um alvo desproporcional de fraudes digitais. Golpes envolvendo falsos netos em apuros, supostos prêmios de loteria e falsas atualizações cadastrais de benefícios do INSS são exemplos recorrentes direcionados a esse público. Famílias podem ajudar configurando, junto com os familiares mais velhos, autenticação de dois fatores nas contas mais importantes, revisando periodicamente aplicativos instalados no celular deles, e estabelecendo uma regra simples e memorável: “antes de clicar ou pagar qualquer coisa por causa de uma mensagem, ligue para um familiar de confiança primeiro”. Essa rede de apoio informal costuma ser mais eficaz do que qualquer configuração técnica isolada.

Denunciando tentativas de phishing#

Reportar tentativas de phishing, mesmo quando você não caiu no golpe, ajuda a proteger outras pessoas e alimenta os sistemas de detecção automática usados por provedores de e-mail e navegadores. A maioria dos clientes de e-mail (Gmail, Outlook) tem uma opção direta de “denunciar phishing” no menu de cada mensagem, que envia automaticamente a amostra para análise e ajuda a treinar filtros antiphishing para bloquear padrões semelhantes no futuro. Golpes envolvendo instituições financeiras brasileiras também podem ser reportados diretamente aos canais oficiais de segurança dos bancos envolvidos, e casos de phishing mais graves, com prejuízo financeiro efetivo, devem ser registrados como boletim de ocorrência, documento importante para eventuais processos de contestação de cobrança junto ao banco ou operadora do cartão.

Como a inteligência artificial também está sendo usada para combater phishing#

É importante reconhecer que a mesma tecnologia usada por golpistas para sofisticar seus ataques também está sendo empregada, do outro lado, para detectá-los. Provedores de e-mail e navegadores modernos usam modelos de aprendizado de máquina para analisar padrões de comportamento suspeitos em tempo real — como um link levando a um domínio recém-registrado imitando visualmente uma marca conhecida, ou um padrão de texto estatisticamente associado a golpes anteriores — bloqueando automaticamente uma parcela significativa das tentativas antes mesmo que cheguem à caixa de entrada do usuário. Isso não elimina a necessidade de vigilância pessoal, mas ajuda a explicar por que, apesar da sofisticação crescente dos golpes, boa parte deles nunca chega a ser vista pela maioria dos usuários.

Diferença prática entre phishing, smishing e vishing#

Vale consolidar a terminologia usada ao longo deste artigo. Phishing é o termo genérico para golpes que buscam enganar a vítima a revelar dados ou realizar uma ação prejudicial, tradicionalmente por e-mail. Smishing é a variante aplicada especificamente a mensagens de texto (SMS) ou aplicativos de mensagem. Vishing (voice phishing) é a variante conduzida por ligação telefônica, incluindo os golpes de voz sintética por IA descritos anteriormente. Embora o canal mude, o mecanismo psicológico central — urgência artificial combinada com aparência de legitimidade — permanece o mesmo nos três casos, o que significa que os mesmos princípios de verificação e ceticismo saudável se aplicam independentemente de o golpe chegar por e-mail, mensagem de texto ou ligação telefônica.

Um exercício prático: monte seu próprio checklist mental#

Diante de qualquer mensagem inesperada pedindo ação urgente, um pequeno roteiro mental de três perguntas ajuda a filtrar a grande maioria das tentativas de phishing antes de qualquer clique: primeiro, eu esperava esse contato, dessa pessoa ou empresa, nesse momento específico? Segundo, o que está sendo pedido é algo que essa instituição normalmente pediria por esse canal específico (SMS, e-mail, WhatsApp)? Terceiro, existe alguma forma de confirmar essa solicitação por um canal diferente e já conhecido antes de agir? Se a resposta a qualquer uma dessas perguntas gerar dúvida, a pausa para verificação vale mais do que a rapidez em responder, mesmo que a mensagem insista veementemente no contrário.