Novidades do phishing: novos golpes e ameaças no mercado (2026)

Em Resumo

Phishing em 2026 não é mais aquele e-mail com erro de português. 82,6% dos phishings hoje são gerados por IA, com taxa de clique de até 54% — quase o dobro do phishing tradicional. Vishing (voz) cresceu 442%, quishing (QR code) 400%, e ataques por WhatsApp/SMS já são 35% do volume total. O golpe evoluiu de "email malfeito" para "ataque multicanal personalizado, com clonagem de voz e deepfake, que sabe seu nome, seu cargo e sua rotina". A defesa que funciona não é "prestar mais atenção" — é MFA resistente a phishing (FIDO2/passkeys), processo de dupla verificação para pagamentos e transferências, e faixa de detecção que não depende do usuário perceber nada.

O que mudou no phishing de 2026?

Parou de ser spam em massa. Virou operação. Kits de Phishing-as-a-Service (PhaaS) hoje respondem por mais de 60% dos roubos de credencial — qualquer um aluga o kit, sobe o servidor, e sai atacando sem saber programar uma linha. Do outro lado, a IA generativa cortou o custo de um ataque bem-feito em 95%. Resultado: o golpista não precisa mais escolher entre "email genérico pra milhares" ou "ataque customizado pra um alvo caro". Agora dá pra ter os dois ao mesmo tempo, no mesmo orçamento.

Quais são os golpes que mais crescem?

Cinco vetores dominam o cenário agora, e a maioria das PMEs não tem processo formal contra nenhum deles:

Por que o MFA comum já não segura mais?

Porque o ataque não tenta adivinhar sua senha — ele intercepta a sessão inteira. No AiTM, o golpista cria um proxy que fica entre você e o site verdadeiro. Você digita usuário, senha e até o código do app autenticador, e tudo passa direto pro atacante, que replica a sessão em tempo real. Do seu lado, a tela parece normal. Do lado dele, ele já está dentro.

A defesa que resiste a isso é autenticação vinculada à origem: FIDO2, passkeys e chaves físicas (tipo YubiKey). A diferença técnica é simples — esses métodos amarram a credencial ao domínio exato do site. Um site falso em "login-microsoft.fake.com" simplesmente não consegue completar a autenticação, porque o domínio não bate. MFA por SMS ou app comum não tem essa trava — e é exatamente onde o AiTM passa.

O básico ainda resolve, ou já é tarde?

O básico resolve — mas "básico" mudou de definição. Não é mais "desconfiar de email com erro de português". É:

Empresa que trata isso como "coisa de TI" continua vulnerável. Empresa que trata como processo — com dupla verificação embutida no fluxo financeiro e autenticação forte em tudo — corta a maior parte da superfície de ataque, mesmo sem gastar rios de dinheiro.

A Venus360 monta esse processo de segurança pra PMEs em Campinas: da configuração de MFA resistente a phishing até o fluxo de verificação de pagamentos e a resposta a incidente quando o golpe já passou pela primeira barreira. Fale com a equipe Venus360 antes de virar mais um caso na estatística de 2026.