O que é phishing? Como reconhecer e-mails, mensagens e QR codes falsos

O que é phishing?

O National Cyber Security Centre (NCSC) do Reino Unido define phishing como o uso, por criminosos, de e-mails, mensagens de texto ou ligações golpistas para enganar as vítimas; o objetivo costuma ser fazer você visitar um site que pode baixar um vírus no seu computador ou roubar dados bancários ou outras informações pessoais ^[3]. A Federal Trade Commission (FTC) dos EUA resume de forma mais breve: golpistas usam e-mails ou mensagens de texto para enganar você e obter suas informações pessoais e financeiras ^[1].

O FBI classifica esse crime como “phishing/spoofing”: e-mails, mensagens e ligações não solicitados, supostamente de uma empresa legítima, que pedem dados pessoais, financeiros ou credenciais de login ^[8]. Spoofing significa falsificar o remetente, por exemplo, fazer uma mensagem parecer vinda do seu banco.

O phishing é uma forma de engenharia social, que o FBI descreve como obter dados protegidos enganando uma pessoa para que os revele ^[12]. Ele explora a confiança humana, e não falhas técnicas, por isso pode contornar sistemas robustos se alguém for convencido a entregar uma senha ou um código.

Que formas o phishing assume?

• Phishing por e-mail: mensagens em massa que imitam bancos, lojas, transportadoras ou empregadores ^[1].
• Spear phishing: tentativa direcionada de enganar uma pessoa ou grupo específico, usando informações que aumentam a chance de sucesso ^[12].
• Phishing por SMS (smishing): os mesmos truques enviados por mensagem de texto; a definição da FTC inclui expressamente as mensagens de texto ^[1].
• Phishing por telefone (vishing): ligações que fingem vir de uma organização confiável; o NCSC trata as ligações golpistas como parte do phishing ^[3].
• Phishing por QR code (quishing): QR codes em e-mails que levam a sites maliciosos ^[6].

Como a IA está mudando o phishing?

Em dezembro de 2024, o FBI alertou que criminosos usam IA generativa para escrever textos convincentes para engenharia social e spear phishing, enviar mensagens mais rápido a um público maior e traduzir mensagens para que tenham menos erros de gramática ou ortografia ^[12]. O NCSC observa, de forma semelhante, que antes era mais fácil identificar golpes pela ortografia ruim ou pelo design estranho, mas que eles estão ficando mais sofisticados e alguns enganam até os especialistas ^[4].

Quem é alvo de forma personalizada?

Os criminosos usam informações sobre você disponíveis na internet, inclusive nas redes sociais, para tornar as mensagens mais convincentes ^[3]. Grupos de grande visibilidade também enfrentam campanhas ligadas a Estados. A Freedom House relatou que um grupo de hackers ligado à Guarda Revolucionária Islâmica do Irã se fez passar on-line por jornalistas e ativistas de direitos humanos para atrair críticos do governo para operações de phishing ^[13]. Para jornalistas e ativistas que falam persa, um pedido de entrevista inesperado ou um link para um documento merece as mesmas verificações que uma mensagem do banco.

Como reconhecer uma mensagem de phishing?

Segundo a FTC, mensagens de phishing costumam dizer que notaram atividade suspeita ou tentativas de login, alegar que há um problema com sua conta ou seus dados de pagamento, pedir que você confirme dados pessoais ou financeiros, incluir uma fatura que você não reconhece, pedir que você clique em um link para fazer um pagamento, dizer que você tem direito a uma restituição do governo ou oferecer um cupom de produtos grátis ^[1].

O NCSC sugere verificar se uma mensagem suspeita tem estes sinais reveladores ^[4]:

1. Autoridade: ela afirma vir de alguém oficial, como seu banco, seu médico, um advogado ou um órgão do governo ^[4]?
2. Urgência: pedem que você responda em 24 horas ou imediatamente, muitas vezes com ameaça de multa ^[4]?
3. Emoção: ela deixa você em pânico, com medo, esperançoso ou curioso ^[4]?
4. Escassez: oferece algo difícil de conseguir, como ingressos para shows, dinheiro ou uma cura médica ^[4]?
5. Atualidades: explora uma notícia, um grande evento ou uma época do ano, como a temporada de declaração de impostos ^[4]?

O NCSC acrescenta que seu banco ou qualquer outra fonte oficial nunca pedirá que você informe dados pessoais por e-mail, nem ligará pedindo que você confirme os dados da sua conta bancária ^[4]. Se tiver dúvidas, contate a organização diretamente usando os dados do site oficial dela, não os números ou endereços da mensagem ^[4].

Quão comum é o phishing?

O Internet Crime Complaint Center (IC3) do FBI recebeu 1.008.597 denúncias em 2025, com US$ 20,877 bilhões em prejuízos declarados ^[8]. Phishing/spoofing foi a maior categoria em número de denúncias, com 191.561 ^[8]. Os prejuízos declarados nessa categoria subiram para US$ 215.843.126 em 2025, ante US$ 70.013.036 em 2024 ^[8]. O número de denúncias conta apenas o que as pessoas decidem relatar ao IC3, e não todo o phishing que acontece.

O Anti-Phishing Working Group (APWG), uma coalizão do setor, observou 1.003.924 ataques de phishing no primeiro trimestre de 2025, o maior número desde o fim de 2023, e disse que criminosos estão enviando milhões de e-mails por dia com QR codes ^[9]. Os ataques a pagamentos on-line e a bancos somaram, juntos, 30,9% de todos os ataques naquele trimestre ^[9].

No Reino Unido, o serviço de denúncias do NCSC havia recebido mais de 59,6 milhões de golpes denunciados até setembro de 2026, o que levou à remoção de 263,7 mil golpes em 466.300 URLs ^[3].

É seguro escanear QR codes?

Em geral, em lugares comuns, sim. O NCSC diz que QR codes em bares ou restaurantes provavelmente são seguros, que a fraude com QR codes é relativamente pequena em comparação com outras fraudes cibernéticas e que a maior parte dela ocorre em espaços abertos, como estações e estacionamentos, muitas vezes combinada com engenharia social ^[6].

O e-mail é a maior preocupação. O NCSC está vendo um aumento de QR codes em e-mails de phishing, técnica às vezes chamada de quishing, porque os QR codes disfarçam links maliciosos, nem todas as ferramentas de segurança de e-mail analisam imagens e as pessoas tendem a escanear com o celular pessoal, que pode ter proteção mais fraca que um computador de trabalho ^[6].

O que o FBI e a FTC recomendam?

• Depois de escanear, confira o endereço web; um domínio malicioso pode parecer o verdadeiro, com um erro de digitação ou uma letra fora do lugar ^[7].
• Em um código físico, verifique se ele não foi coberto por um adesivo ^[7]. A FTC menciona relatos de golpistas que cobrem os QR codes de parquímetros com os seus próprios ^[2].
• Não baixe um app a partir de um QR code nem instale um app separado de leitura de QR code; a maioria dos celulares tem um leitor no app da câmera ^[7].
• Não escaneie um QR code de um e-mail ou mensagem que você não esperava; contate a empresa por um telefone ou site que você sabe que é verdadeiro ^[2].
• Evite pagar por um site acessado a partir de um QR code; digite um endereço conhecido e confiável ^[7].

O que fazer se você clicou em um link de phishing?

Aja rápido e nesta ordem:

1. Pare e corte o contato. A orientação do NCSC é parar, cortar o contato e refletir sobre a linguagem usada ^[4].
2. Se você informou uma senha, o NCSC diz para trocar as senhas de todas as contas que usam a mesma senha e, se disponível, usar uma passkey no lugar ^[14]. A FTC também recomenda autenticação multifator para proteger as contas ^[1].
3. Se você abriu um anexo ou instalou algo, atualize seu software de segurança, faça uma verificação e remova o que ele apontar ^[1][14]. Se isso aconteceu em um notebook ou celular do trabalho, avise o departamento de TI ^[14].
4. Se você perdeu dinheiro ou passou dados bancários, avise seu banco, usando o número do cartão ou do extrato, onde os contatos oficiais costumam estar impressos ^[4], e registre o crime; na Inglaterra, no País de Gales e na Irlanda do Norte, isso significa o Report Fraud e, na Escócia, a Police Scotland ^[14]. Leitores nos EUA cujo número do Social Security, do cartão ou da conta possa ter sido exposto podem seguir os passos em IdentityTheft.gov ^[1].
5. Se você pagou por meio de um QR code adulterado, o FBI diz para denunciar e alerta que as autoridades não podem garantir a recuperação do dinheiro perdido ^[7].

Como denunciar phishing?

No Reino Unido, encaminhe e-mails suspeitos ao Suspicious Email Reporting Service do NCSC, em report@phishing.gov.uk ^[5]. Nos EUA, a FTC diz para encaminhar e-mails de phishing ao Anti-Phishing Working Group, em reportphishing@apwg.org, encaminhar mensagens de texto de phishing para SPAM (7726) e denunciar a tentativa em ReportFraud.ftc.gov ^[1]. Prejuízos com fraude nos EUA também podem ser denunciados ao IC3 do FBI ^[7]. Estas são informações gerais, não aconselhamento financeiro ou jurídico; seu banco e o centro nacional de denúncias são as autoridades para o seu caso.

Quais defesas realmente barram o phishing?

A FTC lista quatro proteções: software de segurança no computador, atualizações automáticas no celular, autenticação multifator nas contas e backups dos seus dados ^[1].

A autenticação multifator barra o phishing?

Ajuda muito, mas não completamente. A autenticação multifator (MFA) exige duas ou mais formas de prova, como uma senha mais um código ^[10]. A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA explica que uma técnica comum de phishing leva os usuários a uma página de login falsa onde eles digitam nome de usuário, senha e o código de 6 dígitos do app autenticador, que o atacante então usa ^[10]. A CISA acrescenta que códigos enviados por SMS ou voz também podem ser roubados por falhas da rede SS7 ou trocas de SIM, e que atacantes bombardeiam os usuários com notificações push até que eles toquem em Aceitar ^[10].

A CISA afirma que a única autenticação resistente a phishing amplamente disponível é o FIDO/WebAuthn, compatível com os principais navegadores, sistemas operacionais e smartphones ^[10]. Mesmo assim, diz que qualquer forma de MFA é melhor que nenhuma ^[10]. As passkeys são credenciais FIDO que substituem as senhas por pares de chaves criptográficas, e a FIDO Alliance diz que, ao contrário das senhas, as passkeys são sempre fortes e resistentes a phishing ^[11]. Acrescenta que não há senhas para roubar de bancos de dados invadidos ^[11].

O que mais reduz o risco?

Revise o que você e outras pessoas publicam sobre você na internet e reforce as configurações de privacidade nas redes sociais, já que criminosos usam essas informações para personalizar mensagens ^[3]. Denuncie mensagens suspeitas: o NCSC diz que denunciar reduz os golpes que você recebe e ajuda a proteger outras pessoas ^[3].