O que é phishing? É um golpe em que o criminoso se passa por alguém confiável, como um banco, um fornecedor ou o suporte de TI, para convencer a vítima a entregar senhas, dados ou dinheiro, ou a instalar um programa malicioso. O canal mais conhecido é o e-mail, mas o golpe também chega por SMS, ligação e QR code.
Pontos-chave
- O phishing engana pessoas: imita alguém conhecido e cria um motivo para agir rápido.
- Os sinais mais confiáveis estão no remetente, no destino real do link e no pedido de senha, código ou pagamento.
- A proteção vem em camadas: antispam, autenticação do domínio, 2FA, treinamento e processos.
- Se alguém clicou, agir nos primeiros minutos limita o estrago.
Neste artigo
- O que é phishing, em termos simples
- Como funciona um ataque de phishing
- Tipos de phishing
- Exemplos de golpe de phishing comuns no Brasil
- Como identificar um e-mail de phishing: checklist
- Como a empresa se protege em camadas
- O que fazer se alguém clicou
- Perguntas frequentes
O que é phishing, em termos simples
Entender o que é phishing começa pelo nome, que vem de fishing, "pescar" em inglês: o golpista joga uma isca e espera alguém morder. A isca pode ser um boleto, um aviso de senha expirada ou um pedido urgente do diretor.
O objetivo pode ser roubar o login do e-mail corporativo, fazer o financeiro pagar um boleto falso ou instalar um malware que abre caminho para um ransomware.
Como explora confiança e pressa, o golpe funciona mesmo em empresas com boa estrutura técnica. O Data Breach Investigations Report 2024, da Verizon, aponta que 68% das violações analisadas envolveram um elemento humano não malicioso, como um erro ou alguém enganado por engenharia social.
Como funciona um ataque de phishing
Um ataque de phishing costuma seguir cinco etapas:
- Escolha do alvo. No golpe em massa, a lista é genérica. No direcionado, o criminoso pesquisa site, LinkedIn e notícias atrás de diretores, fornecedores e rotinas.
- Disfarce. Ele prepara logotipo, assinatura, tom de voz e um remetente parecido com o verdadeiro.
- Gatilho. A mensagem cria urgência, medo ou curiosidade: conta bloqueada, pagamento atrasado, documento confidencial.
- Armadilha. O pedido leva a uma página falsa de login, a um anexo malicioso ou a uma resposta com dados ou dinheiro.
- Exploração. Com a senha, o golpista lê conversas, cria regras para esconder respostas e usa a conta para enganar clientes e fornecedores.
A última etapa é a mais perigosa, porque o golpe seguinte já sai de um endereço legítimo.
Tipos de phishing
Os tipos variam conforme o canal e o grau de personalização:
- Phishing em massa por e-mail. Mensagem genérica para milhares de pessoas, imitando bancos, lojas ou serviços populares.
- Spear phishing. Mensagem feita para uma pessoa ou um setor, com nomes, cargos e assuntos reais.
- Whaling. Spear phishing voltado à alta direção, que aprova pagamentos e acessa informação sensível.
- BEC (fraude do e-mail corporativo). Uma conta invadida ou falsificada de executivo ou fornecedor pede transferências ou troca de dados bancários, muitas vezes sem link nem anexo.
- Smishing. O golpe chega por SMS, com link para pagar uma taxa ou "regularizar" uma conta.
- Vishing. Alguém liga se passando pelo banco, pelo suporte de TI ou por um órgão público e pede dados ou códigos.
- Pharming. O atacante adultera o DNS (no computador, no roteador ou no servidor), e o endereço correto passa a abrir um site falso.
- Quishing. O link vem escondido em um QR code e abre no celular, muitas vezes fora da proteção da rede da empresa.
- Clone phishing. O golpista copia um e-mail legítimo já recebido, troca o link ou o anexo e reenvia como "versão corrigida".
Exemplos de golpe de phishing comuns no Brasil
Um golpe de phishing convincente imita rotinas da própria empresa. Alguns cenários típicos:
Boleto falso de fornecedor
Um e-mail com cara de fornecedor habitual traz um boleto "atualizado" ou novos dados bancários. Valor e descrição batem com o esperado, mas o dinheiro vai para a conta do golpista.
Falsa cobrança ou nota fiscal
"Segue a NF-e em anexo" ou "consta uma pendência no seu CNPJ". O anexo é um arquivo compactado ou uma página que pede login.
"Sua caixa de e-mail está cheia"
O aviso pede para validar a conta e leva a uma cópia da tela do webmail. Quem digita a senha entrega o e-mail corporativo.
Falsa entrega
Por SMS ou WhatsApp, uma encomenda "retida" só sai depois de pagar uma taxa pequena, baixa de propósito para não levantar suspeita.
Falso suporte de TI
Alguém do "suporte" pede para instalar um programa de acesso remoto ou informar o código que chegou no celular. Esse código é o que falta para invadir a conta.
Como identificar um e-mail de phishing: checklist
Saber como identificar phishing é a defesa que cada pessoa leva consigo. Antes de clicar, responder ou pagar, confira:
- O remetente é quem diz ser? Olhe o endereço completo e o campo "responder para". Letra trocada (f0rnecedor.com.br), hífen a mais ou terminação diferente são sinais clássicos.
- Há urgência ou ameaça? "Última chance", "sua conta será bloqueada". A pressa existe para você não conferir.
- O link leva para onde diz? Passe o mouse (no celular, segure o dedo) e leia o endereço real. Em suaempresa.com.br.login-seguro.net, o domínio que vale é login-seguro.net.
- O anexo era esperado? Arquivos compactados, páginas HTML e documentos que pedem para "habilitar conteúdo" exigem cuidado.
- Pede senha, código ou pagamento? Serviços legítimos não pedem senha por e-mail.
- O texto destoa? Saudação genérica, assinatura diferente e erros de português são sinais. A ausência de erros não prova nada: ferramentas de IA escrevem textos limpos.
- Tem QR code pedindo ação? Escanear para "liberar" um documento é o formato típico do quishing.
Como a empresa se protege em camadas
Nenhuma barreira segura sozinha todo ataque de phishing. A saída é somar camadas, para que o golpe que passa por uma esbarre na seguinte. Detalhamos cada frente na página de segurança de e-mail.
1. Antispam antes da caixa de entrada
O antispam analisa a mensagem antes que ela chegue ao usuário. O Meile Antispam usa 7 camadas de filtragem, como análise de cabeçalhos contra remetente falsificado, análise de URLs, antivírus Kaspersky nos anexos e detecção de phishing por IA.
Mensagens suspeitas ficam em quarentena, e o próprio usuário pode liberar as legítimas. O serviço funciona também na frente de Google Workspace e Microsoft 365.
2. SPF, DKIM e DMARC no domínio
Esses registros de DNS dificultam que criminosos usem o domínio da sua empresa como remetente:
- SPF lista os servidores autorizados a enviar e-mail pelo domínio.
- DKIM assina cada mensagem, o que comprova a origem e mostra se houve alteração no caminho.
- DMARC diz ao destino o que fazer quando a checagem falha: só monitorar (p=none), mandar para a quarentena ou rejeitar.
Em p=none, o DMARC só observa. Em um estudo da Meile com 179 domínios de tribunais e conselhos profissionais, medidos em setembro de 2026, 83 (46,4%) não aplicavam quarentena ou rejeição a todo e-mail falsificado.
O DMARC cobre só o domínio exato, sem impedir o registro de endereços parecidos. Na Meile, SPF, DKIM e DMARC são configurados automaticamente para todos os clientes. Confira o seu domínio no verificador gratuito de SPF, DKIM e DMARC.
3. Autenticação em dois fatores
Com o 2FA, a senha roubada sozinha não abre a conta. Prefira aplicativo autenticador ou chave física ao SMS. Como alguns kits de phishing capturam senha e código em tempo real, o 2FA rende mais somado às outras camadas.
4. Treinamento e simulações de phishing
No Phishing by Industry Benchmarking Report 2025, da KnowBe4, com 67,7 milhões de simulações em 62,4 mil organizações, 33,1% dos usuários caíram no teste antes de qualquer treinamento (39,1% na América do Sul). Após 12 meses de treinamento, a média global caiu para 4,1%.
O Phishing Educativo da Meile simula golpes brasileiros, como boleto, PIX e NF-e. Quem clica vê na hora um conteúdo de 2 a 3 minutos com os sinais que deixou passar, e os relatórios mostram abertura, clique e reporte por departamento.
5. Processo para pagamentos
BEC e boleto falso dão certo quando um único e-mail basta para movimentar dinheiro. Duas regras fecham essa porta:
- Mudança de dados bancários se confirma por telefone, em um número que já estava no cadastro.
- Pagamento acima de um valor definido exige duas aprovações, mesmo quando o pedido vem da diretoria.
O que fazer se alguém clicou
Clicar acontece, inclusive com gente experiente. O que limita o dano é a velocidade da reação:
- Pare. Feche a página sem preencher nada.
- Avise a TI na hora, para bloquear acessos e checar se outras pessoas receberam o mesmo e-mail.
- Troque a senha a partir de outro dispositivo, digitando o endereço do serviço à mão, e também nos serviços onde ela se repete.
- Encerre as sessões abertas e confira se algum método de 2FA novo foi cadastrado.
- Revise as regras da caixa. Invasores costumam criar encaminhamentos para fora e filtros que apagam respostas.
- Se baixou um anexo, tire a máquina da rede até a TI analisar.
- Se houve pagamento, acione o banco imediatamente e registre boletim de ocorrência.
Quem clica e avisa rápido está ajudando. Se a reação for punição, a próxima pessoa fica em silêncio e o ataque ganha tempo.
Agora que você sabe o que é phishing, vale olhar as duas camadas que dependem só da empresa: filtrar o que chega e preparar quem recebe. O Meile Antispam filtra spam, phishing e malware antes da caixa de entrada, com 7 camadas de filtragem e antivírus Kaspersky.
O Phishing Educativo treina a equipe com simulações de golpes brasileiros e mostra, por departamento, onde está o risco. Fale com a gente e monte a combinação certa para a sua operação.
