O e-mail que chega pedindo pressa
Toda semana chega uma mensagem que quase parece legítima: aviso de bloqueio de conta, fatura vencida, chamado do suporte pedindo para confirmar a senha, convite de reunião com anexo. A resposta natural é resolver rápido, e é exatamente aí que o golpe funciona.
O que mudou nos últimos anos não foi a quantidade de e-mail. Foi a qualidade do texto falso. Com IA generativa, o erro de português, o logotipo torto e o assunto genérico deixaram de ser a regra — viraram exceção.
Por isso o mais importante não é aprender a reconhecer o golpe perfeito. É ter um procedimento que funciona mesmo quando a mensagem parece legítima.
Spam e phishing: a diferença que importa
Spam é lixo eletrônico: anúncio em massa, oferta, crap. O volume é enorme e a taxa de acerto é baixa — a telemetria da Kaspersky classificou 44,99% do tráfego global de e-mail de 2025 como spam. Phishing é outra coisa: o criminoso se passa por uma empresa ou pessoa em que você confia para roubar senha, dado ou dinheiro.
O spam incomoda. O phishing cobra o preço.
E os dois se misturam. Spam com link perigoso — anúncio em massa que esconde malware — existe, e o volume faz o filtro errar. Por isso filtro sozinho não fecha o problema: o phishing mira a sua confiança, e passa.
O golpe mudou de forma
Até recentemente, um e-mail falso se denunciava: erro de digitação, remetente esquisito, assunto genérico. Com IA generativa, essa camada de acidentalidade sumiu.
A KnowBe4, no sétimo relatório de tendências de phishing (abril de 2026), registrou que 86% das campanhas rastreadas no semestre usaram IA — 84% em 2025 e 80% em 2024. O número importante não é só que a mensagem ficou bem escrita. É que a campanha ficou barata e personalizada: o atacante monta milhares de variações, cada uma com o nome e o contexto do alvo.
O e-mail também deixou de ser o canal único. O mesmo relatório mostra phishing por convite de calendário crescendo 49% e ataques no Microsoft Teams imitando o suporte de TI crescendo 41%. E 17,38% dos ataques no Teams nasceram no e-mail: a mensagem chega por e-mail, migra para o chat e termina com o link falso.
A Microsoft mediu o phishing por QR code como o vetor de crescimento mais rápido do 1º trimestre de 2026: de 7,6 milhões em janeiro para 18,7 milhões em março, alta de 146% no trimestre. No 2º trimestre, o volume caiu por três meses seguidos e fechou em 8,3 milhões em junho. Convites de calendário quase quadruplicaram em junho, com alta de 277%.
O e-mail está virando só a primeira peça. O golpe chega como convite, como QR code, como mensagem no Teams ou como ligação — e a estratégia de quem faz o golpe é a mesma de sempre: ganhar a confiança antes de pedir a senha.
O nome da marca mais imitada também diz algo. A Check Point Research colocou Microsoft como a marca mais imitada em phishing no 2º trimestre de 2026, com 23% de todas as tentativas de imitação de marca, quase o dobro da segunda colocada. ChatGPT entrou no top 10 pela primeira vez. O atacante segue a assinatura de marca que o alvo mais usa.
O que os números de 2026 medem de verdade
Os números grandes circulam com frequência e nem sempre significam o que parecem. Vale separar o que é medido do que é projeção.
A Microsoft detectou cerca de 7,6 bilhões de ameaças de phishing por e-mail no 2º trimestre de 2026, depois de 8,3 bilhões no 1º. É telemetria do fornecedor: o total real de mensagens enviadas é maior, então o número funciona como piso.
O dado mais acionável é o objetivo. Roubo de credenciais respondeu por 94% a 96% dos payloads com anexo no 2º trimestre, e o malware tradicional caiu para 4% a 6%. No 1º trimestre, 78% das ameaças foram baseadas em link. O alvo quase sempre é o seu login, não o seu computador.
O DBIR 2026 da Verizon mede por outro ângulo: exploração de vulnerabilidades foi o vetor de acesso inicial em 31% das violações, phishing em 16% e abuso de credenciais em 13%. O elemento humano esteve presente em 62% delas. E o custo médio global de uma violação chegou a US$ 4,99 milhões em 2026, alta de 12% no ano, no relatório da IBM.
Três números que circulam em material de divulgação precisam de ajuste antes de virar manchete. O "90% dos ataques começam com phishing" é regra de bolso de conscientização, sem base pública: não trate como estatística de violação. O "42% das violações globais têm phishing" é projeção de presença — o phishing apareceu em algum estágio — e não se compara com os 16% de acesso inicial. E o "1 em 379 e-mails contém arquivo malicioso" vem de levantamentos públicos do Check Point de anos anteriores.
Para dimensionar fraude por e-mail, o dado mais concreto vem do FBI: phishing e spoofing foram a categoria com mais denúncias em 2025, 191.561. O APWG registrou 1.069.681 ataques de phishing no 2º trimestre de 2026, alta de 10,1% no trimestre, e as tentativas de fraude por transferência cresceram 88%, com valor médio de US$ 61.732 por tentativa.
E há um detalhe que muda como você lê o e-mail do dia a dia: nas estatísticas de fraude por e-mail (BEC) da Microsoft, 87% a 92% dos contatos iniciais eram mensagens genéricas, do tipo "Você está à mesa?". Só 3% a 8% pediam dinheiro ou documento de cara. O golpe começa como conversa, não como pedido.
Os sinais de alerta que ainda funcionam
O golpe de IA deixou de ser feio. Ainda assim, há sinais que aparecem em quase toda mensagem fraudulenta, e eles são de contexto, não de grafia.
- Urgência ou ameaça: sua conta será bloqueada, o pagamento está pendente, hoje é a última chance.
- Remetente ou domínio ligeiramente diferente do oficial: uma letra trocada, um hífen a mais, um subdomínio unfamiliar.
- Link que aponta para endereço estranho: passe o mouse por cima e confira o destino real antes de clicar.
- Pedido de senha, dado sensível ou transferência fora do processo que a empresa usa de costume.
- Anexo inesperado, principalmente .pdf, .zip, .doc com macro ou arquivo que finge ser uma fatura.
O que fazer quando a mensagem é suspeita
Se a mensagem é suspeita, o procedimento é curto e vale para qualquer caso: não clique, não responda, não baixe.
Confirme por outro canal. Ligue para o número que você já tinha salvo, converse com o contato pelo telefone que você já tinha, abra o site oficial digitando o endereço. Se o pedido era legítimo, ele aparece por outro caminho. Se não aparece, o pedido não existia.
Verifique remetente e link antes de qualquer ação. Confira o domínio completo do remetente, não apenas o nome exibido. Passe o mouse sobre o link e veja para onde ele aponta. Se precisar entrar em algum serviço, digite o endereço à mão em vez de seguir o link da mensagem.
Use autenticação multifator sempre que estiver disponível, com senha única por serviço e gerenciador de senhas. Com MFA, mesmo que a senha vaze, o acesso não passa. É o controle que mais reduz o estrago de uma credencial roubada.
Reporte a mensagem antes de apagar. O aviso é o que permite bloquear o remetente, avisar o resto da equipe e identificar campanha em andamento. Apague em seguida, para não repetir a história. Reportar leva menos de um minuto e evita que o próximo clique seja o de outra pessoa.
Se você já clicou, o que vale não é a autocensura, é a ação: troque a senha da conta afetada, invalide as sessões ativas, ative o MFA se não tinha e avise a equipe de segurança. Reportar cedo preserva evidência e derruba a campanha mais rápido.
E treine de forma contínua, não uma vez por ano. Nos dados da KnowBe4, 33,2% das pessoas interagiam com um e-mail de phishing simulado antes de qualquer treinamento; o número cai para 20,1% em 90 dias de programa contínuo e chega a 4,2% após 12 meses. O ganho maior aparece entre o terceiro mês e o décimo segundo.
Por que isso faz diferença na WHN
A WHN não trata proteção de e-mail como item de carrinho. Os planos de hospedagem já vêm com filtro anti-spam Rspamd e com MailGate, que cuida do envio seguro de e-mail, e o painel dá o gerenciamento completo: filtros, autoresponders, redirecionamentos e webmail Roundcube.
Cuidar do seu domínio é outra parte do trabalho. As novas zonas DNS no Enhance já nascem com DMARC padrão, e a parceria com a Ennyn adiciona varredura passiva que verifica SPF, DMARC e DNSSEC e estima risco de sequestro de domínio. A stack é Enhance com Apache, e configurar isso com você faz parte do serviço.
Na prática, isso muda o dia de quem opera muitos sites. Para a agência que gerencia trinta sites, significa ter o relatório de e-mail compilado por cliente, com filtro e DMARC no lugar, e um canal claro para reportar suspeita. Para o desenvolvedor que entrega toda semana, significa não descobrir que a credencial do cliente vazou por um e-mail. Para o dono de loja que só quer resolver o problema do caixa, significa ter Central do Cliente e e-mail de atendimento para acionar e alguém do outro lado orientando o que fazer.
Filtro sem procedimento continua sendo só filtro. A diferença aparece quando o spam para de ser problema de caixa de entrada e vira rotina de verificação com nome, protocolo e resposta.
Fonte de referência
Conteúdo baseado em fontes públicas consultadas em novembro de 2026: Microsoft Threat Intelligence (Email threat landscape, Q1 e Q2 2026), KnowBe4 (Phishing Threat Trends Report Vol. 7 e Phishing by Industry Benchmarking Report 2026), Verizon (DBIR 2026), APWG (Phishing Activity Trends Report, Q2 2026), Check Point Research (Brand Phishing Ranking, Q2 2026), IBM (Cost of a Data Breach 2026) e FBI IC3 (Relatório Anual 2025).
Relatórios citados: microsoft.com/en-us/security/blog, knowbe4.com/hubfs, verizon.com/business/resources/reports, docs.apwg.org/reports, blog.checkpoint.com/research, ibm.com/reports/data-breach, ic3.gov/AnnualReport.
Dúvidas frequentes
Como eu sei se um e-mail é phishing?
Pelo contexto, não pela aparência. Mensagem que cria urgência, vem de domínio parecido com o oficial, traz anexo inesperado ou pede senha e transferência fora do processo da empresa tem motivo para ser tratada como golpe. Confirme por outro canal antes de agir: se o pedido era legítimo, ele aparece pelo telefone ou pelo site oficial.
Cliquei num link de phishing. O que faço agora?
Troque a senha da conta afetada imediatamente, invalide as sessões já abertas, ative a autenticação multifator e avise a equipe de segurança ou TI. Não apague a mensagem antes de reportar: ela é a evidência do que aconteceu e ajuda a bloquear a campanha. Se o link abriu uma tela de login, troque a senha mesmo que não tenha chegado a clicar em Enviar.
O filtro anti-spam da hospedagem não resolve isso?
Resolve o spam, que é volume. O phishing mira a confiança e passa. Nos dados da Microsoft, 78% das ameaças de e-mail do 1º trimestre de 2026 foram baseadas em link, e no 2º trimestre 94% a 96% dos payloads com anexo tinham roubo de credenciais como objetivo. Na WHN, o anti-spam Rspamd e o MailGate já vêm nos planos de hospedagem, e o painel permite filtros, autoresponders, redirecionamentos e webmail Roundcube. O que fecha o caso é o procedimento de reporte.
Recebo e-mails em nome do meu banco e da minha empresa. Como sei se é falsificação?
SPF, DKIM e DMARC dizem ao servidor de e-mail o que esperar de cada domínio. O DMARC padrão das novas zonas no Enhance já vem configurado na WHN, com política inicial p=none, que monitora sem rejeitar e pode ser editada por site. Na prática, confira se o remetente usa o domínio exato, desconfie de variação mínima e confirme a operação pelo canal oficial da instituição.
Vale reportar um e-mail suspeito mesmo depois de apagar?
Vale, e vale mais antes. O reporte é o que permite ao time bloquear o remetente, proteger os outros e identificar campanha em andamento. Apagar sem reportar deixa você sozinho com o problema; reportar e apagar em seguida encerra o caso e ainda entrega informação útil. Leva menos de um minuto, e o procedimento é o mesmo para um e-mail claro ou para uma mensagem genérica.