Especialistas da BI.ZONE: IA e deepfakes tornaram o phishing de 2026 mais preciso e perigoso

O phishing ficou visivelmente mais inteligente em 2026. Os e-mails em massa não sumiram, mas o maior crescimento agora está em ataques personalizados e em várias etapas, com IA e deepfakes. Os especialistas da BI.ZONE dizem que a tecnologia mudou a embalagem da fraude, mas não a lógica da defesa: verificação, um segundo canal de comunicação e 2FA ainda resolvem muita coisa.

Como o phishing mudou

A IA barateou drasticamente a preparação dos ataques. Se antes os criminosos precisavam produzir e-mails genéricos em série, agora eles reúnem dados abertos sobre a pessoa e ajustam a mensagem ao trabalho dela, ao círculo social e aos serviços que ela costuma usar. Os deepfakes ampliam o efeito: voz falsificada, rosto parecido e jeito de falar familiar ajudam a ganhar confiança mais rápido. Funcionam especialmente bem os cenários em que o atacante se passa por parente, colega ou chefe e exige uma ação urgente.

Os canais também ficaram mais precisos. Para alcance em massa, os golpistas vão às redes sociais e aos mensageiros, criam chats temáticos, escrevem no privado e deixam links nos comentários. Mas, para as empresas, o e-mail continua sendo o ponto de entrada crítico: segundo a BI.ZONE, 64% dos ataques direcionados a empresas da Rússia e da CEI começam justamente com e-mails de phishing. Ligações telefônicas e chamadas de vídeo acrescentam o que falta ao texto — pressão, sensação de urgência e ilusão de contato pessoal —, o que faz a vítima tomar uma decisão impulsiva mais depressa.

Quais golpes funcionam

Segundo observações da BI.ZONE, desde outubro de 2025 cresceu de forma notável o interesse dos golpistas por contas em mensageiros e por áreas pessoais de portais de serviços públicos. Em paralelo, cresce o golpe Ghost invoice: os criminosos registram domínios parecidos com os sites de grandes empresas, enviam propostas comerciais e empurram faturas falsas. Para a vítima, parece uma compra comum; para a empresa copiada, termina em dano à reputação.

Daí vem o conjunto de cenários mais eficazes, que hoje são os mais usados.

• Notificações falsas de bancos, órgãos tributários e serviços públicos
• Fake Boss, quando um "gestor" escreve ao funcionário e o prepara para uma ligação das "forças de segurança" ou do regulador
• Golpes TOAD, em que a própria vítima é induzida a retornar a ligação, driblando o antispam de chamadas
• QR codes em locais movimentados que levam a formulários falsos
• Aplicativos móveis de phishing que imitam serviços originais

Outra tendência é a industrialização do phishing. O Phishing-as-a-Service reduz a barreira de entrada: plataformas prontas ajudam a montar páginas falsas, adaptá-las ao comportamento do usuário e até contornar parte dos cenários de MFA. Combinado à IA generativa, isso transforma o phishing numa linha de montagem. O número de sites de phishing no primeiro trimestre de 2026 caiu para 12,5 mil, contra 17,5 mil um ano antes, mas isso não significa que haja menos ameaças: os golpistas estão migrando para ataques de várias etapas, mais complexos e lucrativos.

O que ajuda a se proteger

Para o usuário comum, as regras básicas ainda são mais eficazes do que qualquer solução exótica. É importante acessar apenas endereços oficiais, não abrir anexos nem links de mensagens inesperadas e reconfirmar pedidos urgentes por outro canal. Se chegar um áudio ou vídeo de um conhecido pedindo dinheiro, é preciso procurar incoerências: expressões faciais estranhas, entonação artificial, baixa qualidade da gravação, formulações incomuns. E é melhor ativar a autenticação em dois fatores por aplicativo, em vez de depender só de SMS.

"Se algo parecer suspeito, é melhor reconfirmar pelos canais oficiais".

Para as empresas, a defesa há muito tempo não se resume a antispam. São necessários canais de comunicação protegidos, treinamento regular dos funcionários e verificações adicionais em processos críticos. O princípio da "segunda mão" funciona bem: uma transferência, a troca de dados bancários ou a concessão de acesso é confirmada por outro funcionário de confiança. Também são necessárias ferramentas para detectar deepfakes, regras claras e resposta rápida a incidentes, antes que o ataque consiga percorrer todas as etapas da cadeia.

Os golpes em várias etapas são especialmente perigosos porque cada passo isolado pode parecer inofensivo. Primeiro chega uma "transferência equivocada", depois começa a intimidação e, em seguida, a vítima é convencida a repassar o dinheiro ou entregá-lo a um motoboy. Em outros cenários, usa-se o SMS bombing: a pessoa é inundada de mensagens e depois recebe uma ligação em nome do banco, com a proposta de "salvar" a conta com urgência. Esse teatro de pressão não mira uma vulnerabilidade técnica, mas o cansaço e a ansiedade.

O que isso significa

O phishing em 2026 não é mais apenas um e-mail falso, mas uma economia de serviços da fraude, reforçada por IA, deepfakes e plataformas prontas. Segundo estimativa da BI.ZONE, só em 2025 o prejuízo causado por esses golpes superou 18 bilhões de rublos. Para usuários e empresas, a conclusão é simples: ganha não quem tem mais ferramentas da moda, mas quem verifica mais rápido e tem disciplina e ceticismo saudável.