Phishing em 2026: Como IA e Deepfakes Mudaram os Ataques, mas Não a Defesa

Phishing em 2026: Como IA e Deepfakes Mudaram os Ataques, mas Não a Defesa

Uma entrevista com especialistas da BI.ZONE revela como a inteligência artificial e deepfakes transformaram as táticas de phishing em 2026, tornando os ataques mais personalizados e sofisticados. O artigo também discute as medidas de proteção essenciais e a crescente ameaça do Phishing as a Service (PHaaS).

MundiX News·11 de maio de 2026·10 min de leitura·👁 5 views

Phishing em 2026: Como IA e Deepfakes Mudaram os Ataques, mas Não a Defesa

Introdução

Olá, Habr! Durante um evento da BI.ZONE Day, enquanto ouvia palestras e visitava estandes, surgiu a ideia de fazer uma pergunta que não estivesse relacionada aos produtos e tecnologias da empresa anfitriã. A apresentação sobre phishing chamou minha atenção, e não resisti à oportunidade de fazer algumas perguntas aos especialistas em phishing. Afinal, o tema é sempre relevante e interessante. Por isso, conversei com Alexey Luzhnov, chefe da BI.ZONE AntiFraud, e Dmitry Kiryushkin, chefe da BI.ZONE Digital Risk Protection. Apresento a entrevista de Alexey e Dmitry sobre como a IA mudou os métodos de phishing, quais técnicas de engenharia social ainda funcionam em 2026, quão grande é o mercado de "Phishing as a Service" (PHaaS) e muito mais. Boa leitura!

Entrevista

Como a IA (redes neurais, deepfakes) mudou os métodos de phishing em 2026?

Alexey Luzhnov: Em 2026, as ferramentas de IA tiveram um impacto notável no phishing. Os ataques se tornaram mais personalizados. Se antes os e-mails eram padronizados, agora os criminosos criam mensagens para cada pessoa: levando em consideração seus interesses, trabalho e ambiente. Os fraudadores estão usando cada vez mais deepfakes e falsificando a voz e a aparência de pessoas reais para soar mais convincentes. Isso ajuda a ganhar confiança mais rapidamente e aumenta as chances de sucesso do ataque. Os criminosos elaboram cenários de engano, escolhendo o que é mais provável que a pessoa reaja. Na maioria das vezes, eles se passam por entes queridos que supostamente estão em uma situação difícil e pedem uma transferência urgente de dinheiro.

Quais canais (e-mail, mensageiros, redes sociais, SMS e chamadas telefônicas) os criminosos usam com mais frequência para phishing?

Dmitry Kiryushkin: Os criminosos monitoram a atividade do usuário e usam os canais que as potenciais vítimas usam com mais frequência. Via de regra, são as redes sociais e mensageiros. Nessas plataformas, os fraudadores criam canais e chats temáticos, onde postam conteúdo de phishing. Eles distribuem ativamente links para recursos fraudulentos nos comentários de postagens de canais populares, além de entrar em contato com os usuários por meio de mensagens privadas. Na maioria das vezes, os criminosos buscam obter dados de autorização de contas em serviços estatais ou mensageiros, bem como informações sobre contas bancárias e outros dados confidenciais das vítimas.

Ao mesmo tempo, o método tradicional de entrega de conteúdo de phishing continua sendo o e-mail. De acordo com um estudo da Threat Zone 2026, 64% dos ataques direcionados a empresas na Rússia e em outros países da CEI começam com e-mails de phishing. Com sua ajuda, os invasores buscam obter acesso à infraestrutura de TI das organizações: basta um anexo aberto para que os criminosos possam comprometer o dispositivo e obter acesso a dados confidenciais da empresa.

Chamadas telefônicas e de vídeo permitem que os cibercriminosos influenciem o estado emocional dos usuários. Os criminosos exercem pressão, limitam o tempo para tomar uma decisão, para que a vítima perca a concentração e comece a cumprir os requisitos dos fraudadores. Assim, as chances de engano bem-sucedido aumentam.

Quais setores (finanças, indústria, medicina, instituições governamentais) foram os mais suscetíveis a ataques de phishing?

Dmitry Kiryushkin: Aproximadamente desde outubro de 2025, observamos que a maioria dos ataques de phishing visa obter acesso a mensageiros ou contas pessoais em serviços estatais. Também observamos um aumento no número de ataques do tipo Ghost invoice. Isso não é phishing típico, mas uma fraude próxima a ele. Com esse esquema, os criminosos criam domínios semelhantes em nome aos nomes dos recursos de grandes empresas: na maioria das vezes, eles estão relacionados à esfera industrial. Em nome dessas organizações, eles enviam ofertas a potenciais clientes. Sem saber, eles podem pagar contas falsas e ficar sem dinheiro e sem mercadorias. Ao mesmo tempo, a empresa que os fraudadores imitam perderá a confiança dos clientes e a reputação.

Quais técnicas de engenharia social (e-mails falsos de bancos, notificações de serviços governamentais, loterias, etc.) são mais eficazes no phishing em 2026?

Alexey Luzhnov: Um dos cenários mais eficazes continua sendo as notificações falsas de bancos, serviços fiscais e serviços governamentais. Eles são eficazes porque são percebidos como serviços críticos, o que causa ansiedade nas pessoas e reduz a criticidade da percepção. Os usuários tendem a reagir rapidamente a mensagens sobre dívidas, bloqueio de contas ou multas. Além disso, essas cartas costumam chegar no momento em que a vítima já está esperando uma notificação: por exemplo, durante o período de pagamento de impostos. A vigilância diminui e a probabilidade de uma ação impulsiva aumenta.

A esquema Fake Boss ainda é muito popular, na qual os criminosos se passam pelo chefe da empresa. O funcionário é escrito supostamente em nome do chefe, avisando sobre uma próxima ligação das autoridades policiais ou reguladoras e pedindo ajuda. Então, a vítima é persuadida sob a ameaça de inspeções para transferir dinheiro para uma "conta segura" controlada por fraudadores. Como resultado, sob pressão, os funcionários fazem transferências ou revelam informações confidenciais, o que leva a perdas financeiras e riscos para a empresa.

Como os criminosos usam novas ferramentas (códigos QR, aplicativos móveis falsos, sites de phishing) para realizar ataques?

Dmitry Kiryushkin: Os fraudadores usam ativamente essas ferramentas para enganar os usuários. No entanto, alguns deles estão gradualmente perdendo sua popularidade. Por exemplo, no primeiro trimestre de 2026, foram descobertos 12,5 mil sites fraudulentos em todas as zonas de domínio, incluindo a russa. No mesmo período do ano passado, havia 17,5 mil desses recursos. Essa dinâmica está em parte relacionada ao fato de que registradores, provedores de hospedagem e equipes de resposta os bloqueiam rapidamente. Além disso, é cada vez mais difícil para os fraudadores implementar cenários de ataque, pois a alfabetização cibernética geral da população está crescendo a cada ano.

Ao mesmo tempo, estamos registrando o interesse dos criminosos em códigos QR. Via de regra, os fraudadores os colocam em locais movimentados, onde os usuários provavelmente prestarão atenção neles. Na maioria das vezes, esses códigos QR são acompanhados por um pedido para ir ao recurso especificado e deixar dados. Os fraudadores podem usar essas informações para obter acesso a mensageiros e serviços ou roubar dinheiro se o usuário deixar os dados do cartão bancário.

Os criminosos também estão desenvolvendo aplicativos móveis de phishing que imitam os originais. Eles contam com a falta de atenção e pressa dos usuários ao baixar. Após o download, esse aplicativo pode coletar informações sobre o dispositivo, dados de autorização de vários aplicativos, etc.

O que se sabe sobre o desenvolvimento de "phishing como serviço" (Phishing-as-a-Service) e quão amplamente ele é usado por criminosos?

Dmitry Kiryushkin: As plataformas PhaaS há muito transformaram a criação de ataques de phishing em uma indústria completa. As plataformas modernas dão aos fraudadores a capacidade de contornar vários MFA e criar páginas com base no comportamento específico do usuário.

Anteriormente, o PHaaS não tinha análogos. Com o surgimento da IA, conteúdo de phishing "de alta qualidade" pode ser criado em alguns pedidos. A combinação de IA e plataformas PHaaS permite aumentar a velocidade, a simplicidade e a "qualidade" da criação de recursos de phishing, o que representa um risco ainda maior para as potenciais vítimas. No entanto, não devemos esquecer que a IA também ajuda a melhorar a segurança cibernética.

Quais tecnologias de proteção (soluções anti-spam e anti-phishing, autenticação de dois fatores, treinamento de usuários) são as mais relevantes?

Alexey Luzhnov: Recomendamos que os usuários sigam as regras básicas de segurança: entre em contato apenas com fontes oficiais e verificadas e verifiquem adicionalmente quaisquer mensagens e links suspeitos por meio de outros canais de comunicação. É importante permanecer atento: áudios e vídeos falsos podem se entregar por detalhes - baixa qualidade de gravação, entonação não natural ou caretas estranhas. Além disso, vale a pena ativar a autenticação de dois fatores com recebimento de código por meio de aplicativos especiais.

As organizações devem investir em soluções para detectar deepfakes, usar canais de comunicação seguros e implementar verificações adicionais em processos críticos. Por exemplo, este é o princípio da "segunda mão", quando qualquer operação é confirmada por uma pessoa confiável. É importante responder rapidamente aos incidentes e aumentar regularmente o nível de alfabetização cibernética dos funcionários.

Quais exemplos de esquemas de phishing de vários estágios ("carta + chamada", cadeias de redirecionamento, etc.) estão se tornando notáveis?

Alexey Luzhnov: Vemos que os fraudadores estão mudando o foco de esquemas em massa para esquemas mais complexos e de vários estágios. Esses ataques exigem mais preparação, mas permitem manter um alto nível de lucro das vítimas, por isso são usados com mais frequência.

Por exemplo, um dos cenários é o seguinte: a vítima recebe uma transferência "errada", após a qual ela começa a ser intimidada. Os fraudadores afirmam que a conta está supostamente relacionada a atividades ilegais. Sob essa pressão, a pessoa é persuadida a transferir dinheiro para outras contas ou devolver os fundos em dinheiro por meio de um mensageiro.

Além disso, o método TOAD (telephone-oriented attack delivery, phishing com retorno de chamada) é comum. Os criminosos forçam a vítima a entrar em contato com eles, por exemplo, por meio de uma carta ou mensagem com um pedido de retorno de chamada. Graças a isso, os filtros anti-spam são contornados, que geralmente são acionados quando uma chamada recebida de um fraudador, enquanto em tais cenários a iniciativa formalmente vem da própria vítima. A pessoa tem mais confiança na conversa. Durante essa chamada, os criminosos podem se apresentar como funcionários de empresas, extorquir logins e senhas ou persuadir a instalar um aplicativo malicioso. Como resultado, eles obtêm acesso ao dispositivo, contas da vítima ou até mesmo a sistemas corporativos.

Os criminosos costumam usar SMS bombing como a primeira etapa de um cenário mais complexo. Após uma série de mensagens, a vítima é chamada supostamente do banco ou serviço e se oferece para "resolver urgentemente o problema", que está relacionado a uma suposta operação suspeita. Esses esquemas podem ser aplicados ao tentar obter acesso a uma conta pessoal ou emitir um empréstimo. Os fraudadores também podem enviar um SMS com um pedido de retorno de chamada. Nesse caso, a própria vítima inicia o contato, e isso reduz as suspeitas, aumenta a confiança no interlocutor.

O que se sabe sobre a economia das sombras do phishing: quão grande é o mercado de "phishing como serviço" e qual é sua lucratividade?

Dmitry Kiryushkin: Na zona de domínio russa, parte do phishing funciona no tipo PHaaS. Isso pode ser rastreado no exemplo do conhecido esquema "Mamute". Existem pessoas que criam toda uma rede de domínios de phishing, e existem trabalhadores que distribuem links de phishing por uma certa porcentagem dos fundos roubados. O ponto de entrada é muito baixo, você não precisa ter conhecimento especializado profundo para isso. Ao mesmo tempo, os danos causados por esses esquemas são bastante grandes: de acordo com nossa estimativa, em 2025, os fraudadores roubaram mais de 18 bilhões de rublos.

Conclusão

Como ficou claro na conversa, o phishing em 2026 evoluiu muito além de simples e-mails em massa. Graças à IA, deepfakes e plataformas, os ataques se tornaram personalizados, de vários estágios e tecnologicamente sofisticados.

No entanto, as tecnologias estão se desenvolvendo em ambos os lados. E a defesa tem algo a responder: a autenticação de dois fatores, as soluções anti-phishing e o treinamento de usuários permanecem relevantes, mas exigem uma atualização constante das abordagens.

Bem, os usuários e empresas comuns só precisam estar vigilantes, não perder a vigilância e lembrar: se algo parece suspeito - é melhor verificar novamente através de canais oficiais. Obrigado pela leitura!

🛡️⚡

Pare de pesquisar. Comece a hackear.

O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.

Testar grátis por 7 dias →

Sem cartão para começar · Planos a partir de R$49/mês

📤 Compartilhar & Baixar

🧰 Ferramentas recomendadas

Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.

Aprendendo Kali Linux: Teste de segurança, pentest e hacking ético

Aprendendo Kali Linux: Teste de segurança, pentest e hacking ético

Com centenas de ferramentas pré-instaladas, a distribuição Kali Linux facilita o trabalho de os profissionais de segurança começarem a fazer testes de segurança rapidamente. No entanto, com mais de 600 ferramentas em seu arsenal, o Kali Linux também pode ser desafiador. A nova edição deste prático livro abrange as atualizações nas ferramentas e inclui uma melhor abordagem da análise forense e da engenharia reversa. Ric Messier, autor, não fica apenas no teste de segurança, mas também faz uma abordagem sobre a execução de análise forense, incluindo a análise em disco e na memória, assim como alguma análise básica de malware. • Explore as diversas ferramentas disponíveis no Kali Linux • Entenda o valor do teste de segurança e examine os tipos de teste disponíveis • Aprenda os aspectos básicos do pentest em todo o ciclo de vida do ataque • Instale o Kali Linux em vários sistemas, tanto físicos quanto virtuais • Descubra como usar diferentes ferramentas destinadas à segurança • Estruture um teste de segurança baseado nas ferramentas do Kali Linux • Estenda as ferramentas do Kali para criar técnicas de ataque avançadas • Use o Kali Linux para ajudar a criar relatórios quando o teste terminar “A abordagem concisa, clara e baseada na experiência adotada por Ric Messier para a introdução do Kali Linux e dos testes de cibersegurança é incomparável. Este livro é uma leitura excelente e acessível para iniciantes e um recurso valioso para qualquer pessoa.” —Alexander Arlt, Consultor sênior de segurança, Google

Ver na Amazon
Gshield 2 em 1 Hub Extensor Conector USB-C + USB-A e Adaptador de Rede Ethernet LAN RJ45 com 3 Entradas USB 3.0 até 5 Gbps em Liga de Alumínio para Computador e Notebook, Cinza

Gshield 2 em 1 Hub Extensor Conector USB-C + USB-A e Adaptador de Rede Ethernet LAN RJ45 com 3 Entradas USB 3.0 até 5 Gbps em Liga de Alumínio para Computador e Notebook, Cinza

Compatível com portas USB-C e USB-A, ideal para ampliar a conectividade de dispositivos como MacBook Pro e outros com portas USB-C. Inclui um adaptador USB-A extra, proporcionando uma conexão Ethernet estável e veloz de até 1 Gbps, perfeita para filmes, jogos online e videoconferências. Oferece três portas USB 3.0 com velocidades de transferência de até 5 Gbps, permitindo conectar mouse, teclado, discos rígidos e outros periféricos. Fabricado em alumínio durável, garantindo longa vida útil e resistência ao uso diário. Design compacto e leve, ideal para viagens de negócios e uso diário, facilitando o transporte e armazenamento. Funciona com Windows 10/8.1/8, Mac OS e Chrome OS, oferecendo versatilidade incomparável para diversas necessidades de conectividade. Assegura uma conectividade estável e rápida, perfeita para tarefas exigentes como transferência de dados, streaming e mais.

Ver na Amazon
Hacking APIs: Breaking Web Application Programming Interfaces

Hacking APIs: Breaking Web Application Programming Interfaces

Hacking APIs is a crash course on web API security testing that will prepare you to penetration-test APIs, reap high rewards on bug bounty programs, and make your own APIs more secure. You'll learn how REST and GraphQL APIs work in the wild and set up a streamlined API testing lab with Burp Suite and Postman. Then you'll master tools useful for reconnaissance, endpoint analysis, and fuzzing, such as Kiterunner and OWASP Amass. Next, you'll learn to perform common attacks, like those targeting an API's authentication mechanisms and the injection vulnerabilities commonly found in web applications. You'll also learn techniques for bypassing protections against these attacks. In the book's nine guided labs, which target intentionally vulnerable APIs, you'll practice: Enumerating APIs users and endpoints using fuzzing techniques Using Postman to discover an excessive data exposure vulnerability Performing a JSON Web Token attack against an API authentication process Combining multiple API attack techniques to perform a NoSQL injection Attacking a GraphQL API to uncover a broken object level authorization vulnerability

Ver oferta
Gray Hat Hacking: The Ethical Hacker's Handbook, Sixth Edition

Gray Hat Hacking: The Ethical Hacker's Handbook, Sixth Edition

Up-to-date strategies for thwarting the latest, most insidious network attacks This fully updated, industry-standard security resource shows, step by step, how to fortify computer networks by learning and applying effective ethical hacking techniques. Based on curricula developed by the authors at major security conferences and colleges, the book features actionable planning and analysis methods as well as practical steps for identifying and combating both targeted and opportunistic attacks. Gray Hat Hacking: The Ethical Hacker's Handbook, Sixth Edition clearly explains the enemy's devious weapons, skills, and tactics and offers field-tested remedies, case studies, and testing labs. You will get complete coverage of Internet of Things, mobile, and Cloud security along with penetration testing, malware analysis, and reverse engineering techniques. State-of-the-art malware, ransomware, and system exploits are thoroughly explained. Fully revised content includes 7 new chapters covering the latest threats Includes proof-of-concept code stored on the GitHub repository Authors train attendees at major security conferences, including RSA, Black Hat, Defcon, and B-Sides

Ver na Amazon
Bloqueador USB de privacidade de porta USB para PC, notebook, bloco de laptop,

Bloqueador USB de privacidade de porta USB para PC, notebook, bloco de laptop,

Proteção de privacidade aprimorada: protege o link de transmissão de dados para evitar roubo de informações, fornecendo proteção de segurança robusta que protege a privacidade do usuário durante transferências de arquivos e garante uma conexão segura para interações de dispositivos sem preocupações em vários ambientes Uso a longo prazo: a camada protetora resistente ao desgaste, combinada com um corpo de metal resistente, oferece gerenciamento de calor confiável e qualidade duradoura durante o uso diário Entrega eficiente de energia: a tecnologia de chip inteligente garante a identificação automática dos requisitos de energia, fornecendo carregamento eficiente alinhando-se com vários protocolos de carregamento rápido para maior conveniência Proteção contra sobrecarga: evitando riscos de sobrecarga, este bloqueador de dados USB protege a vida útil da bateria e garante um desempenho estável, mantendo um fluxo estável de energia para melhorar a longevidade do dispositivo de forma eficaz Prático de transportar: com atenção à portabilidade, este bloqueador de dados USB oferece um design compacto que é leve e fácil de transportar, melhorando a conveniência do usuário e operação eficiente

Ver na Amazon

📩 Newsletter MundiX

Receba novidades de cibersegurança + um checklist de pentest grátis. Sem spam.

Ao assinar você concorda em receber e-mails. Cancele quando quiser.