Phishing é uma fraude em que criminosos imitam pessoas ou organizações confiáveis para induzir alguém a revelar dados, fazer pagamentos, abrir links ou instalar arquivos. A abordagem costuma criar urgência, medo, curiosidade ou oportunidade. O objetivo não é apenas enganar a vítima, mas levá-la a executar uma ação de risco.
Phishing é uma técnica de engenharia social que usa mensagens, páginas ou identidades falsas como isca. O criminoso se apresenta como banco, empresa, órgão público ou pessoa conhecida e solicita uma ação aparentemente legítima. Senhas, códigos de autenticação, dados bancários, documentos, Pix e instalações maliciosas estão entre os possíveis alvos.
O nome vem da ideia de “pescar” vítimas: a mensagem oferece uma justificativa para que a própria pessoa entregue uma informação ou abra o caminho para o ataque. A fraude pode ser ampla, enviada a milhares de destinatários, ou personalizada com nome, CPF, cargo, empresa e outros dados.
Segundo o Tribunal de Contas da União, em auditoria divulgada em 17 de junho de 2026, o CTIR Gov identificou 572 ocorrências de phishing e 855 páginas falsas ligadas à personificação de órgãos públicos entre janeiro e setembro de 2025.
Como funciona um ataque de phishing?
Um ataque de phishing normalmente começa com uma isca, conduz a vítima para uma ação e termina na captura de dados, no pagamento ou no comprometimento do aparelho. A aparência muda, mas a sequência permanece semelhante: conquistar confiança, reduzir o tempo de reflexão e criar uma consequência imediata para quem não obedecer.
O fluxo mais comum tem quatro etapas:
- Preparação da identidade falsa: o criminoso copia nome, logotipo, linguagem e contexto de uma entidade conhecida.
- Envio da isca: a mensagem anuncia problema, benefício, cobrança, entrega, vaga, prêmio ou atualização de segurança.
- Pressão para agir: um link, anexo, QR Code, telefone ou chave Pix orienta a próxima ação.
- Exploração: a vítima entrega credenciais, transfere dinheiro, instala malware ou concede acesso ao dispositivo.
Em alerta modificado em 8 de abril de 2026, o CISC/Gov.br descreveu campanhas que combinavam dados pessoais verdadeiros, símbolos oficiais e ameaças de bloqueio do CPF. As páginas simulavam portais do governo e direcionavam pagamentos a contas controladas pelos criminosos.
Quais são os principais tipos de phishing?
Os tipos de phishing são definidos principalmente pelo canal e pelo grau de personalização. E-mail é a forma clássica, mas mensagens, ligações, redes sociais, anúncios, QR Codes e resultados de busca também podem conduzir à fraude. O mecanismo central permanece o mesmo: usar confiança aparente para provocar uma ação insegura.
Os nomes mais frequentes incluem:
- phishing por e-mail: mensagem que imita uma instituição e contém link ou anexo;
- smishing: phishing enviado por SMS ou aplicativo de mensagens;
- vishing: abordagem por voz, geralmente em ligação ou áudio;
- spear phishing: ataque direcionado a uma pessoa ou grupo específico;
- whaling: ataque personalizado contra executivos ou pessoas com alto poder de decisão;
- quishing: uso de QR Code para ocultar o endereço malicioso;
- phishing em redes sociais: perfil, anúncio ou mensagem privada que imita uma pessoa ou organização.
As páginas sobre o que é smishing e o que é vishing tratam das particularidades desses canais. Esta página mantém o foco no conceito geral de phishing.
Como identificar uma tentativa de phishing?
Uma tentativa de phishing costuma apresentar identidade difícil de confirmar, urgência desproporcional e pedido incompatível com o contato esperado. Endereço adulterado, saudação genérica e erros podem aparecer, mas ataques bem produzidos não dependem dessas falhas. O melhor sinal é a combinação entre mensagem inesperada e ação sensível.
Verifique se a abordagem inclui:
- ameaça de bloqueio de conta, CPF, benefício ou serviço;
- cobrança, compra ou entrega que você não reconhece;
- promessa de prêmio, restituição, desconto ou vaga;
- pedido de senha, código de autenticação, cartão ou documento;
- link cujo domínio não corresponde ao canal oficial;
- anexo ou aplicativo que você não solicitou;
- pagamento por Pix, boleto ou transferência enviado na conversa;
- instrução para manter o contato em segredo ou ignorar alertas do banco.
Em 10 de abril de 2026, a Receita Federal alertou que não envia links para regularizar pendências nem solicita dados, pagamentos ou informações bancárias por SMS e aplicativos de mensagens. A regra específica de cada instituição deve ser confirmada em seu próprio canal oficial.
Phishing depende de um link falso?
Não. Links e páginas falsas são comuns, mas o phishing também pode usar anexos, ligações, QR Codes, formulários, conversas ou instruções para realizar um Pix. O elemento essencial é a identidade enganosa usada para obter uma ação. Mesmo uma mensagem sem link pode preparar a vítima para outra etapa do ataque.
Essa diferença ajuda a classificar o problema corretamente:
- o phishing é a estratégia de engano;
- o link suspeito é um possível meio de condução;
- o site falso é um possível ambiente de captura;
- o malware é uma possível consequência técnica;
- o pagamento indevido é um possível resultado financeiro.
Separar os conceitos evita tratar toda defesa como simples bloqueio de URL. Uma pessoa também precisa reconhecer pedidos incomuns e confirmar identidades fora do canal que iniciou a abordagem.
O que fazer ao receber uma mensagem de phishing?
Não clique, não responda, não forneça códigos e não faça pagamentos. Confirme a situação pelo aplicativo, telefone ou site oficial obtido fora da mensagem. Depois, use os recursos da plataforma para denunciar e bloquear o remetente. Se a abordagem imitar uma pessoa conhecida, confirme com ela por outro canal.
Siga uma ordem simples:
- interrompa a interação;
- preserve a mensagem se precisar registrar evidências;
- confira a suposta pendência diretamente no canal oficial;
- analise o endereço sem abri-lo;
- denuncie o perfil, telefone, e-mail ou página;
- avise a instituição imitada quando houver canal próprio de fraude.
O Detector de Links Perigosos do dfndr security pode analisar o endereço associado à mensagem antes do acesso. A funcionalidade não confirma a identidade do remetente nem a legitimidade de uma cobrança; ela compõe a verificação técnica junto com a análise do contexto.
O que fazer se eu já respondi ao phishing?
A resposta depende da ação realizada. Se informou senha, troque-a em um aparelho confiável e encerre sessões; se forneceu código, recupere a conta; se pagou, avise imediatamente a instituição financeira; se instalou arquivo, interrompa operações sensíveis e faça uma análise de segurança. Não espere surgir prejuízo para agir.
Para links já acessados, a página o que fazer se clicou em um link falso organiza as medidas conforme houve apenas visualização, preenchimento de dados ou instalação. Situações com Pix devem seguir também as orientações específicas de proteção Pix.
Qual é a análise da PSafe sobre phishing?
Nossa análise considera o phishing uma fraude de decisão: o atacante cria um cenário em que agir rapidamente parece mais seguro do que verificar. A defesa mais consistente introduz uma pausa e separa três elementos que a mensagem tenta fundir — identidade alegada, canal utilizado e ação solicitada. Cada um precisa ser confirmado de forma independente.
Essa leitura explica por que mensagens visualmente perfeitas ainda funcionam como fraude e por que erros de português não são requisito. O ponto central não é a qualidade da imitação, mas a tentativa de transferir confiança da marca ou da pessoa conhecida para uma ação que ela não confirmou.
Perguntas frequentes sobre phishing
Phishing é crime?
Phishing é uma técnica usada para praticar fraudes e obter acesso indevido a dados, contas ou valores. O enquadramento jurídico depende das ações realizadas e das circunstâncias do caso. Vítimas devem preservar evidências e registrar a ocorrência pelos canais competentes.
Qual é a diferença entre phishing e spam?
Spam é uma mensagem não solicitada enviada em massa e pode ser apenas publicidade. Phishing envolve intenção de enganar para obter dados, dinheiro, acesso ou instalação. Uma mesma mensagem pode ser simultaneamente spam e phishing.
Phishing acontece apenas por e-mail?
Não. Ele pode ocorrer por SMS, WhatsApp, ligação, rede social, anúncio, QR Code, resultado de busca ou página falsa. O canal muda, mas a técnica continua baseada em identidade enganosa e indução à ação.
Abrir um e-mail de phishing já causa invasão?
Apenas visualizar a mensagem normalmente representa risco menor do que abrir anexos, clicar, responder ou conceder permissões. Ainda assim, não interaja com o conteúdo e marque-o como fraude. O risco concreto depende do aplicativo, do aparelho e das ações executadas.
Como saber se um e-mail é realmente do banco?
Confira o domínio do remetente e não use os links ou telefones da mensagem para validar o contato. Abra o aplicativo oficial ou ligue para um número conhecido. Bancos não precisam da sua senha completa nem do código de autenticação enviado ao celular.
Phishing pode usar meus dados verdadeiros?
Sim. Nome, CPF, endereço, cargo ou compras anteriores podem personalizar a abordagem. Dados corretos tornam a história mais convincente, mas não autenticam o remetente. Confirme a solicitação em outro canal.