Phishing é o ataque que não passa despercebido, mas também é o mais destruidor. Segundo o ESET Security Report, 73% das empresas na América Latina foram alvo de campanhas de phishing nos últimos 12 meses. No Brasil, esse cenário varia drastic amente dependendo do setor. Organizações de manufatura registram 85,7%, e o setor bancário chega a 100% das instituições reportando tentativas de phishing.

O que torna phishing tão letal não é a sofisticação da tecnologia. É a manipulação. A engenharia social continua sendo o vetor de ataque mais explorado, superando acessos não autorizados, malware e exploração de vulnerabilidades. Diferente de um ataque técnico que pode ser detectado por ferramentas, phishing depende de um clique humano. E humanos erram.

Qual setor sofre mais com phishing?

Nem todos os setores da América Latina sofrem phishing na mesma intensidade. Os dados mostram concentração de risco em indústrias específicas, e as razões variam desde a natureza do trabalho até a maturidade das defesas.

Diferentes setores sofrem de formas distintas. O setor de Manufatura aparece como um dos mais visados, com 81,1% das organizações latino-americanas reportando ataques de phishing. No Brasil, esse número sobe para 85,7%, indicando que empresas de produção são alvos particularmente atrativos. Educação também registra níveis alarmantes, com 81,4% na América Latina e 66,7% no Brasil, concentrando uma combinação perigosa de infraestruturas mais antigas, ciclos de atualização mais lentos e equipes com menor especialização em segurança.

O setor Bancário e Financeiro reporta 79,6% de tentativas de phishing na América Latina. No Brasil, esse percentual chega a 100%, o que faz sentido quando você lembra que no setor financeiro, quanto mais atrativo o alvo, mais sofisticadas são as campanhas. Governo e Saúde, por sua vez, registram 72,6% e 67,6% respectivamente na região, números que ainda assim permanecem alarmantemente altos.

A conclusão é simples. Setores com dados sensíveis ou acesso a recursos críticos são prioridade para criminosos. E não é coincidência que justamente as indústrias com menos capacidade de defesa acabem sendo as mais visadas.

Phishing no Brasil: a realidade invisível que 43% das empresas não conseguem detectar

A média de phishing no Brasil é 70,9%, ligeiramente menor que a da América Latina em 73%, o que poderia sugerir que empresas brasileiras estão melhor protegidas. Mas esse número esconde uma realidade bem mais complexa.

Enquanto alguns setores brasileiros ficam abaixo da média latino-americana, outros disparam. O setor Bancário no Brasil atinge 100% de tentativas de phishing reportadas, bem acima dos 79,6% da região. Saúde também chega a 100%, contra 67,6% na média. Isso sugere que criminosos direcionam campanhas muito mais sofisticadas contra setores estratégicos brasileiros, onde o retorno é maior.

O problema real no Brasil é invisibilidade. Enquanto 25,1% das empresas na América Latina reconhecem que incidentes podem ter ocorrido sem serem detectados, no Brasil esse número chega a assustadores 43,3%. Isso significa que quase 1 em cada 2 empresas brasileiras não tem visibilidade adequada sobre o que está acontecendo em sua infraestrutura. Se você não detecta o ataque, não consegue responder a ele.

Essa falta de visibilidade é particularmente perigosa porque phishing muitas vezes é apenas a porta de entrada. Um clique em um link malicioso não gera alerta imediato. O criminoso entra silenciosamente, recolhe credenciais, instala backdoors, e dias ou semanas depois os danos aparecem. Globalmente, o Threat Report H1 2026 rastreia essa evolução, mostrando que criminosos estão refinando as técnicas de phishing, expandindo para QR codes e explorando comportamentos de usuários cada vez mais sofisticados.

O Brasil tem adoção de ferramentas defensivas básicas comparável ou superior à América Latina, incluindo firewall em 93,9%, Dupla autenticação em 68,7% e EDR em 68,7%. No entanto, falha na capacidade analítica de conectar esses pontos e entender o que está acontecendo em tempo real.

Por que phishing funciona?

Phishing não é um ataque sofisticado porque usa tecnologia avançada. É sofisticado porque explora o elemento mais frágil de qualquer sistema de segurança: o ser humano.

A engenharia social continua sendo o vetor de ataque mais explorado na América Latina, superando acessos não autorizados, malware e exploração de vulnerabilidades. Esse padrão não é coincidência. Criminosos entendem que derrotar uma pessoa é muito mais fácil que derrotar um firewall. Uma pessoa pode ser enganada. Um código de segurança bem feito não.

O phishing funciona porque explora três coisas que não mudam: a confiança, a pressa e o conhecimento limitado. Um email que parece legítimo, vindo aparentemente de um colega ou gerente, com uma solicitação urgente gera pânico. Nesse momento, o cérebro está em modo reativo, não reflexivo. A pessoa clica antes de pensar.

Globalmente, dados do Threat Report H1 2026 mostram a evolução dessa tática. Criminosos não estão apenas enviando emails óbvios com erros de digitação. Estão personalizando ataques, usando informações específicas da empresa, falsificando domínios e expandindo para novas plataformas como QR codes em emails, que escapam da varredura tradicional.

No Brasil especificamente, a falta de visibilidade deixa as organizações ainda mais vulneráveis. Quando um ataque de phishing bem-sucedido entra na rede, ninguém vê. Ninguém sabe que as credenciais foram roubadas, que uma porta traseira foi aberta, ou que dados estão sendo copiados. O criminoso tem tempo para trabalhar à vontade.

Phishing funciona porque é simples de executar, efetivo demais e, na maioria dos casos, a vítima nunca sabe que foi alvo até muito depois.

Como reconhecer phishing sofisticado

Phishing de hoje não é o email óbvio com erros de digitação e links estranhos. É sofisticado demais para ser fácil de pegar.

Os criminosos estão usando várias técnicas novas. Uma campanha recente de spear phishing usou emails com o assunto "Novo Voicemail" falsificando a conta da própria vítima como remetente, criando a ilusão de que a mensagem veio de dentro da empresa. O anexo era um arquivo .SVG, um formato menos comum que pode contornar filtros de segurança tradicionais. Quando a vítima abria o arquivo, era redirecionada para uma página que imitava o login do Outlook, onde suas credenciais eram roubadas.

Globalmente, o Threat Report H1 2026 rastreia outras evoluções perigosas. QR codes aparecendo em emails de phishing, explorando o fato de que as pessoas confiarem naturalmente em código de barras. Fake error prompts, conhecidos como ClickFix, que simulam crashes do navegador e pedem para o usuário executar uma ação urgente. Técnicas sofisticadas que apelarão para a urgência e confiança da vítima.

Os sinais de alerta existem, mas requerem atenção. Procure por endereços de email que quase parecem legítimos, mas têm pequenas diferenças. Verifique para onde o link realmente vai passando o mouse sobre ele antes de clicar. Desconfie de anexos inesperados, especialmente em formatos menos comuns como .SVG. Cuidado com assuntos que criam urgência ou pânico: "Ação necessária", "Confirmação de segurança", "Novo voicemail", "Erro de sistema".

Se algo parece urgente e vem por email, é uma bandeira vermelha. Os criminosos sabem que pressa faz as pessoas cometerem erros.

A segurança é compartilhada: o que empresas e pessoas precisam fazer

Segurança contra phishing não é responsabilidade só da empresa. É compartilhada entre a organização e cada pessoa que usa o email corporativo.

Para as empresas, o primeiro passo é óbvio mas frequentemente negligenciado: visibilidade. Se você não consegue detectar um ataque, não pode responder a ele. No Brasil, onde 43,3% das empresas admitem ter incidentes invisíveis, investir em ferramentas de monitoramento e detecção não é luxo, é necessidade. Firewall, EDR, sistemas de backup são essas defesas básicas que precisam estar em funcionamento e, mais importante, precisam ser monitoradas.

Treinamento de segurança não é uma atividade anual chata. É o que separa empresas que vazam dados de empresas que não vazam. Mostrar exemplos reais de phishing, como os emails de "Novo Voicemail" que circulam atualmente, ajuda as pessoas a reconhecer padrões. Treinar sobre QR codes suspeitos e fake error prompts prepara os colaboradores para as técnicas de hoje, não as de cinco anos atrás.

Para indivíduos, as práticas são simples mas exigem disciplina. Use autenticação de dois fatores em todas as contas corporativas. Mantenha seus sistemas atualizados quando há patches de segurança. Desconfie de urgência: se um email pede ação agora e você não o esperava, verifique com o suposto remetente antes de clicar.

A realidade é clara, o phishing continua funcionando porque funciona mesmo. Criminosos não trocam de arma quando a arma ainda derrota 43% das defesas brasileiras. A segurança só muda quando as organizações entendem que invisibilidade é o problema real, não a falta de ferramentas. E quando cada pessoa entende que um clique errado não é um erro pessoal, é exatamente o que o criminoso planejou.