Como Identificar E-mails Falsos e Golpes de Phishing em 2026

O phishing continua sendo o golpe digital mais comum e mais eficaz do mundo. Em 2025, 80% dos e-mails de phishing passaram a usar inteligência artificial para criar mensagens quase indistinguíveis das reais. O Brasil, que concentra 84% dos ataques cibernéticos da América Latina, é um dos países mais afetados.

Se você já recebeu um e-mail do "banco" pedindo atualização cadastral, um SMS sobre uma encomenda retida ou uma ligação da "central de segurança", você foi alvo de phishing. Neste guia, você vai aprender a identificar esses golpes antes de cair neles.

O que é phishing e por que funciona tão bem

Phishing é uma técnica de engenharia social em que criminosos se passam por empresas, bancos ou pessoas confiáveis para enganar você e roubar informações pessoais, senhas ou dinheiro.

O golpe funciona porque explora emoções humanas: medo ("sua conta será bloqueada"), urgência ("atualize em 24 horas"), curiosidade ("veja quem visitou seu perfil") ou ganância ("você ganhou um prêmio"). Essas emoções fazem a pessoa agir antes de pensar.

Segundo o IBM X-Force 2025, 71% dos ataques globais exploram credenciais fracas ou roubadas, e o phishing é a principal porta de entrada para obter essas credenciais.

Os tipos de phishing que você precisa conhecer

Phishing por e-mail (clássico)

O mais tradicional. Você recebe um e-mail que parece ser de uma empresa real (banco, loja, serviço de streaming) pedindo que clique em um link e insira seus dados. O link leva a uma página falsa idêntica à original.

Smishing (phishing por SMS)

Mensagens de texto fraudulentas se tornaram extremamente comuns no Brasil. Exemplos típicos:

"Sua encomenda foi retida. Acesse o link para liberar"
"Detectamos atividade suspeita na sua conta. Confirme seus dados"
"Você tem pontos expirando. Resgate agora"

Vishing (phishing por voz)

Ligações telefônicas em que o golpista se passa por funcionário de banco, operadora ou empresa. O vishing cresceu 442% em 2025, impulsionado por ferramentas de IA que conseguem clonar vozes e criar diálogos convincentes.

Spear phishing (ataque direcionado)

Diferente do phishing genérico, o spear phishing usa informações pessoais da vítima (obtidas em redes sociais ou vazamentos) para criar mensagens personalizadas. Por exemplo: "Olá João, segue o comprovante da transferência que você solicitou ontem".

Dados de vazamentos anteriores são frequentemente usados para alimentar esses ataques. Verifique se seu e-mail já foi exposto para saber se seus dados estão disponíveis para esse tipo de golpe. Veja também nosso guia sobre o que fazer quando seus dados vazam.

Phishing com IA (nova geração)

A inteligência artificial revolucionou o phishing. Mensagens geradas por IA não têm erros de português, imitam perfeitamente o tom de comunicação das empresas e podem ser personalizadas em escala. Isso torna a detecção muito mais difícil.

Como identificar um e-mail de phishing

Mesmo com a evolução dos golpes, existem sinais que ajudam a identificar mensagens fraudulentas.

Verifique o remetente real

O nome exibido pode dizer "Banco do Brasil", mas o endereço real pode ser algo como "[email protected]". Sempre clique no nome do remetente para ver o endereço completo.

Remetente falso	Remetente real
Nubank Segurança	[email protected]
Mercado Livre	[email protected]
Receita Federal	[email protected]
Netflix	[email protected]

💡 Dica: domínios reais de empresas brasileiras geralmente terminam em .com.br. Remetentes com domínios genéricos (.xyz, .net, .org) ou com pequenas variações no nome são quase sempre falsos.

Analise o conteúdo da mensagem

Sinais de alerta no texto:

✅ Saudação genérica ("Prezado cliente" em vez do seu nome)

✅ Tom de urgência exagerado ("ação imediata necessária")

✅ Ameaças de bloqueio ou cancelamento

✅ Pedido de informações sensíveis (senha, CPF, número do cartão)

✅ Ofertas boas demais para ser verdade

✅ Erros sutis de formatação ou design

Examine os links sem clicar

Passe o mouse sobre qualquer link (sem clicar) para ver o endereço real. Em celulares, segure o dedo sobre o link até aparecer a prévia do URL.

⚠️ Atenção: golpistas usam técnicas como encurtadores de URL, domínios parecidos (amaz0n.com em vez de amazon.com) e subdomínios enganosos (banco.do.brasil.golpe.com).

Desconfie de anexos inesperados

Arquivos anexos em e-mails não solicitados podem conter malware. Tipos perigosos incluem .exe, .zip, .js, .docm e .xlsm. Até PDFs podem conter links maliciosos.

Exemplos reais de golpes comuns no Brasil

Golpe do Pix devolvido

"Identificamos um Pix de R$ 2.500 na sua conta por engano. Para devolver, acesse o link." O link leva a uma página que rouba suas credenciais bancárias.

Golpe da encomenda retida

"Sua encomenda está retida na alfândega. Pague a taxa de R$ 47,90 para liberar." O pagamento vai direto para o golpista.

Golpe do token expirado

"Seu token de segurança expirou. Clique aqui para renovar." A página falsa captura seus dados de acesso ao internet banking.

Golpe do suporte técnico

Você recebe uma ligação de alguém dizendo ser do suporte do banco, pedindo que instale um aplicativo de acesso remoto. Com o app instalado, o golpista controla seu celular.

Para mais informações sobre golpes financeiros, veja nosso artigo sobre golpes com Pix e como evitar.

O que fazer se você clicou em um link de phishing

Se você percebeu que caiu em um golpe, aja imediatamente:

Ações imediatas

Não insira mais informações. Feche a página ou desligue a ligação.
Troque suas senhas. Comece pela conta que foi alvo do ataque. Se usava a mesma senha em outros serviços, troque todas.
Ative a verificação em dois fatores. Isso impede acesso mesmo que o golpista tenha sua senha. Veja como no nosso guia completo de 2FA.
Verifique se seus dados já estavam expostos. Use o PassMonitor para entender o alcance.
Monitore suas contas financeiras. Verifique extrato e fatura nas próximas semanas.

Se você forneceu dados bancários

Ligue imediatamente para o banco e informe a situação
Solicite o bloqueio temporário de cartões e chaves Pix
Registre boletim de ocorrência na delegacia virtual
Abra contestação de transações não reconhecidas

Se você instalou algum aplicativo suspeito

Desinstale o aplicativo imediatamente
Execute uma verificação de segurança no dispositivo
Troque todas as senhas que possam ter sido capturadas
Considere restaurar o dispositivo para as configurações de fábrica

Como se proteger contra phishing

Práticas essenciais de prevenção

✅ Nunca clique em links de e-mails ou SMS sem verificar o remetente

✅ Acesse sites de bancos e serviços digitando o endereço diretamente no navegador

✅ Use senhas únicas para cada serviço (com um gerenciador de senhas)

✅ Ative 2FA em todas as contas importantes

✅ Mantenha seu navegador e sistema operacional atualizados

✅ Instale extensões de segurança que alertam sobre sites de phishing

Como verificar se uma mensagem é real

Se você recebeu uma mensagem suspeita:

Não clique em nenhum link da mensagem
Abra o site oficial da empresa em uma nova aba, digitando o endereço manualmente
Faça login normalmente e verifique se há alguma notificação real
Se ficar em dúvida, ligue para o SAC oficial da empresa

Proteção contra roubo de identidade

Phishing é frequentemente o primeiro passo para o roubo de identidade digital. Para entender como se proteger de forma mais ampla, leia nosso guia sobre roubo de identidade digital e como prevenir.

Além disso, tome cuidado especial ao acessar contas em redes Wi-Fi públicas, pois elas podem ser usadas para interceptar suas credenciais.

Como denunciar golpes de phishing

Denunciar golpes ajuda a proteger outras pessoas e contribui para a identificação dos criminosos.

Canais de denúncia

Canal	O que denunciar	Como acessar
Delegacia virtual	Fraudes e prejuízos financeiros	delegaciavirtual.sinesp.gov.br
CERT.br	E-mails e sites de phishing	cert.br/contato
Banco/instituição	Golpes usando nome da empresa	SAC oficial
SaferNet	Crimes cibernéticos	denuncie.org.br
Procon	Relação de consumo	Procon do seu estado

Ao denunciar, inclua prints da mensagem, o endereço do remetente, links contidos no e-mail e qualquer outra informação que possa ajudar na investigação.

Reportar no próprio serviço de e-mail

Gmail, Outlook e Yahoo possuem botões de "Reportar phishing" ou "Marcar como phishing". Usar essa função ajuda os provedores a bloquear mensagens similares para outros usuários.

Ferramentas que ajudam na proteção

Além do conhecimento, você pode contar com ferramentas que adicionam camadas de proteção:

Extensões de navegador

Extensões como uBlock Origin e Netcraft Extension alertam quando você acessa um site de phishing conhecido. Elas verificam a URL em tempo real contra bases de dados de sites maliciosos.

Verificação de links

Antes de clicar em um link suspeito, você pode verificar se ele é seguro usando serviços como VirusTotal (virustotal.com). Basta colar o link e o serviço analisa se ele está associado a atividades maliciosas.

Gerenciadores de senhas contra phishing

Um benefício pouco conhecido dos gerenciadores de senhas é que eles só preenchem automaticamente as credenciais no site correto. Se você acessar uma página falsa que imita o banco, o gerenciador não vai sugerir o preenchimento porque a URL não corresponde. Esse comportamento funciona como um detector automático de sites falsos.

DNS seguro

Configurar um serviço de DNS seguro (como Cloudflare 1.1.1.2 ou Google 8.8.8.8 com SafeSearch) no seu roteador pode bloquear o acesso a sites de phishing conhecidos antes mesmo de você carregar a página.

Phishing em ambientes corporativos

Se você trabalha em uma empresa, os riscos são ainda maiores. O custo médio de um vazamento de dados no Brasil é de R$ 7,19 milhões em 2025, e grande parte desses incidentes começa com um e-mail de phishing aberto por um funcionário.

Boas práticas para equipes

Treinamentos periódicos sobre identificação de phishing
Simulações de phishing para testar a equipe
Política de reportar e-mails suspeitos antes de interagir
Uso obrigatório de gerenciador de senhas e 2FA
Segmentação de acessos (cada pessoa acessa apenas o que precisa)

Empresas que sofrem vazamentos por falhas de segurança estão sujeitas a sanções da LGPD. Saiba mais sobre a LGPD e seus direitos.

Perguntas frequentes

É possível identificar phishing feito com IA?

Sim, mas é mais difícil. Mensagens geradas por IA não têm os erros de português tradicionais. Foque em outros sinais: o remetente é real? O link aponta para o domínio oficial? A empresa normalmente entra em contato por esse canal?

O que faço se minha empresa sofrer um ataque de phishing?

Notifique imediatamente a equipe de TI ou segurança. Mude suas credenciais corporativas. Se dados de clientes foram comprometidos, a empresa tem obrigações legais sob a LGPD.

Antivírus protege contra phishing?

Parcialmente. Antivírus modernos bloqueiam sites de phishing conhecidos, mas não conseguem detectar todos, especialmente os mais recentes. A melhor defesa continua sendo o conhecimento e a atenção do usuário.

Crianças e idosos são mais vulneráveis?

Sim. Esses grupos tendem a ser menos familiarizados com as táticas de phishing. Se você tem familiares nessas faixas, ajude-os a configurar proteções básicas e ensine os sinais de alerta.

Phishing por WhatsApp é comum?

Sim, e cada vez mais frequente. Golpistas clonam contas de WhatsApp ou se passam por contatos conhecidos pedindo dinheiro emprestado ou compartilhando links maliciosos. Sempre confirme por outro canal (ligação, por exemplo) antes de transferir dinheiro ou clicar em links recebidos pelo WhatsApp.

Como saber se um site é falso?

Verifique se o endereço no navegador corresponde exatamente ao domínio oficial. Sites falsos geralmente usam domínios parecidos com pequenas variações. Além disso, consulte se o site possui certificado SSL válido (cadeado no navegador), embora isso sozinho não garanta legitimidade. Ferramentas como VirusTotal permitem verificar URLs suspeitas antes de acessar.

O que é clone phishing?

Clone phishing ocorre quando o golpista replica um e-mail legítimo que você já recebeu, substituindo os links ou anexos por versões maliciosas. Como a mensagem parece idêntica a uma que você já viu, o nível de confiança é muito maior. Sempre desconfie de e-mails duplicados ou com pedidos de ação inesperados.

🔒 Seus dados já podem estar expostos. Criminosos usam informações de vazamentos anteriores para criar golpes de phishing mais convincentes. Verifique agora no PassMonitor se seu e-mail aparece em algum vazamento.

Conclusão

O phishing evolui constantemente, mas os princípios de proteção permanecem os mesmos: desconfie de mensagens não solicitadas, verifique remetentes e links antes de clicar, use senhas únicas com 2FA e mantenha-se informado sobre as táticas mais recentes.

A melhor forma de começar é verificar se seus dados já foram expostos. Com essa informação, você pode avaliar seu nível de risco e tomar as medidas certas. Para uma visão completa sobre proteção de senhas e contas, consulte nosso guia definitivo de proteção de senhas.