O que é Phishing? Como Identificar e se Proteger em 2026

O que é phishing?

O nome vem de "fishing" (pescar em inglês): os atacantes lancam uma "isca" (email, SMS ou site falso) e esperam que você "morda" clicando no link ou fornecendo suas informações.

No Brasil, o phishing é a forma mais comum de fraude digital. Segundo dados da Febraban, tentativas de phishing cresceram 45% em 2025, com prejuízos de R$ 2,5 bilhoes.

Como funciona um ataque de phishing

1. Contato inicial — Você recebe um email, SMS ou mensagem no WhatsApp que parece ser do seu banco, da Receita Federal, dos Correios ou de uma loja online.

2. Urgencia fabricada — A mensagem cria pressao: "Sua conta será bloqueada", "Compra não reconhecida de R$ 3.500", "Seu CPF será cancelado".

3. Link falso — Um botao ou link leva você a um site identico ao original, mas com URL diferente (ex: banco-do-brasil.com.net em vez de bb.com.br).

4. Captura de dados — Ao digitar sua senha ou dados no site falso, tudo é enviado diretamente ao criminoso.

5. Uso imediato — Em minutos, o atacante acessa sua conta real, faz transferencias ou compras.

Tipos de phishing mais comuns no Brasil

SMS phishing (smishing) — Mensagens como "Seus pontos expiram hoje" ou "Rastreie sua encomenda". Cresceu 120% em 2025.

WhatsApp phishing — Links maliciosos enviados por contatos hackeados ou números desconhecidos. Muito efetivo no Brasil por causa da popularidade do app.

Spear phishing — Ataques direcionados usando seus dados reais (nome, empresa, cargo) para parecer mais convincente.

Phishing por voz (vishing) — Ligações de falsos atendentes de banco pedindo confirmacao de dados.

Como identificar phishing: 7 sinais

2. Erros de português — Textos com erros gramaticais, acentuação incorreta ou formatacao estranha.

3. URL suspeita — Passe o dedo (ou mouse) sobre o link ANTES de clicar. Se o domínio não é o oficial, não clique.

4. Remetente estranho — O email vem de "suporte@banco-seguro.xyz" em vez do domínio oficial.

5. Pedido de dados sensiveis — Nenhum banco ou empresa pede senha, CVV ou token por email/SMS.

6. Ofertas boas demais — "Você ganhou um iPhone" ou "Resgate R$ 1.000 do FGTS".

7. Anexos inesperados — Boletos, comprovantes ou "fotos" que você não solicitou.

Como se proteger contra phishing

Ative autenticação em dois fatores (2FA) — Mesmo que roubem sua senha, precisarao do segundo fator.

Use um DNS seguro com bloqueio de phishing — O Escudo VPN bloqueia automaticamente domínios conhecidos de phishing via DNS, antes mesmo do site carregar. São mais de 500 mil domínios maliciosos bloqueados.

Verifique o certificado SSL — Sites legitimos de bancos sempre tem HTTPS com cadeado. Mas atenção: sites falsos também podem ter HTTPS.

Mantenha apps atualizados — Atualizações corrigem vulnerabilidades que phishing pode explorar.

Use uma VPN em redes públicas — Em WiFi de shopping, aeroporto ou cafe, uma VPN impede que atacantes interceptem seus dados.

O que fazer se você caiu em phishing

2. Ative 2FA em todas as contas — Use app autenticador, não SMS.

3. Avise seu banco — Ligue para o SAC e solicite bloqueio preventivo.

4. Registre um B.O. — Faca boletim de ocorrencia online na Delegacia Virtual do seu estado.

5. Monitore seu CPF — Use o Registrato (Banco Central) para verificar contas abertas em seu nome.

6. Verifique vazamentos — Use nosso verificador de vazamentos para checar se seu email já foi exposto.