O phishing continua sendo um dos métodos de ataque cibernético mais perigosos, eficazes e comuns atualmente. De acordo com o Relatório de Perspectivas de Segurança Cibernética da Kaseya para 2026, mais da metade (56%) das empresas já foi afetada por incidentes relacionados a phishing pelo menos uma vez, e quase metade (49%) foi alvo de ataques somente no último ano. Ao induzir os usuários a clicar em links maliciosos, fornecer credenciais ou, sem saber, abrir brechas na rede, os autores de ataques de phishing podem causar danos graves e onerosos a empresas de todos os tamanhos.
Embora muitos ataques de phishing tenham como objetivo roubar dados, os cibercriminosos estão cada vez mais alterando ou destruindo esses dados. Os ataques de ransomware — frequentemente iniciados por meio de e-mails de phishing — criptografam dados críticos e os mantêm como reféns até que seja pago um resgate pela chave de descriptografia. Uma vez dentro de uma rede, os invasores também podem danificar sistemas e controles essenciais, causando impactos operacionais e financeiros de longo prazo.
Neste artigo, analisamos mais detalhadamente como o phishing evoluiu nos últimos anos e examinamos o verdadeiro custo dos ataques de phishing para as organizações.
Como o phishing evoluiu desde a última década
Nos últimos anos, os ataques de phishing tornaram-se mais sofisticados, refinados e convincentes. O que antes eram e-mails desajeitados do tipo “Prezado(a), você ganhou um prêmio” ou mensagens de “príncipes nigerianos” e “funcionários do governo” prometendo grandes somas de dinheiro em troca de uma pequena taxa inicial evoluiu para algo muito mais dissimulado e difícil de detectar.
Há uma década, o phishing se resumia, em grande parte, a e-mails de spam em massa. A mesma mensagem era enviada a milhões de pessoas. Esses e-mails estavam repletos de erros ortográficos e sinais de alerta evidentes. Hoje, os ataques de phishing são altamente direcionados, com mensagens personalizadas para indivíduos específicos ou áreas de atuação, como finanças, RH ou TI.
Os cibercriminosos modernos realizam uma pesquisa minuciosa antes de atacar. Eles utilizam informações disponíveis publicamente, sites de empresas e redes sociais para fazer com que suas comunicações pareçam legítimas. A falsificação de identidade de marcas é outro método de phishing altamente convincente, no qual os cibercriminosos imitam com grande precisão as marcas nas quais você confia. Eles utilizam logotipos, e-mails, faturas e sites falsos, além de linguagem enganosa, para roubar informações críticas ou instalar software malicioso.
Os ataques de phishing evoluíram para além do e-mail. Atualmente, eles se espalham por meio de smishing (SMS), vishing (chamadas telefônicas), códigos de resposta rápida (QR), ferramentas de colaboração como o Teams e o Slack, e mensagens diretas (MDs) nas redes sociais.
Modelos de cibercrime baseados em assinatura, como o Phishing-as-a-Service (PhaaS), fornecem ferramentas de hacking prontas para uso, permitindo que até mesmo pessoas com conhecimentos técnicos limitados realizem ataques sofisticados.
Nos últimos anos, os invasores têm aproveitado a automação e a IA para ampliar a personalização e criar e-mails de phishing altamente convincentes e profissionais. O Relatório de Investigações sobre Vazamentos de Dados de 2025 revelou que o uso de textos gerados por IA em e-mails maliciosos dobrou nos últimos dois anos. Esses e-mails não apresentam os sinais de alerta tradicionais, como gramática incorreta ou erros ortográficos. Eles parecem totalmente legítimos, o que os torna extremamente difíceis de identificar.
O phishing em números: o panorama atual das ameaças
O e-mail é o vetor de ataque mais utilizado na segurança cibernética. Na verdade, mais de 75% dos ataques cibernéticos começam com um e-mail de phishing.
Conforme mencionado no início do artigo, 49% das empresas foram afetadas por incidentes relacionados a phishing em 2025. A maioria dos participantes da pesquisa da Kaseya de 2026 espera que a onda de ataques continue. Quase 70% das empresas pesquisadas acreditam que serão vítimas de um ataque de phishing bem-sucedido nos próximos 12 meses.
Estima-se que, todos os dias, sejam enviados globalmente 3,4 bilhões de e-mails de phishing. Se apenas 1% desses ataques de phishing for bem-sucedido, isso significaria 34 milhões de casos. Mesmo uma baixa taxa de cliques torna-se perigosa quando em grande escala. Quando dezenas de milhares de e-mails de phishing chegam diariamente às caixas de entrada da sua organização, basta uma única interação bem-sucedida para causar danos graves.
O Relatório sobre o Custo de uma Violação de Dados de 2025 revelou que o custo médio global de uma violação de dados caiu 9%, passando para US$ 4,44 milhões, em comparação com US$ 4,88 milhões em 2024. Essa queda foi atribuída à maior rapidez com que as empresas identificam e contêm as violações. O relatório também constatou que o phishing foi o método de ataque mais comum, representando 16% dos incidentes e custando, em média, US$ 4,8 milhões.
Quanto custa realmente um ataque de phishing para uma empresa
O verdadeiro custo do phishing vai muito além de uma única conta comprometida ou da perda financeira inicial. Dependendo da gravidade do ataque, o impacto sobre a sua empresa pode ser significativo e duradouro.
Perdas financeiras diretas
Quando se trata de phishing, nenhuma organização está imune. Ataques de phishing bem-sucedidos podem causar pesadas perdas financeiras, que variam de dezenas de milhares a milhões de dólares por incidente.
Custos de resposta a incidentes e recuperação
Após um incidente cibernético, sua organização deve investigar a violação, recorrer a especialistas forenses, restaurar sistemas e dados críticos e tomar as medidas necessárias para reforçar a segurança. Essas atividades exigem tempo, esforço e dinheiro. Além disso, sua empresa também deve levar em conta os custos com serviços jurídicos, os relatórios regulatórios e possíveis multas.
Interrupção operacional
Os ataques de phishing podem prejudicar as operações diárias, causar interrupções e atrasar processos críticos da empresa. Os processos de correção, como resposta a incidentes, recuperação de sistemas e investigações forenses, podem levar semanas ou até meses.
Perda de produtividade dos funcionários
Quando ocorre um incidente cibernético, as equipes de TI e de segurança precisam dedicar tempo e recursos para conter o ataque, em vez de aplicá-los em projetos estratégicos. Seus funcionários também podem enfrentar bloqueios de acesso ao sistema, redefinições de senha e interrupções no fluxo de trabalho, o que pode afetar a produtividade.
Danos à reputação
Um ataque de phishing ou um incidente de violação de dados pode prejudicar gravemente a reputação da sua empresa. Seus clientes podem repensar a decisão de fazer negócios com a sua organização, e a credibilidade da marca pode sofrer danos a longo prazo.
Aumento dos prêmios de seguro
Uma violação bem-sucedida pode resultar em custos mais elevados de seguro cibernético e em um maior escrutínio em matéria de conformidade, especialmente em setores com requisitos rigorosos de conformidade.
Por que a segurança tradicional do e-mail fica aquém das expectativas
Os cibercriminosos modernos estão mudando a forma como conduzem suas campanhas. Em vez de dependerem principalmente de malware, as campanhas de phishing atuais se fazem passar por marcas confiáveis, imitam processos comerciais cotidianos e exploram o julgamento humano para contornar as defesas técnicas.
Ao mesmo tempo, eles estão recorrendo cada vez mais a conteúdos gerados ou auxiliados por IA. A automação e a IA de geração permitem que criem rapidamente uma identidade de marca convincente, uma linguagem que soa natural e mensagens altamente personalizadas em grande escala. Esses e-mails são elaborados para parecerem comunicações comerciais rotineiras, tornando-os mais difíceis de detectar tanto pelos funcionários quanto pelos sistemas de segurança tradicionais.
As soluções tradicionais de segurança de e-mail foram projetadas para bloquear ameaças conhecidas, como spam, vírus e anexos maliciosos. No entanto, as campanhas modernas de phishing estão em constante evolução. Os agentes maliciosos criam novos domínios, redigem conteúdos de e-mail altamente convincentes e alternam rapidamente entre infraestruturas, dificultando que os controles tradicionais consigam acompanhar essas mudanças.
Além disso, se invasores conseguirem acessar uma conta de e-mail legítima dentro da sua organização, as soluções de segurança de e-mail podem tratar as mensagens dessa conta como se fossem enviadas por um remetente interno confiável. Os filtros tradicionais podem ter dificuldade em detectar esses e-mails “confiáveis”, mesmo que contenham links maliciosos ou solicitações fraudulentas.
O que uma defesa moderna contra phishing deve fazer hoje
À medida que os ataques de phishing se tornam mais sofisticados e difíceis de detectar, sua organização precisa de uma proteção robusta que vá além da filtragem tradicional de e-mails. A defesa moderna contra phishing deve ser inteligente, adaptável e atenta às necessidades do usuário.
Sua solução de proteção contra phishing deve:
Detectar ataques desconhecidos e de dia zero
Os agentes maliciosos mudam constantemente suas táticas e buscam vulnerabilidades para explorar. Soluções eficazes de defesa contra phishing devem ser capazes de identificar ameaças nunca antes vistas por meio de análise comportamental, aprendizado de máquina e detecção de anomalias.
Analise os elementos visuais, a identidade visual e o contexto — não apenas o texto
Os e-mails de phishing atuais incluem logotipos realistas, formatação e falsificação de marcas, o que os torna mais difíceis de detectar. Defesas avançadas contra phishing devem analisar pistas visuais, marcas falsificadas e fatores contextuais (como solicitações incomuns ou padrões de comunicação) para identificar e-mails maliciosos.
Forneça avisos claros e integrados que ajudem os usuários a tomar decisões mais seguras
Quando uma mensagem suspeita chega à caixa de entrada, os usuários precisam de orientação em tempo real para tomar a decisão certa. As soluções antiphishing modernas devem fornecer alertas contextuais e integrados que expliquem por que uma mensagem é suspeita. Esse recurso ajuda os funcionários a parar para pensar, verificar as solicitações e tomar decisões mais seguras.
Como a proteção avançada contra phishing baseada em IA muda o panorama
Sua organização deve adotar uma abordagem proativa para se defender contra as ameaças de phishing cada vez mais sofisticadas da atualidade. Isso começa com uma revisão da segurança tradicional de e-mail e a adoção de uma solução mais avançada.
Você precisa de uma solução de segurança de e-mail baseada em IA que detecte tentativas de phishing antes que elas cheguem aos seus usuários finais. Ela deve desativar automaticamente links maliciosos, colocar e-mails prejudiciais em quarentena e exibir avisos claros e bem visíveis que orientem os usuários e os ajudem a reconhecer ameaças futuras.
A solução de segurança de e-mail da Kaseya, baseada em GenAI, utiliza inteligência artificial, aprendizado de máquina e visão computacional para bloquear ataques sofisticados de phishing que outras ferramentas não conseguem detectar.
A maioria das soluções antiphishing depende fortemente de listas negras de agentes de ameaças conhecidos. Os cibercriminosos sabem disso e alternam continuamente domínios, URLs, endereços IP e identidades de e-mail para escapar da detecção. Em vez de depender exclusivamente de listas de ameaças, nossa solução baseada em IA analisa o próprio e-mail. Ela identifica inconsistências nos nomes das empresas e pode até detectar alterações sutis nos logotipos, chegando ao nível do pixel. Isso permite que ela identifique falsificações altamente realistas que parecem legítimas e muitas vezes contornam os filtros tradicionais.
Quando é detectada uma atividade suspeita, o sistema neutraliza a ameaça e insere um aviso em negrito diretamente no corpo do e-mail. Esses avisos não só protegem os usuários, como também reforçam a conscientização sobre segurança em tempo real.
As proteções integradas no Exchange, no Microsoft 365 e no Google Workspace oferecem um nível básico de segurança, mas não são suficientes contra as técnicas modernas de phishing. Esses sistemas dependem principalmente de listas negras e da filtragem de conteúdo baseada em palavras-chave, o que pode deixar passar ataques avançados gerados por IA.
Nossa solução vai além, analisando e rastreando os links antes que eles sejam exibidos. Ela avalia o destino em tempo real e coloca os links suspeitos em quarentena até que sejam verificados como seguros.
Impedir ameaças por e-mail antes que causem danos. Descubra como a solução de segurança de e-mail da Kaseya, baseada em IA gerativa, neutraliza mensagens maliciosas antes que elas possam comprometer contas ou prejudicar sua organização. Saiba mais.
