O phishing não é novidade. Existe há décadas e, mesmo assim, continua sendo uma das formas mais eficazes de ataque digital. Segundo um levantamento recente sobre segurança corporativa na América Latina, 73% das empresas relataram ter sido alvo de campanhas de phishing nos últimos 12 meses. O número por si só já chama atenção, mas o mais importante não é a estatística em si. É entender por que esse golpe continua funcionando, mesmo com tanta informação disponível sobre como se proteger.
Neste artigo, vamos além desse dado isolado. Vamos explicar o que é phishing, quais são os tipos mais comuns hoje, por que esse golpe é tão eficaz, como reconhecer uma tentativa e o que a legislação brasileira diz sobre responsabilidade em casos de vazamento de dados.
O que é phishing e por que ele nunca sai de moda
Phishing é uma técnica de fraude digital em que o criminoso se passa por uma pessoa, empresa ou instituição confiável para induzir a vítima a fornecer informações sensíveis, como senhas, dados bancários ou credenciais de acesso. O nome vem do inglês “fishing” (pescar), justamente porque o golpe funciona como uma isca: o criminoso lança um estímulo (um e-mail, uma mensagem, um link). O motivo pelo qual o phishing continua tão presente é simples: ele não depende de falhas técnicas sofisticadas, e sim de comportamento humano. Enquanto um firewall pode ser configurado, atualizado e monitorado, uma pessoa cansada, apressada ou distraída pode clicar em um link malicioso sem perceber. Por isso, mesmo empresas com boas defesas técnicas continuam vulneráveis quando o ataque é direcionado às pessoas, e não à infraestrutura.
Os tipos de phishing mais comuns hoje
Embora o termo “phishing” costume ser usado de forma genérica, existem variações específicas, cada uma explorando um ambiente digital.
E-mail phishing
É o formato mais tradicional. O criminoso envia um e-mail que imita a identidade visual de uma empresa conhecida (banco, operadora, órgão público) e pede que a vítima clique em um link ou baixe um anexo. A partir daí, o objetivo costuma ser roubar credenciais ou instalar algum tipo de malware.
Spear phishing
Diferente do e-mail phishing genérico, o spear phishing é direcionado a uma pessoa ou empresa específica. O criminoso pesquisa previamente sobre o alvo, usa nomes reais de colegas, cargos ou situações do dia a dia da empresa para tornar a mensagem mais convincente. Por ser personalizado, costuma ter uma taxa de sucesso maior.
Smishing e vishing
O smishing acontece por SMS, enquanto o vishing ocorre por ligação telefônica. Em ambos os casos, a lógica é a mesma do e-mail phishing: gerar urgência e fazer a vítima agir sem pensar, seja clicando em um link enviado por mensagem, seja fornecendo dados durante uma ligação.
QR code phishing (quishing)
Uma tendência mais recente é o uso de QR codes maliciosos, inseridos em e-mails, cartazes ou até documentos impressos. Como o QR code esconde o destino real do link, a vítima só percebe que caiu em uma armadilha depois de escanear o código e ser redirecionada para uma página falsa.
Por que o phishing funciona tão bem
O phishing explora três elementos que dificilmente mudam no comportamento humano: confiança, urgência e falta de atenção no momento certo. Um e-mail que parece vir de um superior, pedindo uma ação imediata, ativa uma resposta emocional antes de uma resposta racional. Nesse instante, a vítima tende a agir primeiro e questionar depois, quando já é tarde demais.
Além disso, os criminosos vêm refinando as técnicas ao longo dos anos. Não se trata mais apenas de mensagens com erros de português e links suspeitos. Hoje, campanhas de golpes usam domínios falsificados que imitam sites legítimos, personalizam o conteúdo com informações reais da empresa alvo e até exploram formatos de arquivo pouco comuns, como SVG, justamente para escapar de filtros de segurança tradicionais.
É justamente esse nível de sofisticação que explica por que, mesmo em setores com investimento robusto em cibersegurança, como o financeiro, o phishing continua sendo reportado com frequência.No caso brasileiro, por exemplo, dados recentes mostram que quase metade das empresas reconhece não ter visibilidade total sobre incidentes que podem ter ocorrido sem serem detectados. Ou seja, o problema muitas vezes não é apenas evitar o clique, mas também identificar rapidamente quando ele já aconteceu.
Sinais de alerta: como identificar uma tentativa de phishing
Reconhecer um golpe de phishing exige atenção a alguns detalhes, mesmo quando a mensagem parece legítima à primeira vista:
- Endereços de e-mail que se parecem com o original, mas têm pequenas diferenças de grafia.
- Links cujo destino real (visível ao passar o mouse por cima, sem clicar) não corresponde ao texto exibido.
- Anexos inesperados, principalmente em formatos incomuns.
- Assuntos que criam senso de urgência, como “ação necessária”, “confirmação de segurança” ou “erro no sistema”.
- Solicitações de dados sensíveis por e-mail, SMS ou ligação, especialmente quando a mensagem não foi solicitada.
Na dúvida, o mais seguro é sempre confirmar diretamente com a pessoa ou empresa que supostamente enviou a mensagem, por um canal diferente do usado no contato suspeito.
O que a lei diz: LGPD e responsabilidade em casos de vazamento
No Brasil, a Lei Geral de Proteção de Dados (LGPD) estabelece obrigações específicas para empresas que lidam com dados pessoais, o que inclui situações decorrentes de ataques de phishing bem-sucedidos.
Dever de notificação em caso de incidente
Quando um ataque de phishing resulta em vazamento de dados pessoais, a empresa responsável pelo tratamento desses dados tem o dever de comunicar o incidente à Autoridade Nacional de Proteção de Dados (ANPD) e, quando houver risco relevante, também aos titulares afetados. A comunicação deve seguir prazos e critérios definidos pela própria LGPD.
Responsabilidade civil da empresa
Além da obrigação de notificação, a empresa pode ser responsabilizada civilmente caso fique demonstrado que não adotou medidas adequadas de proteção de dados. Isso significa que, do ponto de vista jurídico, phishing não é tratado apenas como um problema técnico, mas também como um risco legal, especialmente para empresas que lidam com dados sensíveis de clientes, colaboradores ou parceiros.
Como se proteger do golpe
A proteção contra phishing é uma responsabilidade compartilhada. Do lado das empresas, é fundamental investir em ferramentas de monitoramento e detecção, além de treinar as equipes com exemplos reais e atualizados de golpes, e não apenas com cartilhas genéricas. Do lado das pessoas, práticas simples fazem diferença: ativar autenticação de dois fatores, manter sistemas atualizados e desconfiar de qualquer mensagem que exija uma ação imediata.
Conclusão
O phishing continua sendo um dos ataques mais recorrentes justamente porque não depende de sofisticação tecnológica, e sim da capacidade de manipular a confiança e a pressa de quem está do outro lado da tela. Entender os diferentes tipos de phishing, reconhecer os sinais de alerta e conhecer as responsabilidades legais envolvidas são passos essenciais tanto para empresas quanto para indivíduos. No fim, a cibersegurança depende de uma combinação entre tecnologia, processos e, principalmente, atenção.
Quando um ataque compromete informações pessoais ou empresariais, a orientação jurídica pode ser importante para avaliar responsabilidades, preservar provas e definir as medidas cabíveis. Empresas e vítimas de golpes digitais podem contar com uma análise especializada para entender seus direitos e buscar as providências adequadas diante do problema. O Dr. Jonatas Lucena é advogado especializado em Direito Digital e crimes virtuais, com atuação em casos envolvendo phishing, fraudes online, vazamento de dados e outros incidentes digitais.
Perguntas frequentes sobre phishing
O que é phishing em termos simples? É um golpe digital em que o criminoso se passa por alguém confiável para enganar a vítima e obter dados pessoais ou financeiros.
O que fazer se eu clicar em um link de phishing? Troque imediatamente as senhas relacionadas, ative a autenticação de dois fatores, avise a equipe de segurança da empresa (se aplicável) e monitore contas e transações nos dias seguintes.
Uma empresa pode ser responsabilizada por um ataque de phishing?
Sim. Se o ataque resultar em vazamento de dados pessoais e ficar demonstrado que a empresa não adotou medidas adequadas de proteção, ela poderá enfrentar consequências previstas na LGPD, além de eventual responsabilização civil.
