O e-mail chegou dentro de uma conversa que já durava três semanas: mesmo assunto, mesmo histórico abaixo, mesma assinatura do contato do fornecedor. Só o anexo era diferente — um boleto atualizado, “por conta de uma troca de banco”. O financeiro pagou R$ 68 mil e só descobriu o golpe onze dias depois, quando o fornecedor de verdade cobrou. Não houve invasão de servidor, nem vírus, nem senha quebrada: houve uma conversa legítima sequestrada. É esse o rosto do phishing em 2026, e ele mira a pequena e média empresa porque ali o pagamento passa por duas pessoas, não por um comitê.
Os números mostram um crime que ficou paciente
O relatório anual do IC3/FBI referente a 2025 registrou US$ 3,046 bilhões em perdas com BEC (Business Email Compromise, o comprometimento de e-mail corporativo) a partir de apenas 24.768 queixas — cerca de US$ 123 mil por ocorrência. Não é o golpe de volume que rende centavos, é o golpe cirúrgico montado sobre uma relação comercial real.
O Verizon DBIR 2026 completa o quadro: o elemento humano apareceu em 62% das violações e a engenharia social foi o terceiro padrão mais comum, com 16% dos casos. Enquanto a empresa bloqueia o que entra pela rede, o invasor entra pela porta da frente, convidado por quem acreditou no remetente.
Da isca genérica ao sequestro de conversa
O phishing que a maioria aprendeu a reconhecer — erro de português, domínio estranho, urgência exagerada — virou a categoria de baixo desempenho. O que dá prejuízo hoje é o thread hijacking: o criminoso compromete a caixa de um fornecedor ou de um contador, lê a correspondência em silêncio por semanas e só age no momento certo, respondendo dentro do encadeamento verdadeiro.
Não há nada a “identificar” nesse e-mail: o domínio é o certo, o histórico é real, a assinatura é a de sempre. O treinamento clássico de “olhe o remetente” falha porque o remetente está correto.
No Brasil, o alvo tem nome: o boleto e o Pix
A variação nacional ataca o ponto mais previsível do processo financeiro: o documento de cobrança. Criminosos interceptam a fatura legítima e devolvem uma cópia com o mesmo layout, logomarca e valor, trocando só o código de barras ou a chave Pix. É o equivalente digital a alguém abrir a sua caixa de correio, tirar a conta de luz e colocar outra idêntica com um código diferente.
E aqui o pagamento é instantâneo e irreversível. O relatório Scamscope, da ACI Worldwide com a GlobalData, projeta perdas com golpes envolvendo o Pix na casa de R$ 11 bilhões por ano até 2028, com o Brasil liderando o crescimento mundial de fraude em pagamentos em tempo real. Uma TED cancelada ainda tem chance de retorno; um Pix, praticamente nenhuma.
Quando a isca sai do e-mail
Duas mudanças recentes derrubam a defesa de quem só filtra mensagens. A primeira é o quishing, o phishing por QR Code: a Microsoft mediu um salto de 7,6 milhões para 18,7 milhões desses ataques entre janeiro e março de 2026, alta de cerca de 146%. O motivo é desconfortável — o gateway de e-mail lê links e anexos, mas não lê imagens. O código passa limpo, o funcionário aponta o celular pessoal e o roubo de credencial acontece fora do controle da empresa.
A segunda é o pretexting por telefone, destacado pelo DBIR 2026 pela primeira vez em linha própria: hoje 41% das violações por engenharia social usam um vetor que não é e-mail. Alguém liga para o suporte, se passa por um diretor em viagem e pede a redefinição de uma senha. Nenhum filtro intercepta essa ligação.
Os sinais que ainda entregam o golpe
- Mudança de dados bancários comunicada por e-mail, mesmo dentro de uma conversa antiga e legítima.
- Pressa com justificativa plausível: fechamento de mês, multa contratual, “o diretor está em reunião”.
- Pedido de sigilo — “não comente com a equipe até eu confirmar”.
- Quebra de canal: uma negociação que sempre correu por e-mail migra de repente para o WhatsApp.
- QR Code em cobrança, comprovante ou aviso de RH, dentro de uma imagem anexada.
Como proteger a sua empresa
1. Crie a regra da confirmação por fora do canal
Nenhuma alteração de dados bancários, chave Pix ou conta de destino entra em vigor sem uma ligação para um telefone já cadastrado — nunca o número que veio no e-mail. Escrita e obrigatória, essa regra sozinha derruba a maior parte dos casos de BEC. Defina também um teto de valor acima do qual são exigidas duas aprovações.
2. Feche o seu domínio com SPF, DKIM e DMARC
Publique os três registros e leve o DMARC até a política p=reject. Isso não impede que invadam a caixa de um fornecedor, mas impede que falsifiquem o seu domínio para golpear os seus clientes.
3. Exija MFA resistente a phishing nas contas críticas
Financeiro, diretoria e administradores de TI precisam de chaves FIDO2 ou passkeys. Códigos de seis dígitos por SMS são digitáveis em páginas falsas; chaves criptográficas, não.
4. Treine com simulação, não com palestra
A ISO/IEC 27001:2022 exige conscientização e treinamento contínuos no controle A.6.3 do Anexo A, e o Controle 14 do CIS Controls v8 pede o mesmo. Na prática: disparos simulados periódicos, com métrica de clique e reforço para quem cai, incluindo cenários de QR Code e de telefone.
5. Monitore a caixa de e-mail, não só a rede
Regras de encaminhamento automático criadas sem autorização são o sinal mais confiável de conta comprometida. Alerte sobre elas e revise logins de países atípicos.
Confiança precisa virar processo
O phishing deixou de ser problema de atenção individual e virou problema de desenho de processo. Enquanto o pagamento depender de alguém achar que o e-mail parece legítimo, a empresa aposta o caixa na intuição de quem estava com pressa. Com a confirmação por telefone obrigatória, o mesmo e-mail perfeito não funciona — a decisão não mora mais na caixa de entrada.
🔐 Na sua empresa, dá para mudar os dados bancários de um pagamento só com um e-mail? Fale com os especialistas da Trinity TI e monte as barreiras técnicas e de processo que matam o golpe antes do Pix.
