A IA eliminou os erros que denunciavam o phishing e acrescentou voz, vídeo e personalização em escala, o que torna os golpes muito mais convincentes. A melhor defesa combina treino curto e frequente, simulações em vários canais, processos de verificação que não dependem da intuição e tecnologia como MFA resistente a phishing.
Por muito tempo, a orientação contra phishing foi simples: desconfie de mensagens com erros de português, saudações genéricas e logotipos borrados. Essa dica envelheceu. Ferramentas de IA generativa escrevem textos impecáveis, imitam o estilo de um colega e traduzem golpes para qualquer idioma em segundos.
O golpe também saiu do e-mail. Hoje ele chega por WhatsApp, SMS, ligação telefônica e até videochamada, com voz e rosto sintéticos. A pergunta deixou de ser se a mensagem parece falsa e passou a ser como confirmar que ela é verdadeira.
O que mudou com a IA
- Texto sem falhas. Gramática, tom e vocabulário corporativo deixaram de denunciar o golpe.
- Personalização em escala. Informações públicas de redes sociais e sites institucionais viram mensagens sob medida para cada alvo.
- Voz e vídeo falsos. Amostras curtas de áudio já permitem clonar uma voz de forma convincente, e deepfakes simulam executivos em chamadas.
- Conversas longas. O golpista mantém o diálogo, responde dúvidas e ganha confiança antes do pedido final.
- Vários canais ao mesmo tempo. Um e-mail anuncia a ligação, a ligação confirma o e-mail e a pressão aumenta.
Um cenário hipotético, mas cada vez mais comum: a analista do financeiro recebe um e-mail do diretor, no tom habitual dele, pedindo sigilo sobre uma aquisição. Minutos depois, chega uma mensagem de áudio com a mesma voz confirmando o pedido e informando a conta para um pagamento urgente. Nada no texto ou no áudio parece estranho. O que denuncia o golpe é o processo: um pagamento fora do fluxo, com pressa e sem segunda aprovação.
Phishing tradicional
- Texto genérico, com erros
- Mesmo modelo enviado a milhares de pessoas
- Quase sempre por e-mail
- Pedido direto e imediato
- Identificável por sinais visuais
Phishing com IA
- Texto fluente, no tom da organização
- Mensagem personalizada para cada alvo
- E-mail, mensagem, ligação e vídeo
- Conversa construída ao longo de dias
- Identificável, na prática, só por verificação de processo
O que os números mostram
Os relatórios mais recentes confirmam que a IA já faz parte do arsenal dos criminosos e que canais além do e-mail ganharam força.
No Brasil, o estudo da IBM aponta o phishing, incluindo golpes por voz e SMS, como vetor inicial de 16% das violações analisadas em 2026, empatado com o comprometimento da cadeia de suprimentos.
Por que o treinamento tradicional não basta
O vídeo anual longo, com uma prova no final, cumpre tabela, mas muda pouco o comportamento. Três problemas explicam isso:
- Ensina a procurar erros que não existem mais. Se o golpe é impecável, caçar falhas de digitação dá falsa segurança.
- É raro demais. O que se aprende uma vez por ano é esquecido em semanas.
- Pune em vez de ensinar. Quando clicar gera constrangimento, as pessoas deixam de reportar, e o reporte rápido é uma das defesas mais valiosas.
Como preparar as pessoas
Treino curto e frequente
Conteúdos de poucos minutos, distribuídos ao longo do ano, com exemplos reais do setor da organização. Desafios por equipe e outros elementos de gamificação ajudam a manter o engajamento.
Simulações realistas e em vários canais
Inclua mensagens bem escritas, SMS, WhatsApp e ligações simuladas. O objetivo não é pegar ninguém, e sim treinar o reflexo de parar e verificar.
Processos que não dependem de intuição
A principal defesa contra um golpe perfeito é um processo que exige confirmação. Pedidos de pagamento, troca de conta bancária, redefinição de senha ou envio de dados sensíveis devem seguir sempre o mesmo protocolo, não importa quem peça.
- Confirmar o pedido por um canal diferente do usado no contato, com um número já conhecido
- Desconfiar de urgência, sigilo e pedidos para pular etapas
- Exigir dupla aprovação para pagamentos e alteração de dados bancários
- Usar uma palavra-código combinada para pedidos feitos por voz ou vídeo
- Nunca informar códigos de MFA, senhas ou tokens por telefone ou mensagem
- Reportar a tentativa à equipe de segurança, mesmo sem ter caído no golpe
Atenção aos perfis mais visados
Financeiro, recursos humanos, compras, suporte técnico e executivos recebem pedidos de maior valor e merecem trilhas específicas. O suporte técnico, em especial, é alvo de golpes que pedem redefinição de senha ou de MFA em nome de outra pessoa.
Meça o que importa
A taxa de clique em simulações é só parte da história. Acompanhe também a taxa de reporte, o tempo até o primeiro reporte de uma campanha e a reincidência por área. Uma equipe que reporta rápido transforma cada tentativa em alerta para toda a organização e dá tempo para a segurança bloquear o remetente antes que outros caiam.
Tecnologia que apoia as pessoas
O treinamento funciona melhor quando a tecnologia reduz a quantidade de golpes que chegam e o estrago dos que passam.
- MFA resistente a phishing, como passkeys e chaves de segurança, que não podem ser repassadas por telefone.
- Autenticação de domínio com SPF, DKIM e DMARC, para dificultar o uso do nome da organização.
- Marcação de mensagens externas e filtros que analisam links e anexos no momento do clique.
- Botão de reporte no e-mail e um canal simples para mensagens suspeitas recebidas no celular.
- Política de uso de IA, já que ferramentas não aprovadas também expõem dados. Segundo a Verizon, o uso frequente de IA por funcionários saltou de 15% para 45% em um ano.
Nenhuma dessas camadas é infalível sozinha. Juntas, elas reduzem o volume de golpes que chegam às pessoas e limitam o dano quando alguém, inevitavelmente, se engana.
Próximos passos
Revise os processos de pagamento, alteração cadastral e redefinição de acesso antes de lançar qualquer campanha. Depois, acompanhe a taxa de reporte, e não apenas a de clique. A Midnal combina experiência em cibersegurança e em educação para estruturar programas de conscientização contínuos, com conteúdo prático e elementos de gamificação; conheça a abordagem em Educação e gamificação.
Perguntas frequentes
Como identificar um phishing feito com IA?
Pela aparência, muitas vezes não é possível. O sinal mais confiável é o contexto: urgência, sigilo, pedido para pular etapas ou mudança de dados bancários. Nesses casos, confirme por outro canal antes de agir.
Deepfake de voz é uma ameaça real para empresas?
Sim. O estudo da IBM de 2026 aponta a personificação por deepfake entre os usos mais comuns de IA em violações maliciosas. Palavra-código e confirmação por canal alternativo reduzem o risco.
Simulação de phishing não gera desconfiança na equipe?
Quando é transparente, educativa e sem punição, a simulação vira treino. O foco deve ser aumentar a taxa de reporte, e não expor quem clicou.
Com que frequência treinar contra phishing?
Conteúdos curtos ao longo de todo o ano funcionam melhor que um treinamento anual longo. Ciclos mensais com simulações periódicas são um bom ponto de partida.
