O que é phishing: como o ataque funciona e o que protege sua aplicação de verdade

Em 2025, um em cada três internautas brasileiros sofreu tentativa de golpe digital. O ataque evoluiu, mas os pontos de defesa na stack continuam os mesmos.

Um em cada três internautas brasileiros relatou ter sofrido tentativa de golpe envolvendo dados pessoais em 2025, segundo a pesquisa Privacidade e Proteção de Dados Pessoais do Cetic.br. O phishing responde por boa parte dessas tentativas: a lógica é simples, uma mensagem convincente, um link, uma credencial capturada. Centrais operadas por IA reduziram a barreira de entrada para esse tipo de ataque. O que muda para quem constrói aplicações é saber exatamente onde a defesa precisa estar.

O que é phishing e por que o Brasil concentra tantos ataques

O nome vem do inglês fishing, pescaria. A lógica é a mesma: a isca é preparada, a vítima morde e o que caiu na rede é coletado. Na prática, isso significa uma mensagem ou página construída para parecer legítima o suficiente para capturar credenciais, dados financeiros ou acesso a sistemas.

Aplicativos de mensagens lideram a distribuição no Brasil, citados em 84% dos casos relatados, segundo o Cetic.br. Ligações aparecem em 79% e sites ou aplicativos falsos em 71%.

Como funciona um ataque de phishing na prática

Tudo começa com reconhecimento: perfis públicos nas redes, e-mails corporativos expostos, dados de vazamentos anteriores. Com esse material em mãos, a mensagem ou página é construída para fazer sentido para a vítima específica.

[Inserir imagem — Alt: Fluxo de ataque phishing: reconhecimento, isca, captura, exploração]

Em aplicações web, o ataque se divide em três camadas:

Camada de autenticação

A credencial roubada de um único usuário pode comprometer toda uma organização. Um caso de 2024 ilustra bem: credenciais de servidores federais comprometidas por phishing deram acesso ao sistema de pagamentos do governo federal, segundo investigação da CNN Brasil.

Camada de domínio e SSL

Certificados de validação de domínio (DV) são emitidos em minutos por autoridades certificadoras gratuitas, sem verificação de identidade do solicitante. Uma página clonada com HTTPS válido vai ao ar em minutos, sem validação de identidade.

Camada de e-mail

Domínios quase idênticos ao original (typosquatting), spoofing de remetente e uso de plataformas legítimas como Google Forms e YouTube para distribuir links maliciosos. Spoofing via Google Forms, por exemplo, chega com domínio mail.google.com, sem alerta nos filtros tradicionais.

Tipos de phishing mais comuns

Os tipos variam pelo canal, pelo nível de segmentação e pelo grau de automação. A tabela abaixo organiza os mais relevantes para quem opera aplicações no Brasil:

Como reconhecer um ataque de phishing

Os sinais clássicos ainda valem: erros gramaticais, mensagens apelativas, tom incompatível com a suposta organização, pedidos inusitados de dados, domínio com typosquatting. O que mudou é que esses sinais ficaram mais raros nos ataques bem executados.

Em 2025, pesquisadores de segurança registraram ataques em que serviços de Link Protection foram manipulados para fazer links maliciosos parecerem seguros para filtros automáticos. QR Codes em anexos PDF substituíram links diretos no corpo do e-mail para contornar scanners. Correspondência BEC com histórico de mensagens fabricado faz o e-mail falso parecer continuidade de uma conversa real.

A detecção manual tem menos eficácia nos ataques mais elaborados. O controle técnico na aplicação é o que sustenta a defesa quando o reconhecimento visual não é suficiente.

Como se proteger de phishing: o que você implementa na stack

A defesa distribui controles em camadas. A tabela abaixo mapeia cada uma, o controle recomendado e os limites de cada abordagem:

Autenticação: Credenciais vazadas em outros serviços são reutilizadas automaticamente contra sua aplicação. Senha forte resolve força bruta; não resolve reuso. Um segundo fator de autenticação já reduz esse risco; os mais robustos, como WebAuthn e passkeys, não transmitem segredo pelo canal de rede e não podem ser interceptados no caminho.

Configuração de domínio: Configure DMARC em modo reject com DKIM e SPF, três registros DNS que, juntos, bloqueiam a maior parte das tentativas de enviar e-mail falso usando o seu domínio como remetente. Monitore variações do seu domínio (typosquatting) com ferramentas de CT log ou serviços de brand monitoring.

Headers de segurança: Content-Security-Policy define de onde scripts podem ser carregados, reduzindo a superfície de ataques de injeção que alimentam páginas clonadas. X-Frame-Options impede que seu site seja embutido em páginas fraudulentas (clickjacking). HSTS garante que o browser só aceite conexão HTTPS com o seu domínio, sem possibilidade de downgrade.

Monitoramento de e-mail: No DMARC, a diferença entre modo none e modo reject é a diferença entre observar e bloquear. Revise os relatórios regularmente para identificar servidores não autorizados enviando em nome do seu domínio.

[Inserir imagem — Alt: Diagrama de configuração DMARC, DKIM e SPF para domínio corporativo]

Phishing e certificado SSL: o que ele resolve e o que não resolve

O certificado SSL garante criptografia em trânsito e autenticação do servidor para o browser. Protege contra interceptação de tráfego e confirma que o usuário está se comunicando com o servidor que você controla.

O que ele não resolve: um domínio como seusite-seguro.com.br recebe um certificado básico de validação de domínio e sustenta uma página idêntica à sua com HTTPS válido. O cadeado aparece. Quem não verifica o domínio completo não percebe a diferença.

A proteção real combina configuração correta do seu lado (HSTS, monitoramento de CT logs, DMARC) com controles que tornam a credencial roubada inútil mesmo quando o phishing funciona. MFA resistente a phishing fecha esse ciclo.

Os planos de Certificado SSL da Locaweb incluem suporte para configuração e monitoramento de validade. O Servidor VPS e o Locaweb Cloud entregam controle total sobre o ambiente de produção, sem as restrições de ambientes compartilhados.

Para aprofundar a defesa da aplicação: WAF: proteção contra ameaças na camada de aplicação, segurança digital para pequenas empresas e SSL grátis: o que cobre e o que não cobre.

FONTES VERIFICADAS

Cetic.br — Privacidade e Proteção de Dados Pessoais 2025: cetic.br/pt/pesquisa/privacidade-e-protecao-de-dados-pessoais/

Cetic.br — Nota à imprensa (31/08/2026): cetic.br/noticia/um-em-cada-tres-usuarios-de-internet-no-brasil-relatou-sofrer-tentativa-de-golpe-com-uso-de-seus-dados-pessoais-aponta-cetic-br/

CNN Brasil — Caso Siafi, abr/2024: cnnbrasil.com.br/politica/caso-siaf-governo-estima-desvios-de-r-35-milhoes-e-200-tentativas-de-pagamentos-ilegais/

Links internos Locaweb verificados em set/2026: WAF, segurança digital PMEs, SSL grátis

FAQ – Perguntas frequentes sobre phishing

O que é phishing?

Phishing é engenharia social com link. O criminoso não força entrada: cria uma mensagem ou página convincente o suficiente para que a própria vítima entregue a credencial. O nome vem do inglês fishing, pescaria.

Por que o Brasil é um dos países mais afetados por phishing?

Em 2025, um em cada três internautas brasileiros relatou ter sofrido tentativa de golpe envolvendo dados pessoais, segundo o Cetic.br. Outros 20% afirmaram ter sido vítimas efetivas. A combinação entre alta conectividade e baixa maturidade em segurança digital cria um ambiente favorável para ataques em escala.

HTTPS garante que um site é seguro?

Não. O cadeado confirma criptografia em trânsito e posse de domínio, não a identidade ou a intenção do operador. Certificados de validação de domínio são emitidos em minutos sem verificação de identidade, o que permite montar uma página clonada com HTTPS válido. Verificar o domínio completo na barra de endereço é mais confiável do que verificar o cadeado.

Qual a diferença entre phishing, spear phishing e whaling?

Phishing é genérico, enviado em massa sem segmentação. Spear phishing é direcionado a uma empresa ou pessoa específica, usando dados de OSINT para construir contexto convincente. Whaling é spear phishing com foco em C-level, buscando acesso a sistemas financeiros ou repositórios de dados sensíveis.

O que um desenvolvedor pode implementar para reduzir o risco de phishing?

As defesas mais eficazes na camada de aplicação são: autenticação multifator resistente a phishing (WebAuthn/passkeys), DMARC em modo reject com DKIM e SPF, headers de segurança HTTP (CSP, HSTS, X-Frame-Options), rate limiting em endpoints de autenticação e monitoramento de typosquatting do domínio.