Durante muitos anos, ensinar alguém a identificar phishing significava basicamente ensiná-lo a desconfiar de e-mails. Verifique o remetente, passe o mouse sobre o link, observe erros de português, desconfie de anexos inesperados e tenha cuidado com mensagens que criam senso de urgência. Essas recomendações fizeram sentido durante muito tempo e continuam sendo importantes, mas existe um problema: os criminosos já não dependem exclusivamente do e-mail para chegar até as pessoas.
A engenharia social está se espalhando pelos mesmos canais que utilizamos diariamente para trabalhar, conversar, fazer pagamentos e manter relacionamentos profissionais. Microsoft Teams, WhatsApp, SMS, LinkedIn, QR Codes, chamadas telefônicas e videoconferências passaram a fazer parte de um ambiente no qual os limites entre comunicação pessoal e corporativa são cada vez menos claros.
Isso muda significativamente a discussão sobre conscientização. Se continuarmos preparando as pessoas apenas para reconhecer um e-mail falso, estaremos treinando nossos colaboradores para uma versão do problema que já não representa toda a realidade.
O futuro do phishing não será necessariamente sem e-mail. O e-mail continuará sendo um dos principais vetores de ataque durante muito tempo. A questão é que o phishing já não precisa mais dele.
Existe uma confusão bastante comum quando falamos sobre phishing. Frequentemente tratamos o e-mail como se ele fosse o próprio ataque, quando na realidade ele é apenas o canal utilizado para entregar uma tentativa de engenharia social. O verdadeiro objetivo do criminoso é influenciar uma decisão.
Pode ser convencer alguém a fornecer uma credencial, aprovar uma autenticação, realizar um pagamento, compartilhar uma informação confidencial, instalar um software ou conceder acesso remoto ao computador.
Se o atacante conseguir provocar essa decisão por WhatsApp, telefone ou Microsoft Teams, o resultado será exatamente o mesmo.
Essa percepção ajuda a entender por que estamos vendo uma diversificação tão grande dos vetores de engenharia social. À medida que as empresas melhoraram seus filtros de e-mail e os usuários ficaram mais atentos ao phishing tradicional, os criminosos começaram naturalmente a explorar outros ambientes onde existe menos desconfiança.
Quando recebemos um e-mail inesperado pedindo nossa senha, muitos de nós já sabemos que existe alguma coisa errada. Anos de campanhas de conscientização ajudaram a criar esse comportamento. Mas o que acontece quando a mesma solicitação chega pelo Teams?
Uma mensagem dentro de uma ferramenta corporativa carrega uma percepção diferente. Estamos acostumados a utilizar aquele ambiente para conversar com colegas, gestores, fornecedores e parceiros. Existe uma sensação implícita de que estamos dentro de um espaço controlado pela empresa e, portanto, seguro. Os criminosos aprenderam a explorar justamente essa confiança.
O mesmo acontece com o WhatsApp. No Brasil, a ferramenta ultrapassou há muito tempo a comunicação pessoal e passou a fazer parte das relações profissionais. Clientes, fornecedores, colegas e até gestores conversam diariamente por ela. Uma mensagem que parece vir de alguém conhecido encontra, portanto, um ambiente onde a barreira inicial de desconfiança pode ser muito menor.
O canal muda. O mecanismo psicológico permanece.
QR Codes representam outro exemplo interessante dessa transformação. Durante anos ensinamos usuários a observar links antes de clicar. O problema é que, diante de um QR Code, o link simplesmente desaparece da experiência inicial.
A pessoa vê uma imagem. Ela aponta o celular, faz a leitura e segue para o destino indicado. Essa pequena mudança tem consequências importantes porque a interação pode começar em um computador corporativo e continuar em um smartphone pessoal, possivelmente fora de parte dos controles implementados pela organização.
O crescimento desse tipo de ataque já aparece nas estatísticas. A Microsoft reportou que o volume de phishing utilizando QR Codes cresceu 146% apenas no primeiro trimestre de 2026, passando de 7,6 milhões de mensagens identificadas em janeiro para 18,7 milhões em março.
Mais importante do que o número, porém, é compreender o comportamento explorado. O criminoso encontrou uma maneira diferente de apresentar exatamente a mesma decisão ao usuário.
Existe outra mudança que considero ainda mais relevante. Durante muito tempo, quando existia dúvida sobre uma mensagem, uma das recomendações mais simples era ligar para a pessoa e confirmar.
Essa prática continua válida, desde que a confirmação seja realizada por um canal independente e previamente conhecido. O que mudou é que simplesmente reconhecer uma voz já não deveria ser suficiente para validar uma identidade.
Ferramentas de inteligência artificial tornaram a clonagem de voz significativamente mais acessível. O FBI já alertou sobre campanhas nas quais criminosos utilizaram mensagens de voz geradas por IA e textos para se passar por autoridades, construir confiança e levar vítimas para outros canais de comunicação.
Isso altera uma referência que sempre consideramos extremamente confiável: “eu conheço essa pessoa, reconheço sua voz”. À medida que áudio, imagem e vídeo sintéticos evoluem, a aparência de legitimidade será cada vez menos suficiente para confirmar quem está do outro lado.
Talvez a mudança mais importante seja perceber que esses vetores não precisam funcionar isoladamente.
Imagine um colaborador que recebe uma mensagem pelo Teams de alguém que afirma fazer parte do suporte técnico. A pessoa conhece o nome da empresa, utiliza uma linguagem perfeitamente compatível com o ambiente corporativo e informa que existe um problema com sua autenticação.
Durante a conversa, envia um QR Code para que o usuário faça uma suposta atualização no celular. Poucos minutos depois, uma ligação é realizada para “ajudá-lo” a concluir o procedimento.
O usuário passou por Teams, QR Code, navegador móvel e telefone dentro da mesma tentativa de fraude.
Para a vítima, tudo faz parte de uma única experiência.
Para a segurança, porém, cada pedaço pode estar sendo observado por uma tecnologia diferente. Esse é um dos grandes desafios da engenharia social multicanal. Os criminosos enxergam a pessoa. Nós ainda tendemos a enxergar os canais.
Essa transformação também deveria provocar uma reflexão sobre nossos programas de conscientização.
Durante muito tempo organizamos os conteúdos de acordo com as tecnologias utilizadas pelos atacantes. Criamos treinamento de phishing, treinamento de WhatsApp, orientação sobre QR Code e materiais sobre chamadas telefônicas.
Existe valor nessa abordagem, principalmente quando precisamos explicar características específicas de cada ataque. Mas ela pode produzir um efeito colateral: fazer com que o usuário procure sinais técnicos em vez de compreender a manipulação que está acontecendo. Talvez seja hora de inverter essa lógica.
Em vez de ensinar apenas “como reconhecer um e-mail de phishing”, precisamos ensinar as pessoas a identificar comportamentos de manipulação:
Por que essa pessoa está criando urgência?
Por que está pedindo para ignorar um processo conhecido?
Por que preciso fornecer essa informação?
Por que essa solicitação mudou repentinamente de canal?
Por que estou sendo pressionado a agir antes de confirmar?
Essas perguntas continuam válidas independentemente de a comunicação chegar por e-mail, WhatsApp, Teams, telefone ou qualquer tecnologia que ainda venha a surgir.
[](#fale-com-especialista)
Existe também um equilíbrio importante nessa discussão. Não podemos transformar o ambiente de trabalho em um lugar onde todos precisam desconfiar permanentemente de tudo e de todos. Isso seria improdutivo e provavelmente inviável.
O comportamento que precisamos desenvolver é outro: **verificação diante de situações que fogem do padrão esperado**.
Uma solicitação financeira incomum deve possuir um mecanismo independente de confirmação. Uma ligação do suporte pedindo uma ação sensível deve poder ser validada por um canal oficial. Uma alteração de dados bancários de fornecedor precisa seguir um processo que não dependa apenas da mensagem recebida.
Quando os processos são desenhados dessa maneira, deixamos de colocar toda a responsabilidade sobre a capacidade individual de alguém perceber uma fraude. Criamos barreiras organizacionais que ajudam a pessoa a tomar a decisão correta.
Nada disso significa que controles técnicos perderam importância. Pelo contrário. Proteção de e-mail, segurança de endpoints, autenticação resistente a phishing, gestão de dispositivos móveis, monitoramento de identidade e mecanismos de detecção continuam sendo fundamentais para reduzir a superfície de ataque.
O problema está em acreditar que algum desses controles, isoladamente, conseguirá impedir toda forma de engenharia social.
A própria evolução dos ataques mostra que os criminosos procuram constantemente o caminho onde existe menor resistência. Se o e-mail está mais protegido, migram para outro canal. Se a autenticação está mais forte, tentam convencer a própria vítima a realizar uma ação legítima. Segurança precisa acompanhar essa movimentação.
É justamente aqui que a discussão se conecta com Human Risk Management.
Se tratarmos phishing apenas como um problema de e-mail, nossa principal métrica provavelmente continuará sendo a taxa de clique. Mas quando compreendemos engenharia social como um problema relacionado a confiança, comportamento, exposição e contexto, a análise muda.
Um executivo altamente exposto publicamente pode ser alvo frequente de ataques direcionados. Um profissional financeiro possui capacidade de gerar impactos muito maiores diante de uma fraude. Uma pessoa que recebe dezenas de solicitações externas todos os dias enfrenta uma superfície de ataque diferente daquela encontrada por alguém que trabalha exclusivamente com equipes internas.
O risco não está apenas na capacidade de reconhecer um link malicioso. Está na combinação entre quem é aquela pessoa, como trabalha, quais decisões pode tomar, a quais ataques está exposta e quais seriam as consequências de um comprometimento. Essa é uma visão muito mais ampla do problema.
Continuaremos ensinando as pessoas a reconhecer phishing por e-mail. Continuaremos realizando simulações e mostrando como links, anexos e remetentes podem ser manipulados. Mas isso já não será suficiente.
Precisamos preparar os colaboradores para um ambiente onde mensagens legítimas e fraudulentas circulam pelos mesmos canais, onde uma interação pode começar no computador e terminar no celular e onde voz e imagem já não são provas suficientes de identidade.
A principal competência que precisaremos desenvolver não será decorar sinais específicos de cada tecnologia. Será reconhecer quando uma situação está tentando manipular uma decisão e saber como verificá-la antes de agir.
O e-mail não está desaparecendo, assim como o phishing também não está.
O que está desaparecendo é a ideia de que os dois significam a mesma coisa. A engenharia social se tornou multicanal. E quanto mais cedo nossas estratégias de segurança, nossos processos e nossas pessoas compreenderem essa mudança, mais preparados estaremos para uma geração de ataques que não precisa mais escolher por qual porta entrar.