Durante muitos anos, falar sobre phishing significava praticamente falar sobre e-mail. Os atacantes enviavam uma mensagem, tentavam convencer a vítima a clicar em um link ou abrir um arquivo e, a partir daí, iniciavam o comprometimento. Como consequência, grande parte das tecnologias de proteção e dos programas de conscientização também se desenvolveu ao redor desse canal.
O problema é que os atacantes não precisam permanecer no e-mail.
Hoje, uma tentativa de engenharia social pode começar em uma mensagem SMS, utilizar um QR Code para levar o usuário até uma página maliciosa e terminar com uma ligação telefônica do suposto suporte técnico tentando convencer a vítima a concluir uma determinada ação. Quando analisamos cada uma dessas interações separadamente, podemos enxergar Smishing, Quishing e Vishing como ataques diferentes. Quando observamos a cadeia completa, percebemos algo mais importante: o ataque está se tornando multicanal.
Essa mudança cria novos desafios porque os controles utilizados para proteger um canal nem sempre acompanham o usuário quando a interação migra para outro.
Phishing é, antes de tudo, uma técnica de engenharia social. O canal utilizado para entregar a fraude é apenas uma parte do ataque.
A CISA, agência de cibersegurança dos Estados Unidos, diferencia algumas dessas modalidades de forma bastante objetiva. Spear phishing utiliza mensagens direcionadas a indivíduos específicos, Vishing utiliza comunicação por voz e Smishing utiliza mensagens de texto. O objetivo, porém, continua semelhante: induzir uma pessoa a confiar em uma comunicação fraudulenta e realizar alguma ação que beneficie o atacante.
Isso significa que o modelo mental utilizado durante anos precisa ser ampliado. Não estamos mais protegendo apenas uma caixa de entrada. Estamos tentando proteger uma pessoa que transita continuamente entre diferentes canais, dispositivos e contextos.
É justamente essa movimentação que os atacantes aprenderam a explorar.
O Quishing é uma modalidade de phishing que utiliza QR Codes para direcionar a vítima para um destino controlado pelo atacante. A técnica parece simples, mas possui algumas características que a tornam particularmente interessante para os criminosos.
Em um phishing tradicional, o link está normalmente presente no corpo da mensagem. Isso permite que diferentes mecanismos de segurança analisem o domínio, a reputação da URL e outros elementos antes mesmo de o usuário receber o conteúdo.
Com um QR Code, o endereço está codificado dentro de uma imagem. Embora as soluções modernas de segurança já consigam analisar esse tipo de conteúdo, o atacante muda a forma como o link é apresentado e adiciona uma etapa à cadeia.
Mais importante ainda é o que acontece depois.
Imagine que o usuário receba um e-mail corporativo contendo um QR Code para uma suposta atualização de autenticação. Ele abre a câmera do smartphone e faz a leitura. A partir desse momento, a interação que começou no computador corporativo pode continuar em outro dispositivo, outro navegador e até mesmo outra rede.
A Microsoft destaca exatamente essa característica ao explicar que criminosos utilizam QR Codes para tentar contornar mecanismos tradicionais de proteção de e-mail e direcionar vítimas para páginas de phishing em dispositivos móveis não gerenciados.
Na prática, podemos ter uma sequência como:
**e-mail corporativo → QR Code → smartphone → navegador móvel → página falsa → credencial**
A mudança de dispositivo pode retirar a vítima de parte dos controles que estavam protegendo sua interação original.
Esse não é um problema apenas teórico. Dados publicados pela Microsoft sobre o cenário de ameaças de e-mail no primeiro trimestre de 2026 mostraram que o volume de ataques de phishing com QR Code passou de 7,6 milhões em janeiro para 18,7 milhões em março, um crescimento de 146% no trimestre.
Smishing utiliza SMS ou outras formas de mensagem de texto como ponto inicial da engenharia social.
O atacante pode se passar por um banco, serviço de entrega, fornecedor, executivo ou até mesmo por uma área interna da empresa. A mensagem normalmente procura criar urgência e direcionar a vítima para um link ou para uma nova interação.
Do ponto de vista técnico, existe uma diferença importante em relação ao e-mail corporativo: o SMS normalmente está fora da infraestrutura de segurança da empresa.
A organização pode possuir proteção avançada de e-mail, sandbox, análise de URLs, autenticação, políticas de anexos e diversas outras camadas de controle. Nada disso significa necessariamente que uma mensagem recebida no número pessoal do colaborador será analisada pelas mesmas tecnologias.
Além disso, a tela menor dos smartphones reduz a quantidade de contexto disponível para o usuário. Endereços completos, informações sobre remetentes e outros sinais que poderiam gerar desconfiança podem ficar menos evidentes.
O FBI tem alertado para campanhas nas quais criminosos utilizam mensagens de texto para iniciar contato, construir confiança e depois mover a conversa para outras plataformas. Essa transição é particularmente importante porque demonstra que o SMS pode ser apenas o primeiro passo da cadeia.
O Vishing utiliza comunicação por voz como mecanismo de engenharia social. A técnica não é nova, mas ganhou uma nova dimensão com a evolução das tecnologias de inteligência artificial e clonagem de voz.
O atacante pode se apresentar como integrante do suporte técnico, funcionário de um banco, fornecedor ou executivo da própria organização. Em vez de pedir diretamente uma senha, pode orientar a vítima durante um suposto procedimento legítimo.
Esse detalhe faz diferença.
Em muitos ataques modernos, o criminoso não precisa roubar tecnicamente uma credencial. Ele pode convencer o próprio usuário a realizar uma ação legítima que concede acesso ao atacante.
Um exemplo bastante concreto apareceu em campanhas investigadas pelo FBI envolvendo comprometimento de ambientes Salesforce. Os atacantes ligavam para funcionários se passando por profissionais de suporte de TI e, sob o pretexto de resolver problemas técnicos, convenciam as vítimas a executar ações que concediam acesso ou permitiam o comprometimento de credenciais.
Do ponto de vista dos sistemas, várias dessas ações podem parecer legítimas porque são executadas pelo próprio usuário autenticado.
É exatamente aí que a engenharia social encontra uma das limitações naturais dos controles tecnológicos.
[](#fale-com-especialista)
A evolução da inteligência artificial adiciona outra camada ao Vishing.
Clonagem de voz e conteúdo sintético permitem criar interações cada vez mais convincentes. O atacante já não precisa necessariamente possuir uma voz parecida com a do executivo que deseja personificar. O FBI alertou em 2025 para campanhas que utilizaram mensagens de texto e mensagens de voz geradas por inteligência artificial para se passar por autoridades e construir relacionamento com as vítimas antes de direcioná-las para outras plataformas.
Isso cria uma mudança importante na recomendação tradicional de segurança. Durante anos, ouvir a voz de alguém conhecido poderia funcionar como um elemento de validação. Essa confiança precisa ser revista.
A identidade da pessoa não pode mais ser validada apenas porque sua voz parece correta.
Embora Quishing, Smishing e Vishing possam ser utilizados isoladamente, o cenário mais interessante do ponto de vista de segurança aparece quando os atacantes começam a combiná-los.
Imagine uma sequência possível.
Um colaborador recebe uma mensagem pelo Microsoft Teams de alguém se apresentando como suporte técnico. O suposto profissional explica que existe um problema de autenticação e pede que o usuário escaneie um QR Code para registrar novamente seu dispositivo. O código direciona para uma página controlada pelo atacante.
Poucos minutos depois, o usuário recebe uma ligação. A pessoa do outro lado conhece seu nome, empresa e função e afirma estar acompanhando o chamado. Durante a conversa, orienta a vítima a concluir o processo de autenticação.
O ataque começou em uma plataforma corporativa, passou por um QR Code, migrou para o smartphone e terminou por voz. Analisar apenas um desses eventos dificilmente conta toda a história.
É por isso que a engenharia social multicanal representa um desafio tão interessante para as arquiteturas modernas de segurança.
A primeira consequência dessa evolução é que as organizações não podem concentrar toda sua estratégia de proteção no gateway de e-mail. Proteção moderna exige múltiplas camadas.
No ambiente de e-mail, soluções capazes de analisar imagens, QR Codes, URLs, anexos e padrões de comportamento continuam sendo fundamentais. Em dispositivos móveis, gerenciamento corporativo, proteção de navegador e controles de acesso ajudam a reduzir a superfície de ataque. Sistemas de identidade podem identificar autenticações anômalas, dispositivos desconhecidos e mudanças inesperadas de contexto.
A autenticação também precisa evoluir. MFA continua sendo fundamental, mas mecanismos resistentes a phishing, como autenticação baseada em FIDO2 e passkeys, reduzem a dependência de credenciais que podem ser capturadas ou códigos que podem ser fornecidos durante uma interação de engenharia social.
Ainda assim, nenhuma dessas camadas elimina completamente o problema. Quando um atacante consegue convencer uma pessoa autenticada a executar uma ação legítima, o contexto humano continua sendo decisivo.
Existe uma prática simples que ganha enorme importância nesse cenário: validar solicitações utilizando um canal independente.
Se alguém entra em contato por SMS afirmando ser um executivo, a validação não deveria acontecer respondendo ao mesmo número. Se uma pessoa liga dizendo pertencer ao suporte técnico, o usuário deveria poder encerrar a ligação e procurar o canal oficial de suporte. Se uma mensagem solicita uma transação financeira incomum, o processo precisa prever uma confirmação independente.
O FBI recomenda justamente que contatos inesperados sejam validados por meios previamente conhecidos, especialmente quando a comunicação surge de um novo número ou plataforma.
Do ponto de vista técnico, isso significa desenhar processos corporativos que suportem essa verificação. Não adianta orientar o usuário a confirmar uma solicitação se ele não sabe qual é o canal oficial ou se a pressão operacional incentiva a ignorar o procedimento.
Talvez a principal evolução necessária esteja na correlação. Um QR Code identificado em um e-mail pode representar um sinal. Uma autenticação originada de um dispositivo novo representa outro. Uma alteração de MFA pode ser um terceiro. Individualmente, esses eventos podem não atingir um nível de severidade suficiente para gerar uma resposta.
Quando acontecem em sequência e associados à mesma identidade, a história muda.
Essa é uma lógica que as equipes de segurança já utilizam há bastante tempo ao correlacionar eventos tecnológicos. O desafio agora é incorporar também sinais provenientes das interações humanas. Em outras palavras, precisamos deixar de perguntar apenas “este evento é malicioso?” e começar a perguntar “o que essa sequência de eventos está tentando nos contar?”.
Quishing, Smishing e Vishing não representam o fim do phishing por e-mail. O e-mail continuará sendo um vetor extremamente relevante e continuará exigindo investimentos em proteção. O que mudou é a quantidade de caminhos disponíveis para chegar até uma pessoa.
Os atacantes podem começar em uma caixa de entrada, continuar no smartphone, migrar para uma plataforma de colaboração e terminar em uma ligação. Também podem fazer exatamente o caminho inverso. Isso significa que proteger apenas o canal não será suficiente.
Precisamos proteger identidades, dispositivos, dados e processos, correlacionar sinais entre diferentes tecnologias e criar mecanismos que dificultem ações críticas mesmo quando o atacante consegue estabelecer contato com a vítima.
E existe uma última camada que nenhuma dessas tecnologias consegue substituir completamente: a capacidade do usuário de perceber que alguma coisa não faz sentido e interromper a interação.
No final, o canal utilizado pelo atacante pode mudar continuamente. A técnica central permanece a mesma: criar confiança suficiente para fazer uma pessoa tomar uma decisão que normalmente não tomaria.
É por isso que compreender a engenharia social como uma cadeia multicanal, e não apenas como uma coleção de golpes diferentes, será cada vez mais importante para as equipes de segurança.