Darktrace identifica mais de 32 milhões de e-mails de phishing e expõe avanço das fraudes digitais
A empresa de cibersegurança Darktrace registrou a detecção de mais de 32 milhões de e-mails de phishing ao longo de 2025, um número que evidencia a escala e a persistência desse tipo de ataque no ecossistema digital. O dado reforça que, mesmo com o amadurecimento das tecnologias de proteção, campanhas baseadas em engenharia social continuam entre as principais armas do cibercrime para comprometer tanto usuários comuns quanto grandes organizações.
Phishing é, em essência, um golpe de confiança. As mensagens chegam à caixa de entrada com aparência legítima, muitas vezes copiando com precisão visual e textual comunicações de bancos, provedores de e‑mail, serviços de assinatura, lojas virtuais e até órgãos governamentais. A intenção é simples e direta: induzir o destinatário a clicar em um link malicioso, baixar um anexo contaminado ou entregar de forma voluntária dados sensíveis, como logins, senhas, códigos de autenticação ou informações financeiras.
O levantamento mostra que grande parte dessas campanhas não é mais amadora. Os golpistas utilizam técnicas refinadas de engenharia social para aumentar a taxa de sucesso, explorando emoções como medo, urgência, curiosidade e senso de obrigação. É comum que os e-mails tragam assuntos e textos do tipo “bloqueio de conta”, “pagamento em atraso”, “atualização obrigatória de cadastro” ou “nota fiscal disponível”, sempre com tom alarmista para forçar uma reação impulsiva do usuário.
Mensagens relacionadas à segurança de contas, faturas pendentes ou supostas tentativas de acesso indevido são especialmente efetivas. Ao colocar o usuário sob pressão de tempo – “responda em 10 minutos”, “sua conta será encerrada hoje”, “último aviso antes de multa” – os fraudadores reduzem as chances de reflexão crítica. Em muitos casos, o layout do e-mail, o logotipo da empresa e até a forma de escrita são tão bem elaborados que mesmo usuários experientes podem ser enganados.
O volume de mais de 32 milhões de mensagens maliciosas detectadas em um único ano por apenas uma empresa de segurança ilustra a dimensão do problema no ambiente corporativo. Cada e-mail que passa pelos filtros representa uma porta potencial de entrada para roubo de dados, sequestro de informações (ransomware), acesso não autorizado a sistemas internos ou movimentações financeiras fraudulentas. E basta um único clique desatento dentro da organização para comprometer toda a infraestrutura.
Embora soluções avançadas de filtragem, detecção baseada em comportamento e análise de conteúdo sejam hoje amplamente utilizadas, nenhuma barreira tecnológica é capaz de bloquear 100% dos ataques. Campanhas massivas, distribuídas por diferentes provedores e adaptadas em tempo real, ainda conseguem escapar dos mecanismos de proteção e atingir milhões de caixas de entrada. Os criminosos testam constantemente pequenas variações no texto, nos remetentes e nos links, buscando justamente contornar as regras dos filtros.
A automação desempenha papel central nesse crescimento. Ferramentas de disparo em massa permitem que um mesmo grupo de atacantes envie milhões de e-mails em poucos minutos, segmentando idiomas, regiões e perfis de vítimas. Kits de phishing, facilmente encontrados em mercados clandestinos, já vêm com páginas falsas prontas, modelos de e-mail, painéis de controle e até instruções de uso, tornando o crime acessível mesmo para pessoas com baixo conhecimento técnico.
Outro fator que amplia a superfície de ataque é a integração cada vez maior de ferramentas baseadas em inteligência artificial ao cotidiano das empresas. Plataformas de colaboração, assistentes virtuais, sistemas de atendimento automatizado e integrações entre diferentes aplicativos criam novos canais pelos quais mensagens maliciosas podem circular. Um e-mail de phishing que consiga se infiltrar em um desses ecossistemas pode se apresentar como uma notificação interna legítima, aumentando ainda mais o risco de engano.
Do lado dos atacantes, a IA também vem sendo usada para aprimorar fraudes. Textos em vários idiomas, com gramática correta e adaptados a contextos específicos, podem ser gerados em segundos. Isso reduz um dos sinais tradicionais do phishing – erros grosseiros de ortografia e tradução – e torna as mensagens mais convincentes. Em alguns cenários, os criminosos conseguem inclusive personalizar os e-mails com base em informações públicas da vítima, como cargo, empresa ou interesses, elevando o nível de sofisticação dos golpes.
Nesse cenário, a proteção não pode depender apenas de filtros automáticos. A conscientização dos usuários torna-se um dos pilares da defesa. Treinamentos periódicos de segurança, simulações de phishing e campanhas internas de comunicação ajudam a criar uma cultura de desconfiança saudável: verificar remetente real da mensagem, passar o mouse sobre links antes de clicar, desconfiar de pedidos urgentes que envolvam dinheiro ou alteração de senha e, em caso de dúvida, confirmar diretamente pelos canais oficiais da empresa citada.
Para as organizações, é fundamental adotar uma abordagem em camadas. Além de sistemas antispam e soluções de segurança baseadas em IA, políticas de acesso mínimo necessário, autenticação multifator, segmentação de rede e backups regulares reduzem os danos caso um ataque de phishing tenha sucesso. Se um funcionário for enganado e fornecer credenciais, por exemplo, a autenticação em múltiplos fatores pode impedir que o invasor faça login com essas informações roubadas.
A governança de e-mail também desempenha papel estratégico. Configurações corretas de SPF, DKIM e DMARC ajudam a diminuir a falsificação de domínios corporativos, tornando mais difícil para criminosos se passarem pela própria empresa em ataques contra funcionários, clientes e parceiros. Embora isso não elimine o phishing, reduz a eficácia de uma das formas mais perigosas de golpe: quando o remetente parece ser exatamente o e-mail corporativo de alguém conhecido.
Outro ponto crítico é a resposta a incidentes. Diante da suspeita de um e-mail de phishing, as equipes de TI e segurança precisam ter processos claros para análise, bloqueio de remetentes, atualização de filtros e comunicação rápida com todos os colaboradores. Quanto antes uma campanha for identificada internamente, menor a chance de que outros usuários caiam no golpe. Ferramentas de monitoramento contínuo e registro de atividades contribuem para rastrear possíveis impactos caso alguém tenha clicado no link ou informado credenciais.
Para o usuário comum, algumas boas práticas ajudam a reduzir drasticamente o risco: nunca inserir senhas ou dados pessoais a partir de um link recebido por e-mail, digitar manualmente o endereço do banco ou serviço no navegador, desconfiar de prêmios inesperados, cobranças desconhecidas e anexos inesperados, especialmente em formatos executáveis ou compactados. Sempre que uma mensagem mexer com emoções fortes – medo, pressa, ganho financeiro rápido – vale redobrar a atenção.
O dado revelado pela Darktrace não é apenas um número impressionante, mas um alerta sobre a maturidade atual do cibercrime. Phishing deixou de ser um golpe isolado e se consolidou como porta de entrada para diversos outros ataques mais complexos. No ambiente digital contemporâneo, a combinação de tecnologia avançada, processos bem definidos e educação constante dos usuários é o que separa empresas preparadas de alvos fáceis.
Em resumo, o crescimento explosivo das campanhas de phishing mostra que a batalha contra esse tipo de ameaça é contínua. À medida que as defesas evoluem, os atacantes também se sofisticam, explorando novas ferramentas, inclusive de IA, para tornar seus golpes mais críveis. Estar atento, adotar boas práticas e investir em segurança não é mais opcional: é condição básica para sobreviver em um mundo onde um e-mail aparentemente inocente pode desencadear um incidente de grandes proporções.