---
title: "O que é phishing? Tipos, sinais de alerta e proteção"
description: "Phishing é um golpe em que alguém se passa por um remetente confiável para obter sua senha, seu cartão, um código ou um clique. Tipos, sinais e o que fazer."
url: https://proxynet.io/pt-br/blog/what-is-phishing
date: 2026-11-12
author: "Acar Diveroli"
category: "Proxy 101"
lang: pt-BR
---

# O que é phishing? Tipos, sinais de alerta e proteção

Um SMS diz que uma encomenda não pôde ser entregue e pede uma pequena taxa para a nova entrega. O link abre uma página com as cores da transportadora e um formulário de cartão, e nada nela parece estranho. A ideia é justamente essa: a página pertence a alguém que quer o número do cartão, e a taxa nunca existiu.

Este artigo explica o que é phishing, como um ataque acontece, os principais tipos, os sinais que entregam uma mensagem, por que as chaves de acesso barram a maior parte desses golpes e o que fazer se você clicou. Ele foi escrito para quem recebe a mensagem; não há receita para atacantes aqui.

> **Nota: Resposta rápida**
>
> Phishing é um golpe em que alguém se passa por um remetente em quem você confia, como um banco, uma transportadora ou um colega, para obter sua senha, o número do seu cartão ou um código de uso único, ou para fazer você abrir um anexo nocivo ou clicar em um link. Ele chega por e-mail, SMS, ligação, mensagem em rede social ou QR code. Os sinais comuns são a pressão para agir rápido, um remetente ou um endereço de link que não pertence à organização e pedidos de códigos ou pagamentos. Se você digitou algo, troque a senha no site verdadeiro, encerre as outras sessões, ligue para o seu banco se informou dados do cartão e denuncie a mensagem. As chaves de acesso (passkeys) resistem ao phishing porque só funcionam no site para o qual foram criadas.

## O que é phishing?

Phishing é uma forma de engenharia social: o atacante não invade um sistema, mas convence uma pessoa a abrir a porta. O National Cyber Security Centre (NCSC) do Reino Unido o descreve como criminosos usando e-mails, mensagens de texto ou ligações fraudulentas para enganar suas vítimas; a CISA, agência de cibersegurança dos Estados Unidos, acrescenta que a isca costuma parecer vir de alguém em quem você confia.

A grafia brinca com "fishing", que em inglês significa pescar: a isca é lançada para muita gente, e o remetente espera alguém morder. O que ele quer fisgar é uma de quatro coisas: seus dados de login, os dados do seu cartão ou do seu banco, um código de uso único que conclui um login ou um clique que instala malware, um software feito para espionar ou danificar o seu dispositivo.

## Como funciona um ataque de phishing?

1. **Um pretexto.** O remetente escolhe uma história que combina com o momento: uma encomenda, uma restituição de imposto, uma conta bloqueada, uma fatura em aberto, um documento compartilhado.
1. **A isca é enviada.** Um e-mail, SMS ou mensagem direta traz um link, um anexo ou um número de telefone para ligar; numa ligação, a própria voz é a isca.
1. **O anzol.** O link abre a cópia de uma página real de login ou de pagamento, o anexo pede que você "habilite o conteúdo" ou quem liga pede que você leia o código que acabou de chegar.
1. **Os dados são capturados.** Tudo o que você digita vai para o remetente. Algumas páginas de phishing repassam o que você digita ao site real por meio de um proxy reverso, então o login parece funcionar enquanto o atacante fica com o cookie de sessão que o site devolve; [O que é session hijacking?](/pt-br/blog/what-is-session-hijacking) explica por que esse cookie sozinho abre a conta.
1. **Os dados são usados.** A senha é testada no site real e em outros, o cartão é cobrado ou a sua conta envia a mesma isca para os seus contatos.

## Quais tipos de phishing existem?

| Tipo | Como chega até você | O que pede |
|---|---|---|
| Phishing por e-mail | Um e-mail em massa | Login em uma página falsa, um anexo |
| Spear phishing | Uma mensagem escrita para você | O mesmo, com dados reais sobre você |
| Whaling | Uma mensagem para um executivo | Um pagamento, arquivos confidenciais |
| Smishing | SMS ou app de mensagens | Uma pequena taxa, um link para "consertar" uma conta |
| Vishing | Uma ligação ou mensagem de voz | Um código, dados do cartão, uma transferência |
| Quishing | Um QR code | Dados do cartão em uma página de pagamento falsa |
| Phishing de consentimento | Uma tela de login real para um app desconhecido | Acesso à sua caixa de e-mail ou aos seus arquivos |

**Spear phishing e whaling** são as versões direcionadas. Segundo o NCSC, o atacante usa informações sobre os funcionários ou a empresa para tornar a mensagem convincente, e o whaling é o spear phishing voltado a um "peixe grande", como um membro do conselho de administração.

**Smishing e vishing** levam o truque para o telefone; a CISA os define como engenharia social por SMS e por voz. Muitas vezes eles agem juntos: um SMS avisa sobre um pagamento suspeito, e a "equipe antifraude" do número indicado pede um código.

**Quishing** esconde o link em um QR code. A Comissão Federal de Comércio dos Estados Unidos (FTC) alertou sobre códigos colados por cima dos verdadeiros em parquímetros e sobre QR codes em e-mails e SMS inesperados que levam a um site copiado.

**Phishing de consentimento** (consent phishing) não rouba senha. A Microsoft o descreve como enganar usuários para que concedam permissões a um aplicativo malicioso na nuvem; a tela de consentimento é verdadeira, então a barra de endereços parece certa. O que o denuncia é o pedido, como um "visualizador de documentos" desconhecido que quer ler e enviar os seus e-mails; a solução é remover o app dos aplicativos conectados da sua conta.

## Como reconhecer uma mensagem de phishing?

Uma mensagem de phishing empurra você a agir antes de pensar, então a pressão é o primeiro sinal; um endereço que não pertence à organização é o segundo. O NCSC [lista cinco sinais](https://www.ncsc.gov.uk/collection/phishing-scams/spot-scams): autoridade (uma mensagem que diz vir de alguém oficial), urgência (um prazo curto ou a ameaça de uma multa), emoção (pânico, medo, esperança ou curiosidade), escassez (algo disponível em pouca quantidade) e acontecimentos atuais (a época da declaração do imposto, uma grande notícia).

Depois, confira os detalhes:

- **O endereço do remetente, não o nome exibido.** O nome pode ser "Suporte do Banco"; o que conta é o domínio depois do @.
- **Domínios parecidos.** Um nome com uma letra diferente, ou com a marca verdadeira no início de um endereço mais longo, é um disfarce comum; [O que é typosquatting?](/pt-br/blog/typosquatting) mostra como ler um.
- **Um link cujo endereço real é diferente do texto.** No computador, passe o mouse por cima; no celular, toque e segure para ver uma prévia.
- **Um anexo inesperado,** principalmente um que peça para habilitar o conteúdo. O Office no Windows bloqueia por padrão macros em arquivos vindos da internet, então instruções para desbloqueá-las já são um alerta por si só.
- **Um pagamento fora do padrão:** a "nova" conta bancária de um fornecedor, cartões-presente, uma transferência urgente para um chefe que não pode ser contatado.
- **Um pedido de código.** A FTC é direta: quem pede o código de verificação da sua conta é golpista.
- **Texto sem erros não prova nada.** A CISA observa que ferramentas de IA já escrevem mensagens bem-acabadas.

Na dúvida, entre em contato com a organização por um caminho que você já conhece, como o app dela ou o número impresso no seu cartão, nunca pelo link ou pelo número da mensagem.

## Por que as chaves de acesso resistem ao phishing?

Uma chave de acesso não pode ser digitada em uma página falsa: o seu dispositivo só a oferece ao site para o qual ela foi criada, então uma cópia da página de login em outro domínio não recebe nada que possa usar. A chave de acesso (passkey) é uma credencial de login guardada no seu celular, no seu computador ou no seu gerenciador de senhas; o site guarda apenas uma metade pública. A FIDO Alliance [explica](https://www.passkeycentral.org/introduction-to-passkeys/how-passkeys-work) que uma chave de acesso só é apresentada ao site em que foi registrada.

Códigos e notificações push são melhores que só a senha, mas uma página de phishing também pode coletá-los. A [ficha técnica da CISA sobre MFA resistente a phishing](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf) descreve o caso clássico: um portal de login falso em que a vítima digita o nome de usuário, a senha e o código de 6 dígitos de um app autenticador. A classificação da CISA, com uma linha acrescentada para a senha sozinha:

| Método de login | Uma página de phishing consegue capturar? | Também exposto a |
|---|---|---|
| Só senha | Sim | Reutilização em outros sites |
| Código por SMS ou voz | Sim, repassado na hora | Troca de chip (SIM swap), interceptação na rede telefônica |
| Código de app autenticador | Sim, repassado na hora | Nada mais na lista da CISA |
| Notificação push sem correspondência de números | Podem convencer você a aprovar | Bombardeio de notificações: pedidos até você aprovar |
| Chave de acesso ou chave de segurança (FIDO/WebAuthn) | Não | Nada na lista da CISA |

A CISA chama esse tipo de login de "padrão ouro" e acrescenta que qualquer autenticação multifator (MFA) é melhor do que nenhuma. Um gerenciador de senhas aplica uma verificação parecida às senhas, já que só preenche um formulário no domínio em que a senha foi salva.

## O que fazer se você clicou em um link de phishing?

Se você só abriu a página e não digitou nada, feche-a, apague o que ela tiver baixado e faça uma verificação de segurança. Se digitou uma senha, um código ou um número de cartão, aja agora, nesta ordem:

1. **Troque a senha no site verdadeiro,** acessado digitando o endereço ou abrindo o app. Se você usou a mesma senha em outros lugares, troque-a lá também, porque uma senha capturada é testada em outros serviços; [O que é credential stuffing?](/pt-br/blog/what-is-credential-stuffing) trata desse passo.
1. **Encerre todas as outras sessões** nas configurações de segurança da conta, confira os dados de recuperação, as regras de encaminhamento e os aplicativos conectados, e adicione uma chave de acesso onde houver essa opção.
1. **Ligue para o seu banco** no número impresso no cartão se você informou dados do cartão ou do banco; o NCSC e a FTC recomendam isso.
1. **Verifique o dispositivo** se você abriu um anexo ou instalou algo. Em um dispositivo de trabalho, avise a equipe de TI imediatamente.
1. **Denuncie a mensagem,** como mostrado abaixo. Se perdeu dinheiro, registre um boletim de ocorrência por fraude na polícia.

## Como denunciar phishing?

Use primeiro o botão de denúncia do seu app de e-mail e depois o serviço de denúncia do seu país; os dois alimentam os filtros e as listas de bloqueio que protegem outras pessoas.

- **Gmail no computador:** abra a mensagem, clique em **Mais** ao lado de **Responder** e depois em **Denunciar phishing**.
- **Outlook.com:** selecione a mensagem e depois **Relatar** > **Relatar phishing**. Relatar não bloqueia o remetente; se as mensagens continuarem, bloqueie-o separadamente.
- **Reino Unido:** encaminhe e-mails suspeitos para report@phishing.gov.uk e SMS de golpe para o 7726, como explicam as páginas de denúncia do NCSC.
- **Estados Unidos:** a [FTC](https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams) pede que você encaminhe e-mails de phishing para reportphishing@apwg.org, encaminhe SMS de phishing para SPAM (7726) e denuncie o golpe em ReportFraud.ftc.gov.
- **Brasil:** o CERT.br recebe notificações de incidentes de segurança, inclusive de páginas de phishing, pelo e-mail cert@cert.br.
- **Outros países:** a agência nacional de cibersegurança ou o CERT (grupo de resposta a emergências de computador) costuma ter um formulário de denúncia.
- **No trabalho:** use o botão de denúncia da empresa ou encaminhe a mensagem à equipe de segurança, não aos colegas.

## Como as organizações se defendem do phishing?

As organizações empilham camadas, porque nenhum filtro pega todas as mensagens. O NCSC as agrupa em quatro: dificultar que o phishing chegue aos usuários (filtragem de e-mail, autenticação de e-mail), ajudar os usuários a identificá-lo e denunciá-lo sem medo de punição, limitar o dano de um clique (MFA, gerenciadores de senhas, dispositivos atualizados) e responder rápido.

As equipes de segurança também verificam os links denunciados antes de bloqueá-los. Algumas páginas de phishing mostram o login falso só para visitantes que parecem o alvo, como uma conexão residencial no país visado, e uma página em branco para todos os outros. Por isso os analistas abrem o link em um navegador isolado, nunca com credenciais reais, por uma saída dos [Proxies residenciais](https://proxynet.io/pt-br/residential-proxy) nesse país e nessa cidade.

Quando a isca chega por SMS, a página pode se mostrar só em uma rede móvel; os [Proxies móveis](https://proxynet.io/pt-br/mobile-proxy) dão ao analista um endereço real de operadora para essa única verificação. São alguns carregamentos de página por link, feitos para documentar e denunciar a página, nunca para preenchê-la.

## Onde você encontra phishing

Em caixas de entrada pessoais e de trabalho. Em SMS sobre encomendas, pedágios, restituição de imposto ou alertas do banco. Em ligações de uma "equipe antifraude" ou do "suporte técnico". Em mensagens de redes sociais que prometem um prêmio ou um emprego. Em QR codes colados em cartazes e parquímetros. No trabalho, em faturas, avisos de documentos compartilhados e mensagens que parecem vir do chefe.

## Erros comuns

- **Confiar no logotipo e no nome exibido.** Os dois podem ser copiados de graça; o domínio, não.
- **Confiar no cadeado.** HTTPS significa que a conexão com aquele domínio é criptografada, não que o domínio pertence ao seu banco.
- **Ligar para o número da mensagem para conferir.** Esse número é do remetente.
- **Ler um código para quem ligou.** Um código que chega durante uma ligação que você não iniciou é o próprio ataque.
- **Apagar sem denunciar.** É a denúncia que faz a página ser bloqueada para a próxima pessoa.

## Guia de decisão

| Sua situação | O que fazer primeiro |
|---|---|
| Uma mensagem suspeita, nada clicado | Denuncie com o botão do app e depois apague |
| Você clicou, mas não digitou nada | Feche a página; faça uma verificação se algo foi baixado |
| Você digitou uma senha | Troque-a no site verdadeiro e onde mais a reutilizou; encerre as outras sessões |
| Você informou dados do cartão ou do banco | Ligue para o banco no número do seu cartão |
| Você leu um código para quem ligou | Troque a senha, encerre as sessões, avise o provedor |
| Você aprovou um app desconhecido | Remova-o dos aplicativos conectados da sua conta |
| Você verifica links denunciados para uma empresa | Navegador isolado, saída residencial ou móvel no país visado, sem credenciais reais |

## Perguntas frequentes

### Dá para ser hackeado só por abrir um e-mail de phishing?

Raramente. Ler uma mensagem em um app de e-mail atualizado costuma ser seguro; o dano começa quando você clica, abre um anexo ou responde com informações. Uma falha em um app de e-mail desatualizado pode, de vez em quando, ser acionada só pela mensagem, então mantenha o app atualizado.

### Phishing é crime?

Sim. O phishing leva a fraude e a acesso não autorizado às contas de outras pessoas, e os dois são crimes na maioria dos países; o crime exato depende da lei local. Uma simulação que uma empresa faz com os próprios funcionários é treinamento, não ataque.

### Qual a diferença entre phishing e spam?

Spam é mensagem em massa não solicitada, geralmente publicidade; é incômodo, mas não finge ser alguém em quem você confia. Phishing finge ser um remetente confiável para tirar algo de você: uma senha, um pagamento ou um clique.

### O que é um teste de phishing no trabalho?

Um teste de phishing, ou simulação, é um e-mail de phishing falso e inofensivo que uma empresa envia aos próprios funcionários para ensiná-los a identificar e denunciar os de verdade. Clicar em um costuma levar a uma página curta de treinamento, e o NCSC recomenda às organizações que não repreendam quem clica. Se não tiver certeza de que a mensagem é um teste, denuncie mesmo assim.

### O que é MFA resistente a phishing?

É uma segunda etapa de login que um site falso não consegue capturar nem repassar. Na prática, isso significa login FIDO/WebAuthn com chaves de acesso ou chaves de segurança físicas, além de login com cartão inteligente em algumas organizações. Códigos por SMS e por app são muito melhores do que só a senha, mas uma página de phishing consegue repassá-los.

### Antivírus ou VPN protegem contra phishing?

Só em parte. Softwares de segurança e as listas de alerta do navegador bloqueiam páginas de phishing conhecidas, mas uma página criada há uma hora pode ainda não estar em nenhuma lista. Uma VPN muda o caminho de rede e não consegue distinguir uma página de login falsa de uma verdadeira; ler o endereço e usar chaves de acesso cobrem essa lacuna.

## Em resumo

Phishing é disfarce, não arrombamento: alguém se passa por um remetente em quem você confia para conseguir uma senha, um código, um pagamento ou um clique. Desacelere quando uma mensagem pressionar você, leia o domínio do remetente e o endereço real do link, e nunca leia um código para ninguém. Se você digitou algo, troque a senha no site verdadeiro, encerre as outras sessões e denuncie a mensagem. As chaves de acesso tiram das páginas de phishing o que a maioria delas coleta: uma senha e um código que funcionam em qualquer lugar. Marcas que monitoram cópias das próprias páginas de login encontram a configuração na nossa página de [proteção de marca](/pt-br/brand-protection).