Phishing atinge 58% das empresas brasileiras e dobra em cinco anos

Levantamento da BugHunt com 240 empresas brasileiras revela que ataques de phishing mais que dobraram em cinco anos: afetaram 28% das organizações em 2021 e chegaram a 58% em 2026, segundo o Brazilian CyberSecurity Index. O resultado chama atenção porque ocorre num período em que o investimento das empresas em segurança da informação cresceu de forma significativa. Hoje, 96% das organizações pesquisadas declaram investir na área, ante 72% em 2021.

Por que o phishing cresce mesmo com mais investimento em segurança?

O phishing é o único vetor de ataque que apresentou crescimento contínuo ao longo de toda a série histórica do estudo. Outros tipos de ameaça perderam relevância no mesmo período: malware recuou de 24% para 15% das empresas afetadas, e ransomware caiu de 25% para 12%. O phishing seguiu na direção contrária.

A explicação está na natureza do ataque: enquanto malware e ransomware dependem de falhas técnicas nos sistemas, o phishing é direcionado ao comportamento humano. Emails, mensagens e páginas falsas que imitam comunicações legítimas funcionam independentemente do nível de sofisticação da infraestrutura de segurança da empresa. Quanto mais digitalizada a operação, mais pontos de contato existem para uma tentativa de engenharia social.

"Hoje temos mais empresas investindo e com operações estruturadas. Ainda assim, o phishing continua como o principal vetor de ataque às organizações brasileiras. Isso mostra que segurança não é apenas uma questão de tecnologia, mas também de implementação de processos, treinamento de usuários e validação contínua para reduzir sua exposição a ameaças", afirma Caio Telles, CEO da BugHunt.

O que o aumento do phishing nas empresas significa para consumidores?

Quando um ataque de phishing atinge uma empresa, os efeitos não ficam restritos à organização. Colaboradores com acesso a sistemas que armazenam dados de clientes são alvos frequentes. Um login capturado por uma página falsa pode dar ao atacante acesso a bases com nomes, CPFs, endereços e dados financeiros de consumidores que nunca interagiram diretamente com a ameaça.

O estudo aponta que falhas de autenticação atingiram 31% das empresas em 2026, se posicionando como o segundo maior risco depois do phishing. Esse dado reforça que o ataque inicial por email costuma ser o caminho de entrada para comprometimentos maiores dentro das organizações, inclusive com impacto sobre os dados de quem é cliente delas.

O que fazer para não cair em phishing?

O reconhecimento de tentativas de phishing começa por um detalhe: mensagens que criam urgência, pedem clique em link ou solicitam dados pessoais fora do fluxo habitual merecem verificação antes de qualquer ação. Antes de clicar, vale confirmar o remetente com atenção ao domínio completo do email, acessar o site da empresa diretamente pelo navegador e, em caso de dúvida, entrar em contato pelo canal oficial da organização.

Entender como funciona o phishing é o primeiro passo para identificar tentativas antes de qualquer clique. O monitoramento de dados pessoais do Davi avisa quando informações do CPF aparecem em contextos inesperados, ajudando a identificar uso indevido mesmo quando o ponto de entrada foi uma empresa de terceiros.

O phishing dobrou em cinco anos num período em que 96% das empresas passaram a investir em segurança. A proteção tecnológica reduz riscos, mas não substitui a atenção de quem está do outro lado da tela.