Engenharia social e phishing: como proteger sua empresa dos golpes mais comuns
A maior parte dos golpes que chegam às empresas não invade sistema nenhum. Eles convencem alguém a abrir a porta: digitar a senha em uma página falsa, pagar um boleto adulterado ou passar um código por telefone. Isso tem nome, engenharia social, e a defesa passa por pessoas, processos e tecnologia ao mesmo tempo.
Resumo rápido
- Engenharia social é manipular pessoas para obter acesso, dados ou dinheiro. Phishing é a versão por mensagem, geralmente e-mail.
- Segundo o relatório da Verizon de 2026, o fator humano esteve presente em 62% das violações de dados analisadas.
- Os golpes mais caros para empresas envolvem pagamento: troca de dados bancários de fornecedor e pedidos urgentes “do diretor”.
- Três sinais resolvem a maioria dos casos: alguém conhecido, dinheiro ou dados envolvidos, e pressa.
- A proteção que funciona combina treinamento frequente, regra de confirmação por segundo canal e autenticação em dois fatores.
O que é engenharia social
Engenharia social é qualquer técnica que explora confiança, medo, pressa ou vontade de ajudar para fazer uma pessoa agir contra os interesses da empresa. O golpista não precisa quebrar senha nenhuma se consegue que alguém a entregue.
O CERT.br, centro de tratamento de incidentes do Brasil, resume bem o padrão na sua cartilha: além de manipular as emoções, fraudadores também se aproveitam de brechas de segurança para aplicar golpes.
Os golpes mais comuns contra empresas
Phishing por e-mail
Mensagem que imita um banco, a Microsoft, um fornecedor ou um órgão público e leva a uma página falsa de login ou a um anexo malicioso. Hoje as mensagens usam logotipo real, linguagem corporativa e, cada vez mais, texto escrito com inteligência artificial, sem os erros de português que antes denunciavam o golpe.
Troca de dados bancários
O golpista invade ou imita a caixa de e-mail de um fornecedor e avisa que “a conta mudou”. O próximo pagamento cai na conta do criminoso. Nos Estados Unidos, o relatório anual do FBI registrou mais de US$ 3 bilhões em perdas com esse tipo de fraude, chamada de BEC (comprometimento de e-mail corporativo), só em 2025.
Falso diretor e falso suporte
Uma mensagem no WhatsApp com a foto do sócio pedindo uma transferência urgente. Ou uma ligação de alguém que diz ser “do suporte da Microsoft” e pede para instalar um programa de acesso remoto. Nos dois casos o golpe se apoia em autoridade e urgência.
Vishing e smishing
São as versões por ligação (vishing) e por SMS (smishing). O relatório da Verizon de 2026 mostra que simulações de phishing pelo celular tiveram engajamento 40% maior do que as feitas por e-mail. No celular a pessoa lê rápido, entre uma tarefa e outra, e confere menos.
Pretexto e isca
No pretexto, o golpista inventa uma história plausível, como uma auditoria ou um cadastro, para pedir dados. Na isca, deixa um pen drive “esquecido” ou oferece algo atrativo, como um brinde, que instala um programa malicioso.
Como identificar um golpe: três perguntas
A cartilha do CERT.br propõe três perguntas que valem para qualquer canal:
- Diz que é uma pessoa ou organização conhecida?
- Envolve dinheiro, vantagem ou informações pessoais?
- Quer que você faça algo sem tempo para pensar?
Se as três respostas forem sim, pare e confirme por outro canal. No e-mail, alguns detalhes ajudam a confirmar a suspeita:
- Remetente com domínio parecido, mas diferente (uma letra trocada, um hífen a mais).
- Link que, ao passar o mouse, mostra um endereço que não tem nada a ver com a empresa.
- Pedido de senha, código de verificação ou instalação de programa. Empresas sérias não pedem isso por e-mail.
- Mudança de conta bancária, de fornecedor ou de forma de pagamento sem aviso prévio.
Como proteger a empresa
Regras de processo
Essas regras custam zero e evitam os golpes mais caros:
- Toda alteração de dado bancário é confirmada por telefone, em um número que a empresa já tinha, nunca no que veio na mensagem.
- Pagamento fora do padrão precisa de duas aprovações. Ninguém transfere dinheiro sozinho só porque “o diretor pediu”.
- Senha e código não se passam para ninguém, nem para a TI. O suporte de verdade não precisa da sua senha.
- Canal claro para avisar. O colaborador precisa saber a quem avisar quando clicar em algo estranho, e saber que não vai levar bronca por isso.
Tecnologia
- Autenticação em dois fatores (MFA) em e-mail, sistemas financeiros e acessos remotos. A Microsoft afirma que o MFA pode bloquear mais de 99,9% dos ataques de comprometimento de conta.
- Filtro de e-mail configurado, com proteção contra links e anexos maliciosos e alerta de remetente externo. O Microsoft 365 tem recursos para isso, mas muitos vêm desligados.
- EDR nos computadores, para conter o estrago se alguém executar um anexo malicioso. Explicamos a diferença em antivírus, EDR e MDR.
- Celulares corporativos gerenciados, já que o golpe migrou para o celular. Veja como funciona a gestão de dispositivos móveis.
Pessoas
Treinamento funciona quando é curto, frequente e baseado em exemplos reais. Uma palestra por ano é esquecida em semanas. Simulações periódicas de phishing mostram quem precisa de reforço e deixam o assunto vivo.
O que encontramos em campo
Quando a Pulso assume a TI de uma empresa, com frequência encontramos acessos de terceiros esquecidos e senhas de administrador ainda nas mãos do fornecedor anterior. Isso importa aqui porque engenharia social raramente mira o sistema mais protegido. Ela procura a conta que ninguém vigia: o ex-prestador, o login genérico, o e-mail do estagiário que saiu.
Nossa leitura é que revisar quem tem acesso a quê reduz a superfície de ataque tanto quanto o treinamento.
Nossa recomendação
Na Pulso, recomendamos começar pelo que dá mais resultado com menos esforço:
- MFA em todas as contas de e-mail esta semana. É a medida isolada que mais reduz risco.
- Regra escrita de confirmação de pagamento, divulgada para financeiro e compras, e cumprida inclusive pelos sócios.
- Treinamento curto a cada trimestre, com simulações e exemplos que a própria equipe recebeu.
- Revisão de acessos a cada saída de colaborador ou troca de fornecedor.
Não recomendamos tratar quem clicou como culpado. Empresa em que o colaborador tem medo de avisar descobre o golpe tarde, e tarde é quando o prejuízo já aconteceu.
Próximo passo
A segurança gerenciada da Pulso inclui treinamento da equipe, proteção de e-mail e monitoramento dos computadores. Marco Biazon, sócio-diretor da Pulso, fala diariamente sobre golpes e segurança no Instagram @marcobiazon. Se quiser saber como a sua empresa está exposta a esse tipo de golpe, fale com a gente e agende um diagnóstico gratuito.
Fontes
- CERT.br: fascículo Phishing e Outros Golpes, Cartilha de Segurança para Internet
- Verizon: 2026 Data Breach Investigations Report
- FBI IC3: 2025 Internet Crime Report
- Microsoft: One simple action you can take to prevent 99.9 percent of attacks on your accounts
Perguntas frequentes
Qual a diferença entre engenharia social e phishing?
Engenharia social é o nome geral para golpes que manipulam pessoas. Phishing é um tipo de engenharia social feito por mensagem, geralmente e-mail, com link ou anexo falso.
Como confirmar se um pedido de troca de conta bancária é verdadeiro?
Ligue para o fornecedor em um número que você já tinha antes, nunca no que veio na mensagem. Qualquer mudança de dados de pagamento deve ser confirmada por um segundo canal e aprovada por uma segunda pessoa.
Com autenticação em dois fatores ainda dá para cair em phishing?
Dá, mas o estrago diminui muito. Mesmo que a senha seja roubada, o golpista precisa do segundo fator. Existem golpes que tentam capturar também o código, por isso os métodos resistentes a phishing são os mais seguros.
O colaborador clicou em um link suspeito. O que fazer?
Avisar a TI na hora, sem medo de bronca. Trocar a senha da conta, encerrar as sessões abertas e verificar se o computador foi afetado. Quanto mais cedo o aviso, menor o prejuízo.
Treinamento anual resolve?
Não sozinho. Funciona melhor em doses curtas e frequentes, com simulações e exemplos reais do dia a dia da empresa.
Este conteúdo é informativo e não substitui orientação jurídica.
Ver todos os artigos