Golpes de phishing em empresas já não dependem de e-mail mal escrito. Hoje, a mensagem pode citar um processo real, usar a foto do diretor ou chegar pelo Teams, em nome do suporte de TI.
No ESET Security Report 2026, phishing e engenharia social aparecem em 70,9% dos casos relatados por empresas brasileiras que tiveram incidentes. Já o Brazilian CyberSecurity Index, da BugHunt, acompanhou 240 empresas e viu os ataques de phishing passarem de 28% para 58% das companhias entre 2021 e 2026.
Veja como funcionam oito fraudes que podem chegar ao financeiro, ao jurídico e à diretoria de empresas na Grande São Paulo.
1. Boleto falso
O boleto parece vir do fornecedor certo, com logo, valor e referência a um pedido real. A diferença está no destino do pagamento: o dinheiro cai em uma conta do golpista.
Ele pode chegar por um e-mail invadido, no meio de uma conversa verdadeira, ou por WhatsApp, como uma “segunda via”.
Como reconhecer: antes de pagar, confira se o beneficiário no aplicativo do banco é o fornecedor. Se houver diferença, ligue para um número que você já tinha cadastrado.
2. Falso chefe no WhatsApp
Um perfil com a foto do diretor pede uma transferência urgente e sigilosa. O golpe explora a hierarquia e a pressa.
Canais além do e-mail já pesam nesse tipo de fraude: segundo análise do Verizon DBIR 2026, 41% das violações por engenharia social envolveram outros vetores.
A fraude também pode vir por vídeo. Em 2024, uma empresa em Hong Kong perdeu cerca de R$ 127 milhões depois de uma reunião com um diretor financeiro falso, criado com deepfake.
Como reconhecer: pedido de sigilo e urgência é motivo para parar. Confirme ligando para o número já conhecido da pessoa.
3. Falso suporte de TI no Teams
Um “atendente” externo chama no Teams, avisa sobre um problema urgente e pede para abrir uma ferramenta de acesso remoto. Às vezes, a caixa de entrada é inundada de spam pouco antes, para que a ajuda pareça oportuna.
A Ontinue encontrou sinais dessa abordagem em cerca de 30% das organizações que monitora no primeiro semestre de 2026. Os casos bem-sucedidos se concentraram em ligações de cerca de 20 minutos.
Como reconhecer: observe a etiqueta “Externo” no nome do contato. Se alguém oferecer ajuda sem chamado aberto, confirme com a TI por outro canal.
4. E-mail pedindo troca de conta bancária
O “fornecedor” avisa que mudou de banco e pede para atualizar os dados. O histórico da conversa pode até parecer legítimo, mas o domínio tem um caractere diferente, ou a caixa de e-mail real foi invadida.
Como reconhecer: nenhuma troca de conta deve valer só por e-mail. Confirme por telefone, em um número que já estava no cadastro.
5. Falso advogado
O golpista usa nome e foto de um advogado real, cita dados verdadeiros de um processo e pede um Pix para liberar valores ou pagar custas. A OAB-SP registrou mais de 1.520 denúncias em 2026 até junho e mais de 5.600 em 2025.
Quem tem processo em andamento, inclusive uma empresa, pode receber esse contato.
Como reconhecer: não faça pagamento antecipado sem falar com seu advogado por um canal que você já conhece. A identidade do profissional pode ser verificada no ConfirmADV, da OAB.
6. Falsa central do banco
O contato alerta sobre uma movimentação suspeita e usa dados parciais da vítima para ganhar confiança. O número na tela também pode ser falsificado.
O Itaú lembra que não pede senha, código de token, transferência para “conta segura” nem instalação de aplicativo de acesso remoto.
Como reconhecer: desligue e fale com o banco pelo aplicativo ou por um canal oficial.
7. DAS falso
O e-mail traz razão social, CNPJ e período de apuração corretos, com um PDF que parece oficial. O pagamento, porém, vai para os criminosos.
A orientação é emitir o documento apenas no Portal do Simples Nacional, no PGDAS-D ou no e-CAC.
Como reconhecer: não pague guia recebida por e-mail. Na dúvida, confirme com seu contador.
8. Cobrança falsa de marca
Boletos com nomes como “anuário de marcas” ou “cadastro anual de patentes” parecem uma taxa oficial. O INPI já alertou que não envia boletos: a guia oficial é gerada pelo próprio usuário no portal do órgão.
Como reconhecer: antes de pagar, consulte quem cuida da sua marca.
Como reduzir o risco de golpes de phishing em empresas
- Confirme por outro canal: todo pedido de pagamento ou troca de dados bancários precisa de confirmação em um contato já cadastrado.
- Exija dupla aprovação: defina um valor a partir do qual duas pessoas aprovam o pagamento.
- Ative o MFA: nos casos analisados pela Sophos, faltava MFA ou ele estava mal configurado em 59%.
- Revise o Teams: avalie se contas externas precisam iniciar conversas com sua equipe.
- Oriente as equipes: financeiro, jurídico e recepção precisam conhecer esses exemplos.
O que fazer se a empresa cair no golpe
- Acione o banco imediatamente e peça o bloqueio da transação.
- Registre boletim de ocorrência e guarde mensagens, comprovantes e anexos.
- Troque as senhas das contas envolvidas e desconecte o computador suspeito da rede.
- Avise a TI para verificar o que foi acessado.
- Consulte o jurídico sobre os próximos passos.
Segurança também depende de processo
Boa parte desses golpes não explora uma falha técnica, e sim a confiança e a pressa. Por isso, processo claro e equipe orientada contam tanto quanto a tecnologia.
A HD Tecnologia atua em segurança da informação para empresas na Grande São Paulo e orienta as equipes com conscientização básica. São +250 empresas atendidas, 98% de retenção e 10 anos de mercado.
Precisa de suporte de TI para sua empresa na Grande São Paulo? A HD Tecnologia atende empresas de 10 a 350 funcionários com SLA definido em contrato. Fale com um especialista.