Golpes de Phishing em Empresas: 8 Fraudes Para Reconhecer

Golpes de phishing em empresas já não dependem de e-mail mal escrito. Hoje, a mensagem pode citar um processo real, usar a foto do diretor ou chegar pelo Teams, em nome do suporte de TI.

No ESET Security Report 2026, phishing e engenharia social aparecem em 70,9% dos casos relatados por empresas brasileiras que tiveram incidentes. Já o Brazilian CyberSecurity Index, da BugHunt, acompanhou 240 empresas e viu os ataques de phishing passarem de 28% para 58% das companhias entre 2021 e 2026.

Veja como funcionam oito fraudes que podem chegar ao financeiro, ao jurídico e à diretoria de empresas na Grande São Paulo.

1. Boleto falso

O boleto parece vir do fornecedor certo, com logo, valor e referência a um pedido real. A diferença está no destino do pagamento: o dinheiro cai em uma conta do golpista.

Ele pode chegar por um e-mail invadido, no meio de uma conversa verdadeira, ou por WhatsApp, como uma “segunda via”.

Como reconhecer: antes de pagar, confira se o beneficiário no aplicativo do banco é o fornecedor. Se houver diferença, ligue para um número que você já tinha cadastrado.

2. Falso chefe no WhatsApp

Um perfil com a foto do diretor pede uma transferência urgente e sigilosa. O golpe explora a hierarquia e a pressa.

Canais além do e-mail já pesam nesse tipo de fraude: segundo análise do Verizon DBIR 2026, 41% das violações por engenharia social envolveram outros vetores.

A fraude também pode vir por vídeo. Em 2024, uma empresa em Hong Kong perdeu cerca de R$ 127 milhões depois de uma reunião com um diretor financeiro falso, criado com deepfake.

Como reconhecer: pedido de sigilo e urgência é motivo para parar. Confirme ligando para o número já conhecido da pessoa.

3. Falso suporte de TI no Teams

Um “atendente” externo chama no Teams, avisa sobre um problema urgente e pede para abrir uma ferramenta de acesso remoto. Às vezes, a caixa de entrada é inundada de spam pouco antes, para que a ajuda pareça oportuna.

A Ontinue encontrou sinais dessa abordagem em cerca de 30% das organizações que monitora no primeiro semestre de 2026. Os casos bem-sucedidos se concentraram em ligações de cerca de 20 minutos.

Como reconhecer: observe a etiqueta “Externo” no nome do contato. Se alguém oferecer ajuda sem chamado aberto, confirme com a TI por outro canal.

4. E-mail pedindo troca de conta bancária

O “fornecedor” avisa que mudou de banco e pede para atualizar os dados. O histórico da conversa pode até parecer legítimo, mas o domínio tem um caractere diferente, ou a caixa de e-mail real foi invadida.

Como reconhecer: nenhuma troca de conta deve valer só por e-mail. Confirme por telefone, em um número que já estava no cadastro.

5. Falso advogado

O golpista usa nome e foto de um advogado real, cita dados verdadeiros de um processo e pede um Pix para liberar valores ou pagar custas. A OAB-SP registrou mais de 1.520 denúncias em 2026 até junho e mais de 5.600 em 2025.

Quem tem processo em andamento, inclusive uma empresa, pode receber esse contato.

Como reconhecer: não faça pagamento antecipado sem falar com seu advogado por um canal que você já conhece. A identidade do profissional pode ser verificada no ConfirmADV, da OAB.

6. Falsa central do banco

O contato alerta sobre uma movimentação suspeita e usa dados parciais da vítima para ganhar confiança. O número na tela também pode ser falsificado.

O Itaú lembra que não pede senha, código de token, transferência para “conta segura” nem instalação de aplicativo de acesso remoto.

Como reconhecer: desligue e fale com o banco pelo aplicativo ou por um canal oficial.

7. DAS falso

O e-mail traz razão social, CNPJ e período de apuração corretos, com um PDF que parece oficial. O pagamento, porém, vai para os criminosos.

A orientação é emitir o documento apenas no Portal do Simples Nacional, no PGDAS-D ou no e-CAC.

Como reconhecer: não pague guia recebida por e-mail. Na dúvida, confirme com seu contador.

8. Cobrança falsa de marca

Boletos com nomes como “anuário de marcas” ou “cadastro anual de patentes” parecem uma taxa oficial. O INPI já alertou que não envia boletos: a guia oficial é gerada pelo próprio usuário no portal do órgão.

Como reconhecer: antes de pagar, consulte quem cuida da sua marca.

Como reduzir o risco de golpes de phishing em empresas

• Confirme por outro canal: todo pedido de pagamento ou troca de dados bancários precisa de confirmação em um contato já cadastrado.
• Exija dupla aprovação: defina um valor a partir do qual duas pessoas aprovam o pagamento.
• Ative o MFA: nos casos analisados pela Sophos, faltava MFA ou ele estava mal configurado em 59%.
• Revise o Teams: avalie se contas externas precisam iniciar conversas com sua equipe.
• Oriente as equipes: financeiro, jurídico e recepção precisam conhecer esses exemplos.

O que fazer se a empresa cair no golpe

1. Acione o banco imediatamente e peça o bloqueio da transação.
2. Registre boletim de ocorrência e guarde mensagens, comprovantes e anexos.
3. Troque as senhas das contas envolvidas e desconecte o computador suspeito da rede.
4. Avise a TI para verificar o que foi acessado.
5. Consulte o jurídico sobre os próximos passos.

Segurança também depende de processo

Boa parte desses golpes não explora uma falha técnica, e sim a confiança e a pressa. Por isso, processo claro e equipe orientada contam tanto quanto a tecnologia.

A HD Tecnologia atua em segurança da informação para empresas na Grande São Paulo e orienta as equipes com conscientização básica. São +250 empresas atendidas, 98% de retenção e 10 anos de mercado.

Precisa de suporte de TI para sua empresa na Grande São Paulo? A HD Tecnologia atende empresas de 10 a 350 funcionários com SLA definido em contrato. Fale com um especialista.