← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Phishing e deepfakes: os números de 2025 e como identificar

O Brasil teve 553 milhões de phishings bloqueados em um ano e as perdas com deepfake chegaram a US$ 2,5 bi em 2025. Veja os dados e os sinais para identificar.

2026-10-20

O phishing, a mensagem falsa que tenta roubar senhas, dados ou dinheiro, continua sendo a porta de entrada da maioria dos golpes digitais. Em 2025 ele ganhou um reforço: a inteligência artificial, que barateou a produção de textos convincentes e de vozes e vídeos falsos, os deepfakes. Os números ajudam a dimensionar o problema e a reconhecer os sinais.

Phishing no mundo

O Anti-Phishing Working Group (APWG), que contabiliza sites de phishing únicos, registrou cerca de 3,8 milhões de ataques em 2025, contra 3,76 milhões em 2024, segundo o balanço anual da entidade. O pico ocorreu no segundo trimestre de 2025:

Trimestre	Ataques de phishing
4º tri/2024	989.123
1º tri/2025	1.003.924
2º tri/2025	1.130.393
3º tri/2025	892.494
4º tri/2025	853.244

No último trimestre de 2025, os setores mais imitados foram redes sociais e SaaS/webmail (20,3% cada), telecom (18,7%) e instituições financeiras (9,3%), com 866 marcas atacadas, de acordo com o relatório do APWG. O valor médio pedido em golpes de e-mail corporativo (BEC) foi de US$ 50.297 no período.

Nos EUA, phishing e spoofing foram o crime com mais queixas ao FBI em 2025, com 191.561 registros, segundo o relatório IC3. Na Austrália, foi também o tipo de golpe mais relatado, com 65.361 casos (ACCC).

Brasil: o país mais atacado da América Latina

A Kaspersky bloqueou 553 milhões de tentativas de phishing no Brasil entre julho de 2024 e julho de 2025. São cerca de 1,5 milhão por dia e 2,6 por habitante, ou 42,8% de todo o volume da América Latina, segundo o InfoMoney. Na região, os bloqueios somaram 1,29 bilhão, alta de 85%.

O phishing também abre caminho para ataques maiores. No estudo da Sophos sobre ransomware no Brasil, o e-mail malicioso foi a causa raiz em 37% dos casos, o maior índice entre os países pesquisados, e o phishing em outros 18%.

Para o consumidor, a forma mais comum é a engenharia social por telefone e mensagem. No primeiro semestre de 2025, o golpe da falsa central ou falso funcionário teve 139 mil relatos à Febraban, alta de 195,7% (Diario de Pernambuco).

Deepfakes: de US$ 335 milhões a US$ 2,5 bilhões

As perdas com fraudes que usaram deepfake cresceram em ritmo acelerado, segundo a Surfshark Research, com base no AI Incident Database, na Resemble.AI e na OCDE:

2020 a 2023, somados: US$ 83 milhões;
2024: US$ 335 milhões;
2025: US$ 2,5 bilhões;
1º semestre de 2026: US$ 764 milhões.

O acumulado chega a cerca de US$ 3,7 bilhões. As redes sociais são o principal canal de origem, com US$ 1,73 bilhão (47%), seguidas de golpes de falsificação de identidade (US$ 911 milhões).

O FBI passou a medir o fenômeno em 2025: 22.364 queixas com componente de IA, com US$ 893,3 milhões em perdas. Do lado das empresas, a Check Point estimou em dezembro de 2025 que 1 em cada 27 prompts enviados a ferramentas de IA generativa trazia alto risco de vazamento de dados (IT Edge News).

Por que funciona

O phishing não depende de falha técnica, e sim de comportamento. Ele explora pressa, medo e confiança em marcas conhecidas. A IA generativa agrava o quadro de duas formas. Elimina os erros de português e de formatação que antes denunciavam a mensagem falsa e permite clonar a voz de um parente ou executivo a partir de poucos segundos de áudio publicado em redes sociais. Por isso, as orientações de segurança passaram a enfatizar a confirmação por um segundo canal, mais do que a análise da mensagem em si.

Como identificar

Phishing

Urgência e ameaça: conta bloqueada, multa, entrega retida, prêmio. A pressa é a principal ferramenta do golpista.
Remetente e link: confira o domínio real. Na dúvida, não clique; digite o endereço oficial no navegador.
Pedido de dados ou códigos: nenhuma empresa séria pede senha ou código de verificação por mensagem.
QR codes em mensagens e cartazes também podem levar a páginas falsas.

Deepfakes

Pedido de dinheiro em vídeo ou áudio, mesmo com rosto ou voz conhecidos, deve ser confirmado por outro canal.
Falhas visuais: sincronia ruim entre lábios e fala, piscadas estranhas e bordas borradas no rosto.
Celebridades vendendo investimentos com retorno garantido são um padrão comum de golpe.
Combine uma palavra-código com a família para emergências.

Para empresas

Dupla verificação para qualquer mudança de dados bancários de fornecedor ou pedido urgente de executivo.
Treinamento contínuo com simulações de phishing.
Autenticação multifator resistente a phishing, como chaves de segurança ou passkeys.
Política de uso de IA que impeça o envio de dados sensíveis a ferramentas não aprovadas.