A KnowBe4 publicou o oitavo volume do seu Phishing Threat Trends Report em 29 de outubro de 2026, e o principal achado é uma mudança que todo defensor de e-mail deveria internalizar: os criminosos cibernéticos estão abandonando o fraude em massa de baixo esforço e investindo em ataques hiperdirecionados. O spear phishing cresceu 41,1% ao ano, o reconhecimento prévio ao ataque subiu 33,7% e a usurpação de empresas aumentou 28%, enquanto as iscas clássicas de spray and pray despencaram.
O relatório se baseia em dados de segurança de e-mail de entrada do KnowBe4 Defend, que processa 1,15 bilhão de sinais de eventos por dia. O volume total de phishing cresceu 29,8% ao ano, e as organizações receberam em média um e-mail perigoso a cada 733 mensagens. O problema não está diminuindo, está ficando mais inteligente.
O que despenca e o que o substitui
As quedas são tão reveladoras quanto os aumentos. As fraudes focadas em celular caíram 47,3%, o fraude 419 de pagamento antecipado caiu 31,3% e as iscas de mensagens perdidas caíram 11,3%. Os atacantes concluíram que a isca genérica não compensa mais, e passam o tempo pesquisando e personalizando.
As táticas que substituem essas iscas são mais perigosas justamente porque são mais difíceis de detectar. Um e-mail de phishing que menciona o seu fornecedor real, o seu fluxo financeiro real e a notícia real desta semana não parece um e-mail de phishing.
Os atacantes agora se hospedam em infraestrutura confiável
No terceiro trimestre de 2026, um ataque tinha o dobro de probabilidade de se originar de infraestrutura legítima em comparação com o trimestre anterior, e as plataformas de IA aparecem como a nova fronteira dessa tendência. Os atacantes hospedam consoles de desenvolvedor falsos, telas de login e central de downloads diretamente em domínios nativos de plataformas de IA. Segundo o relatório, grandes modelos de linguagem como Claude e ChatGPT estão sendo transformados em hospedagem de phishing em seus próprios domínios confiáveis.
Esse é o detalhe que deveria mudar a sua forma de pensar sobre autenticação de e-mail. Quando um atacante envia de um domínio que passa nos controles de reputação porque o domínio é genuinamente reputado, o sinal de confiança se torna a arma.
A economia do phishing alugado
Os kits comerciais escalam ataques em volume industrial. O phishing baseado em kits cresceu 54% e já responde por 29,2% de todo o e-mail malicioso recebido, e apenas três kits principais concentram 90,2% do phishing feito com kits. A KnowBe4 também informa que 41,3% do phishing hoje passa direto pelos gateways de segurança de e-mail tradicionais, o que significa que seus clientes absorvem grande parte do problema sem saber.
O ângulo do newsjacking é igualmente impressionante. Com ferramentas de IA generativa e agênticas, os atacantes transformam manchetes de última hora em iscas de phishing 5,4 vezes mais rápido que em 2022, com um intervalo de menos de 16 horas da manchete à isca.
As senhas não são mais o alvo
O relatório destaca um afastamento do roubo de credenciais rumo à colheita de permissões. Os atacantes cada vez mais contornam senhas por meio de authentication phishing, logins por código de dispositivo em plataformas como o Microsoft Teams e abuso de consentimento OAuth para sequestrar sessões e permissões de agentes de IA. Tokens emitidos assim podem persistir por mais de 90 dias e exigem revogação manual em nível de administrador.
O Business Email Compromise responde por 51,2% dos tipos de phishing, com RH, Finanças e Liderança Executiva como os departamentos mais visados, e 90,4% dos e-mails de phishing chegam em dias úteis, com pico na segunda-feira com 20,6%, quando as caixas de entrada estão mais cheias.
O que isso significa para o DMARC e a entregabilidade
Nada disso torna o DMARC menos importante. Ele se torna uma camada de uma defesa que precisa de mais camadas. Quando alguém forja o seu domínio, uma política DMARC em imposição continua detendo a mensagem na caixa do destinatário. Esse ramo da árvore de ataque continua sendo seu para fechar, e fechá-lo nunca foi tão barato.
O que os dados da KnowBe4 mudam é a suposição de que autenticação equivale a segurança. Atacantes que enviam de plataformas legítimas, ou que já roubaram uma sessão válida ou uma permissão OAuth, vão passar nos controles em que seus filtros mais confiam. Por isso os relatórios DMARC merecem atenção diária, por isso o monitoramento de anomalias no envio importa, e por isso um comportamento incomum de caixa postal, e não apenas links suspeitos, deveria acionar uma revisão.
A conclusão desconfortável do Volume 8 é que sinais de confiança sozinhos já não são prova de segurança. Como disse Jack Chapman, SVP de Threat Intelligence da KnowBe4, o phishing moderno não precisa enganar filtros com domínios parecidos se os atacantes podem se hospedar diretamente nos confiáveis. Proteja o seu domínio com imposição, mas nunca confunda um controle aprovado com uma mensagem limpa.
O spear phishing que pega emprestada infraestrutura confiável e permissões roubadas não vai aparecer na pasta de spam, e o seu próprio domínio continua sendo um dos ativos que os atacantes querem tomar emprestado. O Excello Mail mostra exatamente o que está sendo enviado em nome do seu domínio, para que você passe do monitoramento à imposição com segurança. Cadastre-se gratuitamente no Excello Mail e assuma o controle da identidade do seu domínio.