Arte editorial do Plugged Ninja sobre o cenário de phishing por e-mail no 2º trimestre de 2026
A Microsoft Threat Intelligence publicou em 23 de julho de 2026 seu balanço do cenário de ameaças por e-mail no segundo trimestre do ano. O documento traz um resultado incomum para a área: quase todas as principais categorias de phishing por e-mail caíram simultaneamente entre abril e junho. A empresa detectou aproximadamente 7,6 bilhões de ameaças de phishing por e-mail no trimestre, com volume mensal recuando de 2,7 bilhões em abril para 2,4 bilhões em junho.
A explicação central apontada pela Microsoft é a operação de derrubada conduzida por sua Digital Crimes Unit (DCU) contra a plataforma Tycoon2FA, iniciada em março de 2026. O Tycoon2FA operava como phishing as a service — uma infraestrutura alugada a terceiros — especializada em ataques do tipo adversary-in-the-middle, que interceptam sessões autenticadas e capturam tokens mesmo quando há autenticação multifator.
Mas o relatório também traz uma contrapartida importante: enquanto o e-mail perdia volume, os ataques por voz dentro do Microsoft Teams atingiram o maior patamar já medido pela empresa. É um deslocamento de canal, não um recuo do adversário.
Plataformas de phishing como serviço reduziram drasticamente a barreira de entrada no crime digital na última década. O operador da plataforma cuida da infraestrutura — domínios, páginas clonadas, proxies reversos, evasão de varredura — e o cliente paga por acesso. O Tycoon2FA era, segundo a Microsoft, a principal dessas plataformas em atividade.
A escala do efeito da derrubada é o dado mais concreto do relatório. O volume mensal médio de mensagens de phishing ligadas ao Tycoon2FA no segundo semestre de 2025 era de 15,1 milhões. Após quedas sucessivas — 15% em março, 22% em abril, 74% em maio (chegando a 1,5 milhão) e mais 20% em junho (1,2 milhão) —, o trimestre terminou operando em cerca de 8% da linha de base anterior, uma redução total de 92%.
Mais relevante que a queda em si: nenhum serviço concorrente ocupou o espaço em escala comparável. Isso contraria a expectativa habitual de que a derrubada de uma plataforma criminosa apenas realoca a demanda.
A Microsoft observa que, após perder a proteção da Cloudflare — que dificultava a varredura e a remoção de suas páginas —, o Tycoon2FA passou a se apoiar em hospedagem sob o domínio de topo .RU, movimento iniciado no fim de março. Mais de 40% dos novos domínios da plataforma observados no trimestre usaram registros .RU.
Depois de atingir 18,7 milhões de ataques em março — o maior volume mensal em pelo menos um ano —, o phishing com QR code caiu por três meses consecutivos: 17,4 milhões em abril (-7%), queda de 38% em maio e de 22% em junho, fechando o trimestre em 8,3 milhões.
A distribuição por formato mudou de forma perceptível. Anexos em PDF chegaram a 79% dos ataques com QR code em abril, caindo para 58% em junho; em volume absoluto, os PDFs maliciosos com QR code recuaram mais de 60% entre abril e junho. Os arquivos DOC/DOCX seguiram o caminho oposto, subindo para 40% em junho. QR codes embutidos diretamente no corpo do e-mail, que haviam disparado 336% em março, praticamente desapareceram no trimestre.
Essa técnica — que insere uma verificação falsa antes da página de coleta de credenciais, para dificultar análise automatizada — caiu de quase 12 milhões de ataques em março para 2,2 milhões em junho, uma redução superior a 81% desde o pico. A participação do Tycoon2FA nesse tipo de ataque despencou de 76% em dezembro de 2025 para 12% em junho de 2026.
O roubo de credenciais seguiu dominando: 94% a 96% de todos os ataques com carga em cada mês do trimestre. A entrega tradicional de malware por e-mail representou apenas 4% a 6%, mantendo o declínio de longo prazo.
Um dado merece atenção específica: os arquivos ICS (convites de calendário), embora ainda pequenos em participação — cerca de 4% —, quase quadruplicaram em junho (+277%). Convites de calendário são processados de forma diferente de anexos comuns e podem inserir links maliciosos na agenda do usuário sem exigir a ação explícita de abrir e clicar.
Abril de 2026 produziu o ponto mais anômalo do último ano: cerca de 9 milhões de ataques BEC, alta de 121% sobre março. O pico foi curto — maio caiu 62%, para 3,4 milhões, e junho fechou em 3,9 milhões, ambos na faixa histórica. A Microsoft avalia que o salto de abril veio de um pequeno número de campanhas de alto volume, e não de uma escalada estrutural.
A composição das mensagens permaneceu estável e reveladora: mensagens de contato genérico (do tipo “você está na sua mesa?”) responderam por 87% a 92% dos primeiros e-mails de cada mês, enquanto pedidos explícitos de transação financeira ou documento ficaram entre 3% e 8%. Operadores de BEC preferem construir conversa antes de pedir dinheiro.
Este é o achado que contrapõe todo o resto do relatório. O volume de phishing pelo Teams cresceu ao longo do trimestre — alta de 19% de março para abril, estabilidade em maio, mais 10% em junho —, mas o crescimento mais acentuado veio do vishing, o phishing por chamada de voz.
As tentativas semanais de chamadas maliciosas subiram 31% de abril para maio e outros 27% em junho, com as duas últimas semanas de junho registrando os maiores volumes já medidos. Desde o início de 2026, o número semanal cresceu cerca de 80% e passou a operar em quase dez vezes a linha de base de meados de 2025.
O tráfego do Teams costuma contornar gateways de segurança de e-mail e carrega a legitimidade percebida de uma conversa iniciada por um colega — combinação que torna o canal atraente para o atacante. As chamadas são cronometradas: a maior concentração ocorre entre 14h e 20h UTC, de segunda a sexta, com atividade quase nula nos fins de semana.
O disfarce também evoluiu. Em junho, mais de metade (52%) dos ataques usou nomes de exibição genéricos, em vez da imitação óbvia de um help desk de TI. Os endereços associados migraram de temas de suporte para terminologia de SaaS, linguagem de varredura e atualização e palavras-chave de infraestrutura — alinhamento que a Microsoft associa à difusão dos ataques no estilo ClickFix.
O relatório detalha casos que mostram como a automação mudou a escala das operações.
Em 1º de junho de 2026, a Microsoft Defender Research observou uma campanha BEC que, em uma janela de menos de três horas (14h08 às 16h52 UTC), alcançou mais de 67 mil usuários em mais de 42 mil organizações, quase exclusivamente nos Estados Unidos. A entrega foi inteiramente automatizada: as mensagens foram geradas com a biblioteca email.mime do Python — identificável pelo formato padrão de fronteira MIME — e despachadas pela API do Amazon Simple Email Service, e não por uma interface de webmail. O envio partiu de um domínio eslovaco com DKIM configurado, o que fez as mensagens passarem por SPF e alinharem DKIM.
Nenhum dos dois iscas continha link ou anexo malicioso. Ambas dependiam apenas de obter uma resposta para caixas controladas pelo atacante, com domínios que imitavam provedores conhecidos. Cada mensagem carregava um pixel de rastreamento de 1×1 com identificador único, permitindo ao operador saber quem abriu e priorizar o acompanhamento.
Entre 14 e 15 de junho, outra campanha atingiu mais de 107 mil usuários em quase 19 mil organizações. Os e-mails se passavam por uma função interna de “Assuntos Internos — Financeiro e Atualizações de Pessoal” da própria organização do destinatário. Cada mensagem trazia um EML aninhado, disfarçado de gravação do Teams, e um convite ICS. O EML exibia uma notificação de correio de voz com um botão que apontava para o endpoint legítimo de autenticação da Microsoft, com parâmetros que pediam uma tentativa de login silencioso contra um aplicativo Entra multi-inquilino registrado pelo atacante.
Como nenhuma sessão ativa podia atender ao pedido silencioso, o serviço de autenticação redirecionava a vítima para o destino pré-registrado pelo atacante — um caminho em um host público de anexos de uma ferramenta de produtividade —, que servia um arquivo em lote do Windows. Para o usuário e para os varredores de URL, o link visível era do domínio de autenticação da Microsoft.
Esse é o ponto técnico mais instrutivo do relatório: o abuso não estava em uma falha de software, mas no encadeamento legítimo de um redirecionamento de OAuth. O arquivo em lote executava um comando PowerShell oculto que baixava um executável, salvava na pasta Temp, rodava com sinalizador silencioso e apagava o carregador ao sair.
O relatório sustenta uma tese que operações de segurança pública vêm defendendo há anos: a derrubada coordenada de infraestrutura criminosa produz efeito mensurável e duradouro, e não apenas um deslocamento imediato. Doze meses atrás, isso era difícil de demonstrar com números.
Há, porém, três ressalvas relevantes. A primeira é que os dados vêm exclusivamente da telemetria da Microsoft; a empresa tem visibilidade ampla sobre e-mail corporativo, mas não universal, e organizações que usam outros provedores não estão representadas. A segunda é que a queda no volume de e-mail coincide com o crescimento no Teams, o que sugere realocação de esforço e não redução de atividade adversária. A terceira é temporal: o relatório cobre até junho de 2026, e a recuperação de plataformas derrubadas costuma acontecer em prazos de meses.
Para empresas brasileiras, a lição prática mais direta está no crescimento do vishing corporativo. Controles maduros de e-mail não protegem contra uma chamada de voz recebida dentro da ferramenta de colaboração — e a maioria dos programas de conscientização ainda trata phishing como um problema de caixa de entrada.
O segundo trimestre de 2026 registrou o efeito mais claro já documentado de uma derrubada de plataforma de phishing como serviço sobre o volume global de ataques. É um resultado que reforça o valor de ações coordenadas entre setor privado e autoridades.
Ao mesmo tempo, o relatório mostra que o adversário respondeu movendo-se para onde a defesa é mais fraca: chamadas de voz e mensagens dentro de plataformas de colaboração corporativa, onde o controle de segurança de e-mail simplesmente não alcança. O que vale observar nos próximos trimestres é se surge uma plataforma sucessora do Tycoon2FA em escala comparável e se o crescimento do vishing no Teams se estabiliza ou continua acelerando.
O agente ElementsClaw, da DAMO Academy, triou 2,4 milhões de estruturas cristalinas em 28 horas…
Pesquisadores da Universidade Tsinghua propõem treinar o resumo de contexto como parte da política do…
Pesquisadores da UC Berkeley e da IBM Research adaptaram o framework evolutivo K-Search para o…
Pesquisa da Cisco Talos detalha o UAT-11795, grupo de língua russa que distribui instaladores adulterados…
Fundo ligado à TIM e Upload Ventures aporta na Enter, legal tech de IA brasileira.…
Adoção de IA na Fortune 500 chega a 92%, mas 56% dos CEOs dizem não…