Ameaças de cibersegurança em 2026: guia completo dos golpes, ataques e de como se proteger

O crime digital nunca foi tão grande. Em 2025, o Brasil registrou mais de 2,2 milhões de casos de estelionato, a maioria cometida pela internet e pelo telefone, e os golpes com Pix somam pelo menos R$ 24,5 bilhões desde 2022, segundo dados do Banco Central. Nos Estados Unidos, as perdas declaradas ao FBI passaram de US$ 20 bilhões num único ano. Este guia explica as principais ameaças de 2026, dos golpes por telefone ao sequestro de dados de empresas, das senhas roubadas aos aparelhos da casa transformados em robôs de ataque, e mostra o que cada pessoa e cada pequena empresa pode fazer para se proteger e o que fazer depois de cair num golpe.

O panorama em números

Esses números vêm de bases diferentes, e por isso não se somam. Mas apontam na mesma direção: o crime digital cresce, é cada vez mais profissional e, no Brasil, tem no golpe contra pessoas comuns a sua face mais visível.

1. Golpes e engenharia social

A ameaça que mais atinge o brasileiro não exige nenhum conhecimento técnico do criminoso: é a conversa. Engenharia social é o nome dado à técnica de enganar a vítima para que ela mesma entregue a senha, o código ou o dinheiro. A falsa central do banco, o falso parente com número novo, o falso anúncio de venda e o falso sorteio são variações da mesma ideia.

O estudo “O Estado dos Golpes no Brasil 2026”, da aliança global GASA, com parceiros como a Febraban e o Google, ouviu 1.170 pessoas: 81% tiveram contato com algum golpe no ano, 39% chegaram a interagir com o golpista, 10% perderam dinheiro e só 4% denunciaram. A perda média foi de R$ 1.287, e 76% das vítimas relataram impacto no bem-estar.

A regra de ouro, repetida pela Febraban, é simples: o banco não liga pedindo senha, código ou transferência. Diante de uma ligação assim, a orientação é desligar e ligar de outro telefone para o número que aparece no verso do cartão.

2. Inteligência artificial a serviço do golpe

A inteligência artificial deu ao golpista uma ferramenta nova: imitar pessoas. Vozes clonadas a partir de poucos segundos de áudio e vídeos falsos, os chamados deepfakes, tornam mais convincente o pedido do “chefe” ou do “filho”. No relatório de 2026 da IBM, entre os ataques feitos com ajuda de IA, a falsificação de pessoas por deepfake aparece em primeiro lugar, com 45%. O FBI recebeu em 2025 mais de 22 mil queixas de crimes envolvendo IA, com perdas de cerca de US$ 893 milhões.

A defesa é combinar com a família e com a empresa uma forma de confirmação fora da conversa: uma pergunta que só a pessoa real saberia responder, ou uma ligação de volta para o número já conhecido.

3. Ransomware, o sequestro de dados

O ransomware é um programa que embaralha os arquivos de uma empresa e cobra um resgate para devolvê-los, muitas vezes com a ameaça de publicar os dados roubados. Segundo o relatório DBIR 2026, da Verizon, ele aparece em 48% das violações de dados analisadas, e 69% das vítimas não pagaram.

O caso mais caro da história do Reino Unido foi um ataque desse tipo: a montadora Jaguar Land Rover ficou com a produção parada por quase seis semanas entre agosto e setembro de 2025, com impacto estimado em £ 1,9 bilhão na economia britânica.

A defesa mais eficaz é o backup. Na pesquisa da Sophos de 2026, 66% das empresas atingidas recuperaram os dados por cópias de segurança. A condição é que a cópia fique separada da rede principal, para não ser embaralhada junto.

4. Senhas roubadas e programas espiões

Os infostealers são programas que, instalados por um anexo, um programa pirata ou um site falso, recolhem as senhas salvas no navegador e as vendem. Em 2025, a Microsoft encontrou mais de 394 mil computadores com Windows infectados por um único deles, o Lumma, em dois meses, antes de uma operação com a Europol e o Departamento de Justiça dos Estados Unidos derrubar a estrutura.

Segundo a Microsoft, mais de 97% dos ataques a contas são tentativas em massa de adivinhar senhas, e a verificação em duas etapas resistente a phishing bloqueia até 99% deles.

5. Falhas de programas

As falhas em programas voltaram a ser a principal porta de entrada dos criminosos: aparecem em 31% das violações do DBIR 2026. Pior: só 26% das falhas sabidamente exploradas foram totalmente corrigidas em 2025. O Google contou 90 falhas de “dia zero” exploradas no ano, aquelas usadas pelos criminosos antes de existir correção.

Para quem não é técnico, a lição é uma só: instalar as atualizações do celular, do computador e do roteador assim que aparecem.

6. O ataque pelo fornecedor

Em vez de atacar o alvo de frente, o criminoso invade uma empresa que presta serviço a ele. Segundo o DBIR, fornecedores e parceiros estão envolvidos em 48% das violações.

O Brasil viveu os dois maiores casos do sistema financeiro com esse método. Em julho de 2025, criminosos usaram o acesso da C&M Software, empresa que liga instituições menores ao Pix, para desviar centenas de milhões de reais; um funcionário de TI foi preso, acusado de vender o próprio login e senha. Em março de 2026, a Polícia Federal prendeu 25 pessoas e recuperou mais de R$ 500 milhões, segundo o Finsiders. Os sistemas do Banco Central não foram atingidos. Em agosto de 2025, outro ataque, à Sinqia, provocou transações Pix não autorizadas de cerca de R$ 710 milhões, a maior parte bloqueada. Depois dos dois casos, o Banco Central endureceu as regras para os fornecedores de tecnologia do Pix.

7. O celular como alvo

O celular é onde está o banco, o e-mail e a vida. O DBIR registra que a chance de alguém clicar num golpe é 40% maior no celular do que no computador.

No Brasil, a empresa de segurança ESET descreveu em abril de 2026 a campanha NGate, ativa desde novembro de 2025: um falso sorteio leva a vítima a uma página que imita a Play Store, o aplicativo instalado pede para encostar o cartão no celular e captura os dados por aproximação, junto com a senha do cartão. A proteção é instalar aplicativos só da loja oficial e nunca digitar a senha do cartão fora do aplicativo do próprio banco.

8. A casa conectada

Aparelhos baratos ligados à internet podem virar soldados de um exército de robôs. Em junho de 2025, o FBI alertou para a rede BadBox 2.0, formada por mais de 1 milhão de aparelhos Android baratos infectados, como TV boxes e projetores, e o Brasil aparece em primeiro lugar entre os países com aparelhos contaminados. Em apresentação de março de 2026, a Anatel citou 1,8 milhão de aparelhos infectados no Brasil. A agência orienta a comprar só aparelhos homologados.

9. A inteligência artificial como alvo

Os assistentes de IA também são atacados. O prompt injection, uma instrução escondida num texto ou num site que faz a IA desobedecer a quem a usa, é o primeiro item da lista de riscos de IA do projeto de segurança OWASP. Em 2026, criminosos convenceram o assistente de IA da Meta a enviar códigos de recuperação de contas do Instagram para outro e-mail, segundo o TechCrunch. E a Anthropic relatou em novembro de 2025 uma campanha de espionagem, atribuída a um grupo estatal chinês, em que um agente de IA fez a maior parte do trabalho contra cerca de 30 alvos.

No relatório da IBM, 21% das violações envolveram sistemas de IA, e as ferramentas usadas por funcionários sem autorização da empresa aparecem em 43% dos incidentes.

10. Espionagem e ataques de Estados

Governos também atacam. A rede elétrica da Polônia sofreu um ataque destrutivo no fim de 2025, atribuído à Rússia, e mais de 100 empresas de água dos Estados Unidos foram atacadas em 2026 por grupos ligados ao Irã, segundo a agência americana de cibersegurança, a CISA. A Coreia do Norte é apontada como responsável pelo maior roubo de criptomoedas da história, de cerca de US$ 1,5 bilhão da corretora Bybit, em fevereiro de 2025, atribuído pelo FBI.

11. O horizonte quântico

Um computador quântico grande o bastante poderá, no futuro, quebrar a criptografia que protege hoje as conexões bancárias e as mensagens. Essa máquina ainda não existe, mas o risco já tem nome: “colher agora, decifrar depois”, em que dados roubados hoje são guardados para serem abertos anos depois. Por isso, o instituto americano de padrões, o NIST, publicou em 2024 os primeiros padrões de criptografia resistentes a computadores quânticos e escolheu em março de 2025 um algoritmo reserva. A troca é tarefa dos bancos, dos governos e das fabricantes, e chega ao usuário pelas atualizações.

Como se proteger

Se você caiu num golpe

1. Avise o banco imediatamente, pelo canal oficial do aplicativo ou pelo telefone do verso do cartão, para bloquear acessos e senhas.

2. Conteste o Pix pelo Mecanismo Especial de Devolução, o MED, no próprio aplicativo do banco, em até 80 dias. Desde fevereiro de 2026, o MED 2.0 é obrigatório e segue o dinheiro por várias contas, e não só pela primeira, segundo o Banco Central. Quanto antes o pedido, maior a chance de o valor ainda estar parado.

3. Registre um boletim de ocorrência, que pode ser feito pela internet na maioria dos estados.

4. Troque as senhas das contas envolvidas e ative a verificação em duas etapas.

O MED não cobre arrependimento nem chave digitada errada, e não garante a devolução total.

O que diz a lei

A Lei Geral de Proteção de Dados obriga a empresa que sofre um incidente de risco relevante a comunicar a Autoridade Nacional de Proteção de Dados e as pessoas afetadas. A Lei 14.155, de 2021, endureceu as penas para invasão de aparelhos e para furto mediante fraude eletrônica, que pode chegar a 8 anos de prisão. Depois dos ataques ao Pix, o Banco Central passou a exigir credenciamento dos fornecedores de tecnologia do sistema. E o Marco Legal da Cibersegurança ainda tramita no Congresso.

Alarmes que não eram o que pareciam

Diante de manchetes assim, a reação certa é a mesma de sempre: trocar a senha do serviço citado, se for o caso, e manter a verificação em duas etapas ligada.

Fontes: 1 · 2 · 3 · 4 · 5 · 6 · 7 · 8 · 9 · 10 · 11 · 12 · 13 · 14 · 15 · 16 · 17 · 18 · 19 · 20 · 21 · 22 · 23 · 24 · 25 · 26 · 27 · 28 · 29 · 30 · 31 · 32 · 33 · 34 · 35 · 36 · 37 · 38