Siga ZDNET: Adicione-nos como fonte preferencial no Google.
Principais vantagens do ZDNET
- O DBIR da Verizon revela as principais tendências de segurança empresarial.
- O phishing móvel está à frente dos ataques baseados em e-mail.
- As empresas precisam de treinamento em phishing focado em dispositivos móveis.
Os vetores de ataque móvel estão ultrapassando as ameaças de e-mail à medida que nos tornamos mais capazes de detectar tentativas tradicionais de phishing, de acordo com um novo relatório da Verizon que explora o cenário de violação de dados e o impacto nas empresas em todo o mundo.
Também: Preocupado com uma violação de dados do Canvas em todo o país? Siga estas 6 etapas agora
Verizon em 2026 Relatório de investigação de violação de dados (DBIR), a empresa disse que os ataques cibernéticos direcionados a dispositivos móveis estão se tornando mais populares e têm uma taxa de cliques mais alta do que as mesmas tentativas de phishing enviadas por e-mail, levantando questões sobre se nossas proteções contra phishing existentes são adequadas.
A engenharia social móvel é o centro das atenções
Com base em dados coletados de mais de 31.000 incidentes de segurança do mundo real em 2025, com 22.000 violações de dados confirmadas afetando organizações em 145 países, a Verizon afirma que “o celular é mais perigoso que o e-mail”.
Também: Melhor software antivírus móvel 2026: testado e revisado por um especialista
Um conjunto de avaliações de simulação de phishing apoia esta afirmação, onde vetores de ataque direcionados a dispositivos móveis, incluindo phishing baseado em voz (vishing) e phishing de texto, foram iscas bem-sucedidas, alcançando taxas de cliques 40% mais altas do que os esquemas tradicionais de phishing por e-mail.
O elemento humano
As pessoas são frequentemente o elo mais fraco nos sistemas de segurança e os agentes de ameaças sabem disso. No entanto, isto não significa que não estejamos a melhorar a nossa sensibilização geral para a segurança cibernética; significa apenas que os cibercriminosos estão mudando suas táticas.
De acordo com o relatório da Verizon, o “elemento humano” foi responsável por 62% das violações de dados conhecidas e relatadas, um ligeiro aumento de 2% em relação ao ano passado.
Também:O SIM obscuro por trás dessas mensagens fraudulentas constantes – e como se manter seguro
Infelizmente, os dados revelam que muitos cibercriminosos estão a abusar da nossa confiança para roubar dados, cometer fraudes de pagamento ou agir como precursores de graves incidentes de segurança, incluindo implantação de ransomware e extorsão.
Se o envio de e-mails de phishing não for suficiente, eles deram início ao que a Verizon chama de “pretextos”, um sinal de como a psicologia está cada vez mais presente nos ataques cibernéticos modernos.
Desculpa de phishing
A engenharia social, responsável por 16% de todas as violações, refere-se à exploração psicológica para nos persuadir a tomar medidas que ameacem a nossa segurança e privacidade pessoal ou a segurança de uma empresa como o nosso empregador.
Essas táticas podem variar desde um membro da equipe permitindo que um criminoso se passando por motorista de entrega entre em um prédio seguro, até alguém se passando por um de seus entes queridos em uma emergência financeira.
Quando usado em tecnologia móvel, o phishing geralmente assume a forma de textos falsos, mensagens de voz e chamadas para fins fraudulentos. Não é apenas um cibercriminoso se passando por você e ligando para sua operadora de telecomunicações para substituir seu cartão SIM; quando o “pretexto” é usado como tática, uma base de confiança é estabelecida entre o criminoso e a vítima antes que a armadilha seja acionada.
Também: Como verificar se uma mensagem de texto é spam no Android – e a ferramenta gratuita em que confio
Considere isso uma atualização em relação às tentativas genéricas de phishing usadas em ataques mais direcionados e sofisticados. Por exemplo, um funcionário que trabalha no setor financeiro e que mantém um relacionamento amigável por meio de mensagens e chamadas móveis pode ser o alvo e um invasor que se faz passar por gerente, membro da equipe ou vendedor. Uma vez estabelecida confiança suficiente, a vítima é levada a alterar os detalhes de pagamento da conta, enviando involuntariamente dinheiro ao criminoso em vez de ao fornecedor.
A taxa média de cliques para campanhas simuladas de phishing por e-mail no conjunto de dados da Verizon foi de 1,4%, em comparação com taxas de phishing por telefone de cerca de 2%, um aumento de 40%.
“Independentemente da terminologia, vários invasores usaram essas ferramentas para se passar por agentes de suporte técnico ou usuários que precisavam de redefinição de senha, com sucesso moderado”, disse o relatório. “O resultado final aqui é que os ataques sociais que usam vetores centrados no telefone – texto, voz ou e-mail centrado no retorno de chamada – são mais bem-sucedidos em nosso conjunto de dados do que os vetores de e-mail tradicionais aos quais os defensores estão acostumados.”
Mais tendências importantes de segurança
O estudo da Verizon também descobriu que quase um terço (31%) das violações começam agora com a exploração de vulnerabilidades, marcando a primeira vez que a exploração de falhas de segurança ultrapassou o uso de credenciais roubadas como ponto de entrada inicial num sistema alvo, agora registado como a causa de 13% dos incidentes.
Acredita-se que essa mudança seja devida à IA. Segundo o relatório, os cibercriminosos estão usando inteligência artificial para reduzir o tempo necessário para explorar vulnerabilidades, “reduzindo a janela de proteção de meses para horas”.
Também: Este truque simples do ChatGPT ajuda a detectar golpes antes de clicar ou responder
Além disso, apenas 26% das vulnerabilidades críticas registadas pela CISA foram totalmente corrigidas e eliminadas em 2025, abaixo dos 38% em 2024.
Outra tendência interessante que as organizações devem estar cientes é a IA sombra. As empresas há muito que estão conscientes da utilização de shadow IT, dispositivos e serviços online que os funcionários utilizam sem aprovação explícita, mas agora a shadow AI também é um potencial risco de segurança.
No geral, 67% dos funcionários usam contas de IA não corporativas em dispositivos fornecidos pela empresa. Shadow AI foi a terceira ameaça interna maliciosa mais relatada registrada no ano passado, e os usuários frequentemente enviavam dados confidenciais e confidenciais da empresa para esses modelos, incluindo código-fonte, pesquisas e documentos técnicos.
Como se manter protegido
Devido ao pequeno tamanho da amostra, a pesquisa da Verizon sobre phishing móvel tem algumas ressalvas. No entanto, isso ocorre porque havia poucos dados disponíveis, já que não parece haver muitas empresas realizando simulações ou treinamentos de phishing voltados para dispositivos móveis, o que, por sua vez, revela um problema potencial.
O treinamento sobre phishing não é novidade, embora seus méritos sejam discutíveis, especialmente se for visto apenas como um exercício anual para marcar uma caixa. Mas como poucas organizações consideram o aspecto móvel das actuais tácticas de phishing, podem estar a colocar-se em maior risco, especialmente quando os funcionários utilizam os seus próprios dispositivos para aceder a redes e sistemas empresariais.
Se os cibercriminosos puderem contornar os sistemas de segurança contactando diretamente funcionários involuntários, os investimentos em defesas contra phishing poderão tornar-se inúteis.
Para as organizações, a resposta é desenvolver novas estratégias para combater ameaças tradicionais e em evolução de email e phishing móvel. À medida que o “pretexto” também aumenta, a formação deve ensinar aos funcionários que o phishing já não é apenas e-mails de solicitação – estes criminosos vão tocar-lhe o coração e usar a sua confiança para promover os seus próprios fins.
Também: Os ataques à nuvem estão cada vez mais rápidos e mortíferos – 4 formas de proteger o seu negócio
Além disso, estes ataques podem ocorrer através de dispositivos de propriedade dos funcionários que não estão sob o seu controlo e podem representar uma ameaça invisível à segurança corporativa, pelo que as organizações precisam de rever os seus esquemas de autorização ou revogação de acesso. Pode poupar dinheiro às empresas a curto prazo, permitindo que os funcionários utilizem os seus smartphones, mas uma violação de dados não sai barata.
