A Microsoft informou que detectou cerca de 7,3 bilhões de ameaças de phishing por e-mail entre julho e setembro de 2026. Quase 3 bilhões foram registradas em setembro, 41% acima de agosto. O relatório, publicado em 5 de novembro, também descreve tendências diferentes entre métodos de phishing e duas campanhas observadas por equipes da empresa. A análise da Microsoft atribui esses números à própria telemetria.
Uma detecção registra atividade observada; não equivale a uma conta comprometida.
QR codes e CAPTCHA seguiram tendências diferentes
O phishing por QR code somou cerca de 12,1 milhões de ataques no trimestre, 67% abaixo do segundo trimestre. Em setembro, o volume estava 86% abaixo do pico registrado em março. Já os ataques com CAPTCHA, um teste usado para distinguir pessoas de sistemas automatizados, chegaram a 3,1 milhões em setembro, quase o dobro do menor nível de julho. Arquivos SVG representaram 65% dessa atividade em agosto e 49% em setembro.
Outros tipos de isca também apareceram nas observações da Microsoft. A empresa contabilizou cerca de 129 milhões de mensagens maliciosas que falsificavam domínios de serviços empresariais acompanhados em sua análise. Em setembro, exceções às regras de segurança se aplicaram a 63% das mensagens com um resultado de segurança registrado; a maioria foi feita no nível do locatário, ou seja, das configurações da organização.
A imitação de contatos comerciais somou cerca de 6,2 milhões de ataques no trimestre. Abordagens genéricas continuaram predominantes, enquanto pedidos de pagamento de faturas chegaram a 3% dos casos em setembro. Entre os ataques com anexos, a Microsoft calcula que 94% a 96% levavam a páginas de phishing ou telas falsas de login. O roubo de credenciais foi o principal risco associado a esses arquivos.
Duas campanhas usaram caminhos distintos
Em 19 e 20 de agosto, a Microsoft Defender Research observou uma campanha de falsa revisão salarial que mirou mais de 10 mil usuários em mais de 4.800 organizações, principalmente nos Estados Unidos. Organizações de serviços profissionais, sobretudo do setor jurídico, representavam 72,1% dos alvos previstos.
A mensagem trazia um documento personalizado com um QR code. Ao escaneá-lo, a pessoa era levada a uma página falsa de login do OneDrive, que fornecia um código de dispositivo e a direcionava ao portal legítimo de acesso por dispositivo da Microsoft. Se a pessoa concluísse o processo com o código, o invasor poderia obter um token de sessão válido sem que ela revelasse a senha ou precisasse passar novamente pela autenticação multifator.
A campanha observada em 21 de setembro seguiu outra rota. Ela mirou mais de 56 mil usuários em mais de 8.100 organizações. Mensagens sobre pedidos de compra formaram 63% do total; as de folha de pagamento, 37%.
Na campanha, SPF, DKIM e DMARC passaram para o domínio remetente, mas o nome exibido imitava alguém de vendas ou de recursos humanos da organização destinatária. Isso mostra como uma mensagem pode combinar autenticação aprovada do domínio com uma identidade exibida que tenta parecer familiar.
Os anexos também variavam. Na vertente de pedidos de compra, um arquivo RAR disfarçado com um nome semelhante ao de um PDF continha um programa em JavaScript que baixava o arquivo PowerShell Lincoln.ps1; a Microsoft associou essa cadeia ao malware Agent Tesla. Na vertente de folha de pagamento, outro RAR disfarçado continha um executável apresentado com uma extensão que lembrava XML, também identificado pela Microsoft como Agent Tesla.
O que as contagens permitem concluir
A Microsoft ressalva que suas detecções não informam quantas mensagens chegaram às caixas de entrada ou foram abertas, nem quantas contas acabaram comprometidas. O total de chamadas maliciosas no Microsoft Teams, cerca de 141 mil no trimestre, também conta tentativas, inclusive chamadas sem resposta ou recusadas. Na amostra observada, a proporção de identidades exibidas como nomes pessoais comuns subiu de 46% em julho para 88% em setembro; a de identidades explícitas de suporte técnico caiu de 17% para 2%.
Para reduzir riscos, a Microsoft recomenda revisar as configurações do Exchange e do Defender, usar recursos como Safe Links, Safe Attachments e ZAP, adotar métodos sem senha ou autenticação multifator, controlar chamadas externas no Teams e investigar ou remover mensagens maliciosas. Para quem administra esse ambiente, a NeoTeo também publicou um conteúdo sobre proteção de dados do Microsoft 365 para o Copilot.
