Durante duas décadas, o conselho mais repetido nas ações de sensibilização foi simples: desconfie de mensagens com erros de português, saudações genéricas e traduções estranhas. Esse indicador deixou de funcionar. Os dados públicos mais recentes de fabricantes e agências europeias mostram que a esmagadora maioria do phishing que chega às caixas de entrada tem hoje algum grau de intervenção de modelos de linguagem — e que a eficácia dessas mensagens subiu de forma mensurável. Ao mesmo tempo, os grandes fornecedores de correio eletrónico e de colaboração estão a reconfigurar as suas defesas, com desmantelamentos de plataformas de phishing-as-a-service e novos mecanismos de proteção de sessões.
Resposta rápida: A KnowBe4 identificou uso de inteligência artificial em 82,6% dos emails de phishing analisados entre setembro de 2024 e fevereiro de 2025, valor que subiu para 86% dos ataques na edição de abril de 2026 do mesmo estudo. A Microsoft mede taxas de clique de 54% em campanhas apoiadas por IA, contra cerca de 12% nas tradicionais. O número não significa que os ataques cresceram 82% — mede a prevalência da IA, não o aumento de volume. A ação recomendada é abandonar a deteção baseada em «erros de escrita» e reforçar autenticação resistente a phishing (passkeys/FIDO2), verificação por canal alternativo em pedidos financeiros e monitorização de convites de calendário e mensagens em ferramentas de colaboração.
De 82,6% para 86%: o que os dados mostram realmente
O número que circula com mais frequência tem origem no Phishing Threat Trends Report da KnowBe4. Na edição divulgada em 2025, a empresa indicou que entre 15 de setembro de 2024 e 14 de fevereiro de 2025 houve um aumento de 17,3% no volume de emails de phishing face aos seis meses anteriores, que 82,6% de todos os emails de phishing analisados exibiam algum uso de IA e que se registou um aumento de 22,6% nas cargas de ransomware. A mesma análise assinalou subidas nos elementos que conseguem atravessar a deteção tradicional, com hiperligações de phishing a crescerem 36,8%, malware 20% e táticas de engenharia social 14,2% face ao semestre anterior.
É importante ler a estatística com rigor: trata-se da proporção de mensagens com marcas de geração automática, e não de um crescimento de 82% no número de ataques. A distinção é relevante para quem tem de justificar investimento em defesas.
A leitura europeia confirma a tendência. No Threat Landscape de outubro de 2025, a ENISA escreve que a inteligência artificial se tornou um elemento definidor do panorama de ameaças e que, no início de 2025, as campanhas de phishing apoiadas por IA representavam mais de 80% da atividade de engenharia social observada a nível mundial, com recurso a modelos «desbloqueados», media sintética e técnicas de envenenamento de modelos. A agência europeia reforça ainda que o phishing representa cerca de 60% dos vetores de acesso inicial, contra 21,3% para a exploração de vulnerabilidades.
54% contra 12%: a métrica que muda o cálculo de risco
O dado com maior impacto operacional não é a prevalência, mas a eficácia. No Digital Defense Report de 2025, a Microsoft indica que os cibercriminosos estão a usar IA para acelerar a descoberta de vulnerabilidades e escalar phishing automatizado, atingindo taxas de clique até 4,5 vezes superiores às do phishing tradicional — de 12% para 54%. A empresa acrescenta que a IA pode aumentar a rentabilidade do phishing em até 50 vezes.
Em abril de 2026, a Microsoft voltou ao tema num artigo do seu blogue de segurança, explicando que quando a IA é integrada nas operações de phishing as taxas de clique chegam aos 54%, contra cerca de 12% nas campanhas tradicionais — um aumento de 450% em eficácia que não resulta de mais volume, mas de maior precisão, com a IA a ajudar os atacantes a localizar conteúdos e a adaptar as mensagens a funções específicas.
| Indicador | Phishing tradicional | Phishing apoiado por IA |
|---|---|---|
| Taxa de clique (Microsoft, MDDR 2025) | ~12% | 54% |
| Eficácia relativa | Base | 4,5x (+450%) |
| Rentabilidade potencial | Base | Até 50x |
| Sinais clássicos (erros, tradução) | Frequentes | Praticamente ausentes |
A caixa de entrada deixou de ser a única frente
A atualização mais recente do estudo da KnowBe4, anunciada a 30 de abril de 2026, descreve uma mudança de vetor. A investigação, que analisou atividade associada a mais de 3000 agentes de ameaça distintos e registou uma subida de 17,1% nas tentativas de phishing face aos seis meses anteriores, conclui que 86% dos ataques de phishing são hoje conduzidos com recurso a IA, com deslocação das campanhas exclusivamente por email para ataques a ferramentas de colaboração. Entre os maiores crescimentos, destacam-se um aumento de 49% no phishing através de convites de calendário e de 41% nos ataques via Microsoft Teams. O relatório aponta ainda que a personificação de equipas internas foi observada em 30% dos ataques de agentes de ameaça no primeiro trimestre de 2026.
Nas palavras do responsável de threat intelligence da empresa, Jack Chapman, «a caixa de entrada já não é a única linha da frente para ataques coordenados de engenharia social».
Phishing industrializado — e a contraofensiva das plataformas
A ENISA descreve o fenómeno como industrialização: o phishing está hoje organizado em plataformas de Phishing-as-a-Service, que permitem a operadores de qualquer nível de competência lançar campanhas complexas, como as que personificaram centenas de organizações através da plataforma Darcula. A agência sinaliza também o crescimento do phishing por código QR (quishing) e dos esquemas do tipo ClickFix, que induzem o utilizador a executar comandos PowerShell.
Do lado da defesa, a Microsoft detalhou a dimensão de um destes serviços: o Tycoon2FA não era um simples kit, mas uma plataforma por subscrição que gerava dezenas de milhões de emails de phishing por mês, ligada a perto de 100 000 organizações comprometidas desde 2023 e que, no seu pico, representava cerca de 62% de todas as tentativas de phishing bloqueadas mensalmente pela empresa, especializando-se em ataques adversary-in-the-middle concebidos para derrotar a autenticação multifator. A mesma análise indica que no início de 2026 as ameaças por email aumentaram, com subida do phishing de credenciais, do phishing por código QR e de campanhas protegidas por CAPTCHA, e que a disrupção do Tycoon2FA conduziu a uma redução de 15% no volume e a alterações nas táticas dos atacantes.
A Google, no seu aviso sobre fraudes de junho de 2026, descreve um quadro semelhante: o phishing tradicional evoluiu para ataques AITM e quishing e, apesar da ação da indústria contra kits como o Tycoon 2FA, os volumes mantêm-se elevados, com atacantes capazes de replicar fluxos legítimos de autenticação para capturar palavra-passe e cookie de sessão, contornando a MFA. A empresa refere ainda a investigação a casos de «Calendar Phishing», em que falsos avisos de renovação eram adicionados diretamente a convites do Google Calendar e o recurso a mitigações técnicas como a implementação de Device Bound Session Credentials (DBSC) para proteger cookies de sessão ativos contra roubo.
Cronologia dos dados públicos
| Data | Fonte | Dado central |
|---|---|---|
| Set. 2024 – fev. 2025 | KnowBe4 | 82,6% dos emails de phishing com uso de IA; volume +17,3% |
| Out. 2025 | ENISA (ETL 2025) | Phishing = 60% do acesso inicial; >80% da engenharia social apoiada por IA |
| Out. 2025 | Microsoft (MDDR 2025) | Cliques de 54% com IA vs. 12% sem IA; até 50x mais rentável |
| Abr. 2026 | Microsoft Security | Disrupção do Tycoon2FA; queda de 15% no volume |
| 30 abr. 2026 | KnowBe4 (Vol. 7) | 86% dos ataques com IA; convites de calendário +49%; Teams +41% |
| Jun. 2026 | AITM, quishing, phishing por calendário; adoção de DBSC |
Mitigações concretas
- Autenticação resistente a phishing: migrar contas privilegiadas e de correio para passkeys/FIDO2. A MFA por SMS ou código temporário é precisamente o que os kits AITM contornam.
- Proteção da sessão: reduzir tempos de vida de tokens, exigir reautenticação em operações sensíveis e ativar políticas de conformidade de dispositivo/acesso condicional.
- Higiene de email: SPF, DKIM e DMARC em modo de imposição, com monitorização dos relatórios agregados.
- Alargar a monitorização: incluir convites de calendário, chat corporativo e partilhas de ficheiros nas regras de deteção, não apenas o email.
- Procedimento anti-fraude: verificação obrigatória por canal alternativo para alterações de IBAN, pedidos de transferência urgentes ou reposições de credenciais.
- Formação atualizada: substituir o critério «erros de escrita» por verificação estrutural — domínio do remetente, destino real da ligação e legitimidade do pedido.
Porque é que isto importa em Portugal
O Centro Nacional de Cibersegurança tem vindo a sinalizar o mesmo padrão. Na 6.ª edição do relatório «Riscos & Conflitos», o CNCS destaca o phishing e o smishing, outras formas de engenharia social e burlas online, bem como a exploração de vulnerabilidades, entre as ciberameaças mais relevantes, apontando também o uso ofensivo de ferramentas de inteligência artificial generativa entre as tendências emergentes. O documento regista ainda que a técnica de engenharia social mais observada pelo CERT.PT foi o vishing, ou seja, phishing através de chamadas. Já a 7.ª edição, dedicada ao tema «Sociedade» e publicada em abril de 2026, passou a centrar-se no estado da resiliência da sociedade portuguesa face às ciberameaças, organizando a análise em estado da ameaça, superfície de ataque e ciber-resiliência.
Para as organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a consequência é prática: a gestão de riscos exigida inclui formação, higiene informática e controlo de acessos, e um comprometimento de credenciais por AITM é exatamente o tipo de evento que pode desencadear obrigações de notificação. Quando o acesso indevido atinge dados pessoais, acresce o dever de avaliação e eventual notificação à CNPD ao abrigo do RGPD. Para as PME portuguesas, muitas das quais dependem de Microsoft 365 ou Google Workspace sem equipa de segurança dedicada, a mensagem é simples: a barreira de entrada para o atacante desceu, a qualidade das iscas subiu e a defesa que resta é estrutural, não intuitiva.
Perguntas frequentes
O phishing aumentou 82% por causa da inteligência artificial?
Não. O valor de 82,6% refere-se à percentagem de emails de phishing analisados pela KnowBe4 que apresentavam algum uso de IA, entre setembro de 2024 e fevereiro de 2025. No mesmo período, o crescimento do volume foi de 17,3%. São métricas diferentes e não devem ser confundidas.
Se ativei autenticação multifator, estou protegido?
A MFA continua a ser essencial, mas as plataformas de phishing do tipo adversary-in-the-middle foram desenhadas para a contornar, capturando a palavra-passe e o cookie de sessão em tempo real. A proteção mais robusta passa por métodos resistentes a phishing, como passkeys ou chaves FIDO2, combinados com políticas de acesso condicional.
Porque é que os convites de calendário se tornaram um vetor de ataque?
Porque são adicionados automaticamente à agenda em muitas configurações, escapam a parte das regras de filtragem aplicadas ao email e parecem rotina no dia a dia. A KnowBe4 registou um aumento de 49% neste tipo de phishing e a Google investigou casos de falsos avisos de renovação inseridos em convites de calendário.
Uma PME em Portugal tem de notificar um incidente de phishing?
Depende. Se a entidade estiver abrangida pelo Regime Jurídico da Cibersegurança, aplicam-se os deveres de notificação de incidentes significativos ao CNCS. Se houver acesso indevido a dados pessoais, há que avaliar a notificação à CNPD nos termos do RGPD. Em qualquer caso, recomenda-se o registo interno do incidente e o contacto com o CERT.PT.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela ENISA, pela Microsoft, pela Google, pela KnowBe4 e pelo Centro Nacional de Cibersegurança.