QR code no phishing cresce 146%: o retrato da fraude por e-mail no 1º tri de 2026

A Microsoft publicou em abril de 2026 seu balanço de ameaças por e-mail do primeiro trimestre, e os números dão a dimensão do problema: cerca de 8,3 bilhões de tentativas de phishing por e-mail no trimestre, com 78% baseadas em links maliciosos e aproximadamente 10,7 milhões de ataques de comprometimento de e-mail corporativo (BEC).

A mudança mais expressiva foi a explosão do phishing por QR code, que subiu 146% no trimestre — de 7,6 milhões de ataques em janeiro para 18,7 milhões em março. O vetor dominante foi o anexo PDF, que passou de 65% para 70% dos ataques com QR ao longo do período. A lógica é conhecida: o código embutido em um documento aparentemente inofensivo escapa dos filtros de URL e move a vítima do computador monitorado para o celular pessoal. No mesmo período, o phishing barrado por CAPTCHA — em que o atacante coloca um desafio anti-robô na frente da página maliciosa para bloquear scanners automáticos — mais que dobrou em março (+125%), atingindo 11,9 milhões de ataques. A técnica ClickFix, que engana o usuário com um falso CAPTCHA para que ele mesmo execute um comando malicioso, também ganhou tração.

Um detalhe revela a mecânica do BEC: 82% a 84% dos primeiros contatos são mensagens genéricas de sondagem, e apenas 9% a 10% já trazem um pedido financeiro explícito. O golpista investe em conversa antes de pedir a transferência.

Para times de defesa, o relatório é um mapa de prioridades: tratar QR codes em e-mails como links não confiáveis, inspecionar anexos PDF, e treinar as pessoas a desconfiar tanto de CAPTCHAs fora de contexto quanto de conversas que só "esquentam" para, dias depois, pedir um pagamento urgente.