Spear phishing: quando golpes parecem reais demais
Comparado com phishing, um termo que talvez você já conheça, spear phishing é quando o golpe usa dados reais. Seu nome. Seu banco. Seu CPF. Uma nota fiscal. Um boleto. Uma entrega dos Correios. Um login gov.br que soa possível.
Essas informações podem vir de redes sociais, vazamentos, cadastros antigos, notas fiscais, compras anteriores, emails encaminhados, listas de contato ou uma conta comprometida.
Por isso o golpe nem sempre vem cheio de erro de português. Às vezes ele parece normal porque foi montado para parecer normal.
Neste guia
- O que muda quando o golpe usa dados reais
- Por que um dado verdadeiro não prova que a mensagem é segura
- A prova do detalhe que não bate
- Exemplos no Brasil
- O que fazer antes de clicar, responder ou pagar
- O que ler depois
O que muda quando o golpe usa dados reais
Um golpe genérico diz "prezado cliente". Um golpe direcionado pode dizer seu nome, o banco que você usa, o nome da sua empresa ou uma compra que parece familiar.
Isso muda a reação. A pessoa não pensa "isso é spam". Ela pensa "como eles sabem disso?"
Em um estudo de treinamento de phishing baseado na escala NIST Phish Scale, links mais fáceis de detectar tiveram taxa de clique de 7%. Iscas mais difíceis chegaram a 15%. Em palavras normais: de cada 100 pessoas, 7 clicaram na isca mais óbvia e 15 clicaram na isca mais convincente.
O golpe praticamente dobrou o clique quando a história parecia melhor encaixada.
Por que um dado verdadeiro não prova que a mensagem é segura
Que um email tenha seu nome, CPF, CNPJ, razão social, endereço, valor aproximado, banco ou dados de uma compra não torna a mensagem segura.
Essa informação pode circular por muitas rotas. Uma nota fiscal é enviada para mais de uma pessoa. Um fornecedor sofre invasão. Um email antigo fica exposto. Uma base de dados vaza. Um perfil público mostra mais contexto do que parece.
O dado verdadeiro é o gancho. O pedido é o que você precisa revisar.
A prova do detalhe que não bate
| O que parece real | O que revisar |
|---|---|
| Usa seu nome | O resto da mensagem também faz sentido ou só colaram seu nome? |
| Diz Itaú, Bradesco, Santander, Nubank, Caixa ou Banco do Brasil | O alerta aparece dentro do app do banco? |
| Tem CPF, CNPJ ou razão social | Você esperava essa nota, cobrança ou boleto hoje? |
| Menciona Receita Federal ou gov.br | O pedido existe dentro do portal oficial que você abriu por conta própria? |
| Fala de Correios ou encomenda internacional | O código de rastreio existe no site oficial? |
| Vem de alguém conhecido | A pessoa pediria dinheiro, código ou segredo desse jeito? |
| O domínio parece certo | É exatamente o domínio oficial ou só se parece com ele? |
| Pede código, token ou senha | A mensagem está pedindo a chave para entrar ou aprovar algo? |
Exemplos no Brasil
Boleto falso com dados reais
"Segue boleto atualizado para pagamento hoje."
Pode ter razão social, valor parecido e nome de uma empresa que você conhece. Antes de pagar, confira beneficiário, CNPJ, banco emissor e contexto. Se não esperava, confirme por um canal já conhecido.
Banco real, link falso
"Banco: novo dispositivo autorizado. Se não reconhece, cancele agora."
O banco pode ser real. O link pode não ser. Abra o app do banco por conta própria.
Correios com taxa pequena
"Sua encomenda foi retida. Pague R$ 12,83 para liberar."
Valor pequeno baixa a guarda. Confira o rastreio no site oficial dos Correios que você abriu digitando o endereço.
WhatsApp de familiar
"Mãe, troquei de número. Preciso fazer um Pix urgente."
Não avalie só a frase. Avalie o comportamento: evita ligação, pede segredo, usa número novo e coloca pressa.
O que fazer antes de clicar, responder ou pagar
- Não use o link da mensagem.
- Abra o app, portal ou site oficial por conta própria.
- Veja se a cobrança, nota, alerta, guia ou entrega existe ali.
- Se envolve dinheiro, código ou senha, fale com um canal oficial.
- Se envolve família, ligue para o número antigo ou fale com outro familiar.
- Guarde print se for reportar.
Perguntas frequentes
Spear phishing e phishing são a mesma coisa?
Não exatamente. Phishing é o golpe geral. Spear phishing é mais direcionado: usa dados reais ou contexto para parecer feito para você.
Um boleto falso pode ter meus dados reais?
Sim. Nome, CPF, CNPJ, endereço ou valor aproximado não bastam. Confira beneficiário, banco, código, contexto e canal de envio.
O que faço se já dei um código?
Vá direto para a guia: passei um código de verificação para um golpista.
Leia depois
- /br/blog/golpe-email-dados-reais/
- /br/blog/sms-falso-banco/
- /br/blog/como-verificar-link-sem-clicar/
Fontes
- CISA, phishing guidance: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing
- FTC, como reconhecer e evitar phishing: https://consumer.ftc.gov/articles/how-recognize-avoid-phishing-scams
- NIST Phish Scale study: https://arxiv.org/abs/2506.19899
- Banco Central do Brasil, Pix: https://www.bcb.gov.br/en/financialstability/pix_en
- CERT.br, Cartilha de Segurança para Internet: https://cartilha.cert.br/