Como a IA e o phishing como serviço estão a mudar o panorama das ameaças por e-mail

Insights do Relatório de Ameaças de Email de 2026 da Barracuda

Principais conclusões

• As ameaças de e-mail estão cada vez mais focadas na fraude e na apropriação de identidade, com o phishing a representar quase metade da atividade de e-mail malicioso.
• Os atacantes estão a afastar-se do malware tradicional baseado em ficheiros, optando por URLs, códigos QR e HTML, onde as ameaças podem ser mais difíceis de identificar e bloquear.
• A apropriação de conta é um risco recorrente para muitas organizações, aumentando a probabilidade de fraude, exposição de dados e interrupção de negócios.
• Phishing-como-serviço está a industrializar ataques, permitindo campanhas de alto volume que são mais fáceis para os criminosos lançarem e iterarem.
• A defesa eficaz exige cada vez mais segurança de e-mail em camadas, além de proteção de identidade, suportada por deteção rápida e resposta automatizada.

Os ataques por e-mail estão a evoluir mais rapidamente do que nunca, e Barracuda’s 2026 Email Threats Report lança luz sobre por que as organizações precisam repensar a sua abordagem à segurança de e-mail. Os atacantes estão a utilizar inteligência artificial (IA) e plataformas de phishing como serviço para aumentar tanto a escala quanto a sofisticação das suas campanhas, tornando o e-mail um alvo principal para roubo de identidade e interrupção de negócios.

De acordo com a análise de Barracuda Research, o braço de inteligência de ameaças da Barracuda, de mais de 3,1 mil milhões de e-mails em janeiro de 2026, uma em cada três mensagens de e-mail é maliciosa ou spam indesejado, e quase metade de toda a atividade maliciosa provém de ataques de phishing. Os cibercriminosos estão a ficar mais inteligentes, afastando-se das tradicionais cargas úteis baseadas em ficheiros e, em vez disso, utilizando métodos de entrega mais furtivos, como ataques baseados em URL, documentos com códigos QR embutidos e apropriação de conta. Estas táticas são concebidas para contornar as defesas convencionais, tornando cada vez mais difícil para as organizações detetar ameaças antes de ocorrerem danos.

Quais são os principais pontos do Relatório de Ameaças de Email da Barracuda de 2026?

Estatísticas chave do relatório — e o que elas indicam para os defensores — incluem:

• 48% da atividade de e-mail malicioso é phishing, reforçando a necessidade de priorizar controlos anti-falsificação de identidade e defesas focadas na identidade.
• 34% das empresas relatam pelo menos um incidente de apropriação de conta todos os meses, tornando essencial a deteção e resposta rápida a contas comprometidas.
• Mais de 10% dos anexos HTML são maliciosos, destacando a necessidade de inspecionar e controlar conteúdo baseado em HTML, e não apenas tipos de ficheiros tradicionais.
• 70% dos PDFs maliciosos contêm códigos QR que levam a websites de phishing, por isso a análise de códigos QR e a proteção de links devem ser tratadas como defesas fundamentais de e-mail.
• 90% das campanhas de phishing de alto volume utilizam kits de phishing como serviço. Os atacantes podem escalar rapidamente, tornando a automação e os controlos em camadas críticos.

Estas descobertas sublinham que os ataques por e-mail não estão apenas a aumentar em frequência, mas também em complexidade. Como Merium Khalid, Diretora de Segurança Ofensiva SOC, Escritório do CTO na Barracuda, aponta, "O e-mail já não é apenas um canal de comunicação — é a linha da frente para identidade, confiança e continuidade de negócios."

Para se defenderem contra ameaças em evolução, as organizações precisam de priorizar a segurança de e-mail integrada, combinada com proteção de identidade e resposta automatizada, como parte de uma estratégia mais ampla orientada para a resiliência.

A deteção rápida, prevenção e resposta automatizada são agora componentes essenciais de qualquer estratégia de resiliência cibernética. Ao combinar estes elementos, as empresas podem reduzir o risco, limitar o impacto da apropriação de conta e manter a continuidade operacional—mesmo à medida que as ameaças se tornam mais rápidas e industrializadas. O futuro da segurança de e-mail exige resiliência, integração e automação.

O que devem as organizações fazer a seguir para reduzir o risco de phishing e apropriação de conta?

• Reduza o sucesso do phishing com verificação de utilizador mais forte, controlos anti-imitação e sensibilização contínua adaptada às táticas atuais (URLs, códigos QR e iscas HTML).
• Reforçar a segurança de identidade, aplicando MFA sempre que possível, monitorizando para inícios de sessão suspeitos e apertando políticas de acesso para limitar o impacto de credenciais roubadas.
• Expandir a inspeção para além dos anexos aumentando o escrutínio de links incorporados e códigos QR em documentos e mensagens.
• Prepare para apropriação de conta com planos de ação que incluem reinicializações rápidas de credenciais, revogação de tokens/sessões e caminhos claros de escalonamento.
• Automatize a deteção e resposta para colocar rapidamente em quarentena mensagens suspeitas e reduzir o tempo de permanência quando os ataques passam despercebidos.

Quer a análise completa? Veja o Relatório de Ameaças de E-mail de 2026 da Barracuda para obter as conclusões, dados e recomendações completas, e fique atento para novas e empolgantes inovações em segurança de e-mail que estão para chegar.