O phishing foi a principal categoria de ameaça detectada no Brasil durante o primeiro semestre de 2026, respondendo por 35,9% de todas as detecções registradas pela ESET entre janeiro e junho. A análise, baseada na telemetria da empresa, identificou a atividade de mais de 1.300 famílias de malware no período e mostra um cenário marcado tanto pela continuidade de golpes de engenharia social quanto por ondas pontuais de códigos maliciosos e ataques que exploram vulnerabilidades conhecidas.
O relatório da empresa, líder em detecção proativa, aponta que phishing e vulnerabilidades antigas seguem entre as principais ameaças para os brasileiros. Dentro do phishing, documentos PDF fraudulentos concentraram 52% das detecções da categoria. Também chama atenção o avanço das campanhas que utilizam códigos QR, que responderam por 7,2% do volume desse tipo de ameaça e tiveram crescimento de 460% nas detecções em fevereiro. A telemetria da ESET também identificou campanhas que utilizaram marcas como DocuSign, Telegram e WeTransfer como iscas para induzir as vítimas a acessar conteúdos maliciosos.
A exploração de vulnerabilidades antigas também teve participação relevante no período. Os exploits representaram 9,4% de todas as ameaças detectadas, com grande parte das ocorrências relacionada a falhas conhecidas do Microsoft Office, algumas delas identificadas ainda em 2010 e 2017. Entre os casos observados está a CVE-2017-0199, que passou de 2,2% para 50,3% das detecções relacionadas a vulnerabilidades entre fevereiro e março.
Para Jonathan Ramos, pesquisador de segurança da ESET Brasil, “o movimento reforça a importância de manter sistemas e aplicações atualizados, já que vulnerabilidades conhecidas continuam podendo ser exploradas quando permanecem presentes em ambientes sem as devidas correções”.
Outro grupo de ameaças com participação expressiva foi o dos downloaders, códigos utilizados para abrir caminho para a instalação de outros malwares. Eles responderam por 12,9% de todas as detecções do semestre, com o JS/TrojanDownloader.Agent representando 34% dos casos da categoria. Entre os droppers, que carregam o código malicioso em sua própria estrutura, o PowerShell/TrojanDropper.Agent chegou a 69,4% das detecções da categoria em março, contra uma participação que normalmente ficava entre 4% e 9%.
Picos de ameaças revelam mudanças no comportamento dos criminosos
Pico de atividade fraudulenta utilizando Cavalo de Troia de Acesso Remoto
Além das categorias com maior volume, a análise da ESET identificou movimentos pontuais de ameaças que, mesmo representando uma parcela menor das detecções, apresentaram aumentos expressivos em determinados momentos. Um dos exemplos foi o MSIL/XWorm, um RAT (Cavalo de Troia de Acesso Remoto) capaz de realizar ações como roubo de credenciais, captura de tela e controle remoto. A ameaça passou de uma participação de 3,6% a 3,8% de suas próprias detecções mensais entre janeiro e março para 61,4% em abril. Em maio e junho, os índices recuaram para 24,6% e 3%, respectivamente.
Os infostealers, responsáveis por 3,2% das detecções, também tiveram destaque. O Win/PSW.Amatera respondeu por 61% da categoria e apresentou concentração de detecções em janeiro e março. Esse tipo de ameaça pode roubar credenciais, cookies de sessão, carteiras de criptomoedas e outros dados sensíveis armazenados nos dispositivos.
O ransomware representou apenas 0,15% do volume total de detecções, mas continua relevante pelo potencial de impacto de um único ataque. No primeiro semestre, o Win/Filecoder.Babyk, associado ao grupo de ransomware como serviço (RaaS) Babuk, respondeu por 15,1% das detecções da categoria, sendo que 97,3% delas ocorreram em março. Outros grupos de RaaS, como Phobos, INC Ransom, BlackMatter e MedusaLocker, também apareceram na telemetria.
Entre as ameaças bancárias, que representaram 1,4% das detecções, o JS/Spy.Banker respondeu por 47% da categoria. Também foram observadas famílias como Guildma, Casbaneiro e Grandoreiro. Este último teve um pico de 21,6% de suas próprias detecções em maio. A ESET também colaborou com a Polícia Federal brasileira em 2024 durante uma operação internacional de interrupção da botnet Grandoreiro, fornecendo análises técnicas, estatísticas e informações sobre servidores de comando e controle.
A telemetria também mostra a relevância das ameaças direcionadas a dispositivos móveis. Entre as detecções de malware para Android, o Android/Exploit.Lotoor respondeu por 5,5%, seguido pelo Android/Spy.Banker, com 5,3%, e pelo Android/Spy.SpyMax, com 1,6%.
Para Ramos, os dados mostram que acompanhar apenas o volume total de ameaças não é suficiente para compreender a evolução do cenário de cibersegurança. “O primeiro semestre foi marcado pela predominância do phishing e de scripts maliciosos, mas também por ondas pontuais de ameaças mais sofisticadas. Os picos registrados principalmente em março e abril, além dos movimentos observados em torno de infecções por malware como Ransomware e RAT ajudam a identificar onde os criminosos estão concentrando esforços e quais comportamentos merecem atenção ao longo dos próximos meses” explica.
Imagem: https://pt.vecteezy.com/foto/70022298-digital-o-email-seguranca-cyber-ameacas-e-dados-protecao-dentro-a-digital-era
