Em dezembro de 2025, e-mails de phishing gerados por IA saltaram de 4% para 56% de todos os ataques em semanas. No setor cripto, deepfakes subiram 654%. A defesa não pode mais depender do olho humano.
O phishing com IA deixou de ser uma ameaça futura. Os dados de 2025 e 2026 mostram uma transformação sem precedentes: ataques que antes eram fáceis de identificar pelos erros de gramática e formatação grosseira agora chegam com texto impecável, tom profissional e personalização baseada em dados reais da vítima. Segundo a KnowBe4, 82,6% dos e-mails de phishing já são gerados por inteligência artificial. O setor de criptomoedas está no centro dessa tempestade.
As perdas globais com phishing atingiram US$ 17,4 bilhões em 2024, alta de 45% em relação ao ano anterior, segundo a NordVPN. Só em janeiro de 2026, o setor cripto registrou mais de US$ 300 milhões em perdas por phishing, de acordo com dados da Chainalysis. Para entender a dimensão do problema — e as únicas defesas que de fato funcionam — é preciso olhar para como a tecnologia por trás desses ataques evoluiu.
Como o phishing com IA funciona na prática
Modelos de linguagem de grande escala permitem que golpistas gerem e-mails sem qualquer erro gramatical, com tom adequado ao contexto e personalização baseada em dados públicos da vítima — redes sociais, vazamentos anteriores, histórico de interações. O resultado é uma mensagem que, visualmente e linguisticamente, é indistinguível de uma comunicação legítima de uma exchange ou serviço financeiro.
Os ataques mais sofisticados combinam múltiplos canais em sequência. Um e-mail aparentemente vindo do suporte de uma exchange é seguido por uma ligação com a voz clonada de um funcionário real — uma tecnologia que exige apenas alguns minutos de áudio público para ser executada. Em paralelo, chega uma mensagem no WhatsApp reforçando a urgência. A consistência entre os canais cria uma ilusão de legitimidade que derruba até profissionais experientes.
82,6% dos e-mails de phishing são gerados por IA (KnowBe4, 2025). Texto sem erros, formatação profissional, personalização com dados reais da vítima.
Com poucos minutos de áudio ou vídeo público, a IA clona rostos e vozes com qualidade que a maioria das pessoas não consegue distinguir do real.
Sistemas de phishing com IA detectam quando padrões são bloqueados e geram variações em minutos — onde atacantes humanos levavam dias para reagir.
E-mail + ligação deepfake + mensagem no Telegram em sequência orquestrada. A consistência entre canais gera confiança artificial e urgência difícil de questionar.
Por que cripto é o alvo preferido dos golpes com IA
O setor de criptomoedas concentrou 88% de todos os casos de fraude com deepfake detectados em 2023, segundo a Sumsub. A combinação de transações irreversíveis, chaves privadas como vetor de acesso total e dependência de autenticação fraca cria um ambiente ideal para ataques de alto retorno. Veja como identificar e evitar golpes cripto nos vetores mais comuns usados hoje.
Diferente de um cartão de crédito, uma transferência em blockchain não pode ser revertida. Quem obtém a seed phrase ou chave privada de uma carteira tem acesso irreversível aos fundos. Esse cenário torna cada holder um alvo em potencial — e holders com portfólios significativos, alvos de ataques altamente direcionados, construídos com informações coletadas de vazamentos anteriores de dados.
Casos reais: quando a IA enganou profissionais
Bybit — US$ 1,5 bilhão (fevereiro 2025): O maior roubo da história das criptomoedas. O grupo Lazarus comprometeu o processo de assinatura multisig via engenharia social sofisticada. Os signatários aprovaram uma transação maliciosa porque a interface foi manipulada — eles não tinham como verificar o que estavam assinando apenas pela tela do computador.
Arup — US$ 25 milhões (2024): Golpistas simularam uma videoconferência com deepfakes do CFO e executivos seniores da empresa responsável pela Sydney Opera House. Cada rosto na tela era gerado por IA, cada voz era clonada. Um funcionário do financeiro transferiu os valores sem suspeitar.
Cartas físicas com QR code (abril 2025): Clientes da Ledger receberam correspondências com o logotipo oficial da empresa e endereço real, contendo QR codes que direcionavam a sites falsos solicitando as 24 palavras da seed phrase. Os dados de endereço vieram de vazamentos anteriores de clientes.
Por que as defesas tradicionais contra phishing falharam
Os conselhos clássicos de segurança digital — procure erros de gramática, desconfie de urgência, confirme por telefone — foram construídos para um cenário em que o atacante era humano e os recursos eram limitados. Com IA generativa, todos esses sinais podem ser perfeitamente simulados ou eliminados.
- ✗ “Procure erros de gramática” — IA gera texto perfeito em qualquer idioma, incluindo português regional
- ✗ “Confirme por telefone” — deepfake de voz clona qualquer pessoa com poucos minutos de áudio público
- ✗ “Confirme por videochamada” — deepfake de vídeo em tempo real já é realidade em videochamadas ao vivo
- ✗ SMS como 2FA — SIM swap permite interceptar códigos SMS sem acesso físico ao celular
- ✗ Google Authenticator (TOTP) — sites de phishing avançados capturam o código em tempo real enquanto você o digita
- ✔ Passkeys / Chave FIDO2 — vinculadas criptograficamente ao domínio real. Um site falso não consegue solicitar sua autenticação, independentemente de quão perfeito seja o golpe
- ✔ Hardware wallet com Clear Signing — chaves privadas offline, confirmação física na tela do dispositivo antes de qualquer assinatura
A única proteção real contra phishing com IA: criptografia
Quando a IA torna impossível distinguir o falso do real pela aparência, a proteção precisa ser matemática, não perceptual. Duas tecnologias oferecem isso: passkeys com chaves FIDO2 para proteger o login, e hardware wallets para proteger os ativos.
Passkeys e chaves FIDO2: proteção criptográfica para o login
Passkeys são credenciais vinculadas ao domínio exato do site onde foram cadastradas. Se você criou uma passkey na Binance (binance.com), ela simplesmente não funciona em um domínio falso como b1nance.com ou binance-suporte.net — independentemente de quão convincente tenha sido o e-mail de phishing que te levou até lá. A proteção é matemática e não depende do seu julgamento no momento do ataque.
Chaves de segurança físicas como as disponíveis na linha 2FA físico da KriptoBR — incluindo YubiKey 5 NFC, YubiKey 5C NFC e a SecuX PUFido Clife Key — armazenam passkeys de forma que a chave privada nunca pode ser copiada ou extraída do dispositivo. Mesmo que seu computador esteja comprometido, a autenticação não acontece sem a chave física presente.
Hardware wallets: proteção dos ativos, mesmo com o computador comprometido
Hardware wallets mantêm as chaves privadas em um elemento seguro isolado, nunca conectado à internet. Mesmo que um atacante comprometa seu computador, celular ou acesso à exchange, ele não consegue mover os fundos sem confirmação física no dispositivo. É a diferença entre ter os ativos na custódia de uma plataforma vulnerável a engenharia social e tê-los sob autocustódia criptográfica.
O caso Bybit ilustra precisamente esse ponto: os signatários não tinham como verificar o que estavam aprovando apenas pela tela do computador. Com Clear Signing — recurso presente na Trezor Safe 5, que exibe cada detalhe da transação na tela touchscreen do próprio dispositivo — essa manipulação de interface simplesmente não funcionaria. O usuário veria o endereço real de destino na tela do hardware wallet antes de confirmar.
🔐 Nota editorial: a combinação definitiva
Chave FIDO2 para proteger o login na exchange + hardware wallet para proteger os ativos em autocustódia. Essas duas camadas juntas tornam um holder virtualmente imune a phishing com IA — independentemente de quão sofisticado seja o ataque. A proteção não depende da capacidade humana de identificar um golpe, mas de princípios matemáticos que a IA não consegue contornar. Para aprofundar nesse tema, o Curso de Segurança e Privacidade da KriptoBR cobre esses conceitos em detalhe com foco prático para holders brasileiros.
8 ações práticas para se proteger de phishing com IA agora
- ✔ Ative passkeys/FIDO2 em todas as exchanges — Binance, Coinbase, Kraken, OKX e Bybit suportam autenticação com chave física. Uma chave FIDO2 é a única defesa matematicamente resistente a phishing.
- ✔ Mantenha ativos em hardware wallet — deixe na exchange apenas o necessário para operações ativas. O restante em autocustódia, offline.
- ✔ Verifique sempre pela tela do dispositivo (Clear Signing) — nunca confie apenas na tela do computador para confirmar uma transação. Use hardware wallets com display próprio.
- ✔ Nunca clique em links de e-mails — para acessar uma exchange, digite o endereço diretamente no navegador ou use um bookmark salvo previamente.
- ✗ Nunca compartilhe sua seed phrase — nenhuma empresa legítima pedirá suas 24 palavras. Nunca. Nem por e-mail, nem por telefone, nem por vídeo, nem por carta física.
- ✗ Abandone SMS como segundo fator — SIM swap é uma ameaça real e documentada. Substitua por passkey ou TOTP de aplicativo como Google Authenticator ou Authy.
- ✔ Cadastre duas chaves FIDO2 por plataforma — uma para uso diário e outra como backup armazenado em local seguro.
- ✔ Faça backup da seed phrase em aço — papel deteriora, pega fogo e molha. Soluções em aço inoxidável resistem a incêndios, enchentes e décadas de uso.
Fontes utilizadas neste artigo
Keepnet — Deepfake Statistics 2026 ·
Hoxhunt — Phishing Trends Report 2026 ·
Brightside AI — AI Phishing 2025 ·
Crypto Impact Hub — Hacks & Scams 2026
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Proteção criptográfica contra phishing com IA
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🔑 O que é seed phrase e como proteger a suaA seed phrase é a chave mestra da sua carteira. Saiba o que é, como funciona e quais erros de segurança evitar ao armazená-la.
📱 SIM swap: como funciona o ataque que clona seu númeroSIM swap é uma das principais ameaças para quem usa SMS como segundo fator. Veja como o ataque funciona e como se proteger.
🔐 O que são passkeys e como elas eliminam o phishingPasskeys substituem senhas por criptografia de chave pública vinculada ao domínio. Entenda por que são imunes a phishing por design.