O vishing, ou phishing por voz, é um tipo de ataque de phishing realizado por telefone ou mensagem de voz — pode ser uma mensagem de voz, uma chamada de vídeo ou uma chamada telefônica. Ele é usado contra empresas e indivíduos para roubar dados e dinheiro ou aplicar outros golpes.

A voz de uma pessoa não é mais confiável. E com a clonagem de voz por IA, atacantes podem se passar por um familiar ou amigo próximo com facilidade, soando familiares o suficiente para não levantar suspeitas.

A clonagem de voz por IA torna mais importante do que nunca que as empresas reforcem suas defesas contra golpes de vishing. Uma voz falsa convincente pode ser usada para se passar por executivos, funcionários, fornecedores ou clientes, aumentando o risco de pagamentos fraudulentos, roubo de credenciais, tomada de controle de conta, violações de dados e interrupção das operações internas.

Como esses ataques podem explorar processos normais de negócios e relações de confiança, as organizações precisam de procedimentos de verificação que não dependam de quem liga parecer familiar ou convincente.

O que é vishing?

Vishing é um tipo de phishing realizado por telefone ou mensagens de voz. Golpistas se passam por pessoas ou organizações de confiança, como bancos, empregadores, agências governamentais ou familiares, para enganar as vítimas e fazê-las compartilhar informações confidenciais, enviar dinheiro ou realizar alguma outra ação.

O nome vem da junção de “voice” + “phishing”. Ele está intimamente relacionado ao smishing, que usa SMS ou mensagens de texto em vez de chamadas de voz para realizar golpes semelhantes.

Hoje em dia, o vishing também pode envolver a clonagem de voz por IA, o que permite aos golpistas imitar a voz de uma pessoa real e fazer a chamada parecer mais convincente.

Como funciona o vishing?

O vishing geralmente funciona combinando falsificação de identidade, engenharia social e urgência. Ele se baseia na pressão de uma conversa ao vivo para induzir alguém a agir antes de ter tempo de verificar uma solicitação. Quem liga pode fingir ser da TI e pedir para confirmar um início de sessão, se passar por um funcionário do banco verificando uma transação suspeita ou imitar um executivo sênior que precisa urgentemente da aprovação de um pagamento.

Ao contrário dos e-mails de phishing, pode não haver nenhum link suspeito, anexo ou endereço de remetente desconhecido para inspecionar. A pessoa que liga pode parecer calma, convincente ou até familiar, especialmente se houver clonagem de voz por IA envolvida.

O objetivo é geralmente convencer a vítima a revelar credenciais ou códigos de uso único, aprovar uma transferência, redefinir o acesso à conta ou burlar um processo normal de segurança. Em um ambiente corporativo, isso pode significar enganar a equipe financeira para autorizar um pagamento, se passar pelo suporte de TI para coletar detalhes do início de sessão ou convencer um funcionário a dar a um atacante acesso a uma conta da empresa.

A IA torna o vishing mais difícil de detectar

Golpes tradicionais de vishing costumavam se denunciar por roteiros fracos, ameaças óbvias, centrais de atendimento barulhentas ou pessoas que simplesmente não soavam convincentes. Alguns ainda fazem isso. Mas as empresas não podem mais tratar a qualidade da voz, a confiança ou a familiaridade como sinais confiáveis de que uma chamada é legítima.

A clonagem de voz por IA torna possível imitar pessoas reais com precisão suficiente para criar solicitações verossímeis. Os atacantes podem combinar uma voz clonada com a falsificação do identificador de chamadas e detalhes pessoais coletados do LinkedIn, sites de empresas, entrevistas públicas, redes sociais ou violações de dados anteriores.

Isso torna as vozes familiares especialmente arriscadas como um sinal de confiança. As pessoas julgam naturalmente quem liga pelo tom, confiança, hesitação ou por a voz parecer com a de alguém que conhecem. A IA pode reproduzir muitas dessas pistas, fazendo com que um executivo, colega, fornecedor ou funcionário de TI falsificado pareça calmo, apressado, autoritário ou preocupado.

Em 2025, o FBI alertou(nova janela) que agentes maliciosos estavam usando smishing e mensagens de voz geradas por IA para se passar por autoridades sêniores dos EUA, ganhar confiança e tentar obter acesso a contas pessoais.

Para as empresas, os atacantes não precisam de uma imitação perfeita. Eles só precisam de uma chamada convincente o suficiente para disparar uma ação, como aprovar um pagamento, compartilhar um código de verificação, redefinir uma senha ou alterar o acesso à conta.

É por isso que solicitações confidenciais devem ser verificadas por meio de outro canal de confiança, mesmo quando quem liga soar exatamente como alguém que o funcionário conhece.

Exemplos comuns de vishing direcionados a empresas

O vishing funciona melhor quando a solicitação parece plausível. Os atacantes costumam escolher cenários que se encaixam na rotina normal de negócios e, em seguida, adicionam urgência. Aqui estão exemplos comuns de vishing:

Falsificação de identidade do suporte de TI

Um cenário comum é a falsificação de identidade do suporte de TI. Um funcionário recebe uma chamada de alguém alegando ser do helpdesk da empresa, de um provedor de software ou da equipe de segurança. A pessoa que liga pode dizer que há um problema no início de sessão, uma atualização urgente, uma atividade suspeita ou uma migração que exige que o funcionário confirme credenciais ou leia um código de uso único.

Falsificação de identidade do setor financeiro

A falsificação de identidade no setor financeiro é outro padrão de alto risco. Quem liga finge ser o CEO, CFO, um gerente sênior ou um fornecedor de confiança solicitando que um pagamento seja processado rapidamente. A pressão pode ser apresentada como confidencial, urgente ou ligada a um acordo, fatura, problema fiscal ou questão com fornecedor.

Chamadas sobre fraudes bancárias

Chamadas sobre fraudes bancárias também são comuns. A pessoa que liga afirma ser do banco da empresa e alerta sobre transações suspeitas. O funcionário é solicitado a confirmar detalhes, aprovar uma etapa de segurança, transferir dinheiro ou fornecer informações que permitam ao atacante acessar a conta mais tarde.

Falsificação de identidade de órgãos governamentais

A falsificação de identidade de órgãos governamentais também pode afetar empresas. Chamadas envolvendo a His Majesty’s Revenue and Customs (HMRC), a autoridade fiscal do Reino Unido, são comuns o suficiente para que a HMRC forneça um canal dedicado para denunciar chamadas telefônicas suspeitas(nova janela). Quem liga pode mencionar prazos fiscais, impostos, folha de pagamento, penalidades, reembolsos ou investigações para criar urgência.

Falsificação de identidade de fornecedores e clientes

Também existem chamadas de falsificação de identidade de fornecedores e clientes. Um criminoso pode fingir ser um fornecedor alterando detalhes de pagamento, um cliente solicitando acesso a um portal ou um parceiro pedindo um link para um documento. A chamada pode não pedir dinheiro imediatamente. Ela pode visar apenas a coleta de informações para um ataque posterior.

A conexão com as credenciais

O vishing frequentemente busca obter credenciais, mesmo quando começa como uma conversa. Um atacante pode pedir diretamente uma senha, mas muitas tentativas de vishing são mais sutis. A pessoa que liga pode pedir para o funcionário confirmar um nome de usuário, ler um código de verificação, aprovar uma solicitação de autenticação de dois fatores (2FA) ou iniciar sessão em um portal falso enquanto o golpista continua na linha.

Depois que as credenciais são expostas, o dano depende do que elas podem desbloquear. Uma senha reutilizada pode dar ao atacante acesso a mais de um serviço, por exemplo. Um início de sessão compartilhado pode dificultar a identificação de quem usou a conta, e a ausência de exigência de 2FA pode deixar a senha como a única barreira. Uma conta com permissões excessivas pode transformar uma chamada bem-sucedida em um acesso muito mais amplo.

A higiene das credenciais é parte essencial da prevenção de ataques de vishing. Senhas exclusivas para cada serviço limitam até onde uma senha roubada pode chegar. Um gerenciador de senhas empresarial reduz a necessidade de os funcionários lembrarem ou reutilizarem senhas, e um gerador de senhas integrado torna muito mais fácil criar senhas fortes e exclusivas para cada conta. O compartilhamento seguro mantém as credenciais fora de chamadas, chats e documentos. A 2FA adiciona outra barreira quando uma senha é comprometida.

Por que dados expostos tornam o vishing mais convincente

Uma chamada de vishing é mais persuasiva quando o atacante já sabe algo sobre a empresa. Essas informações podem vir de fontes públicas: cargos, fornecedores, executivos, estrutura da empresa, comunicados à imprensa, publicações em redes sociais, vídeos de conferências, podcasts ou perfis de funcionários.

Também podem vir de dados vazados ou roubados, incluindo endereços de e-mail, números de telefone, detalhes da conta, credenciais expostas ou documentos internos.

Nosso Data Breach Observatory mostra como dados expostos podem criar riscos além da violação original. Um criminoso só precisa de um número de telefone, um cargo, o nome de um fornecedor e uma senha antiga para parecer confiável.

Funcionários podem ter reutilizado detalhes em outros lugares, fornecedores podem ter sido comprometidos ou os atacantes podem combinar várias fontes públicas e vazadas para criar uma história plausível. Na prática, as empresas devem tratar dados expostos como combustível para golpes futuros. Quanto mais o atacante sabe, menos a chamada parece aleatória.

Como verificar uma chamada suspeita

Se você desconfiar, desligue a chamada e verifique por conta própria se a solicitação era legítima. O vishing depende de manter você na linha, incentivando você a responder e agir na hora. A verificação só funciona quando o funcionário pode pausar, sair dessa pressão e retornar por meio de um canal em que a empresa já confia.

Para qualquer solicitação que envolva credenciais, pagamentos, códigos de 2FA, acesso remoto, detalhes bancários, recuperação de conta ou alterações de permissão, desligue a chamada e verifique a solicitação separadamente. Isso pode significar ligar de volta para a pessoa usando o diretório da empresa, entrar em contato com o banco pelo número informado no site oficial, abrir um chamado interno de TI ou verificar os detalhes do fornecedor já armazenados nos registros da empresa.

O número para retorno da chamada nunca deve vir de quem ligou. O identificador de chamadas também não é suficiente, pois os números podem ser falsificados. A ideia é voltar a uma fonte de confiança, em vez de continuar uma conversa que o atacante pode estar controlando.

Executivos, fornecedores, bancos e equipes de TI legítimos já esperam passar por verificações em solicitações confidenciais. Uma pessoa que liga e se torna agressiva, exige sigilo ou se recusa a receber uma chamada de volta está dando ao funcionário um motivo para parar, e não para agir mais rápido.

Crie conscientização sobre vishing com foco em táticas, não em roteiros

O treinamento de conscientização sobre vishing não deve apenas ensinar as pessoas a reconhecer uma lista de frases de golpe. Os roteiros mudam rapidamente. Os padrões de manipulação são mais estáveis.

Os funcionários devem aprender a reconhecer as táticas por trás da chamada, e não apenas o roteiro. Eles também precisam de táticas próprias para recorrer quando estiverem em dúvida:

  • Se a pessoa que liga faz com que eles se sintam apressados, ansiosos ou responsáveis por resolver algo imediatamente, isso é uma tática, não uma prova de urgência. Quem liga pode se passar por um executivo sênior, um investigador de fraudes bancárias, uma autoridade fiscal, um fornecedor ou um membro da equipe de segurança. A história pode mudar, mas a pressão geralmente é parecida: agir agora, manter sigilo, confiar em sua autoridade e ignorar as verificações habituais.
  • O treinamento também precisa incluir a clonagem de voz por IA. A mensagem deve ser clara sem criar pânico: uma voz familiar não é suficiente para autorizar uma ação de risco. Os funcionários devem aprender que têm o direito de pausar. Se a pessoa que liga pedir um pagamento, credencial, código, alteração de acesso ou uma solução alternativa urgente, a resposta segura é interromper a conversa, pedir alguns minutos e verificar a solicitação por meio de um número conhecido ou outro canal de confiança.
  • Uma frase de segurança, uma regra de retorno de chamada ou um fluxo de trabalho de aprovação por escrito é mais confiável do que tentar julgar se a voz de alguém parece “estranha”. Nenhuma solicitação urgente e legítima deve falhar devido a um pequeno atraso usado para verificação.

O que fazer após uma chamada suspeita de vishing

Um golpe suspeito de phishing por telefone deve ser relatado rapidamente, mesmo quando nenhum dinheiro foi enviado e nenhuma senha foi compartilhada. As tentativas malsucedidas são úteis porque mostram quais funcionários, fornecedores ou processos os atacantes podem estar visando.

O primeiro passo é registrar os detalhes:

  • Horário da chamada
  • Número exibido
  • Alegação de quem ligou
  • Ação solicitada
  • Nomes mencionados
  • Sistemas envolvidos
  • Se alguma informação foi compartilhada.

Certifique-se de que o número fornecido pela pessoa que ligou não seja contatado novamente.

Se credenciais, códigos de uso único, detalhes de pagamento ou acesso remoto foram compartilhados, trate o caso como urgente:

  • Redefina as senhas afetadas
  • Revogue as sessões onde for possível
  • Examine a atividade da conta
  • Exija 2FA
  • Verifique se a mesma senha foi usada em qualquer outro lugar.

Como o Proton Pass for Business ajuda a reduzir o risco de credenciais

O vishing é um ataque de engenharia social, mas o dano geralmente depende dos controles de credenciais, como senhas, acesso compartilhado e proteção da conta. Um gerenciador de senhas empresarial como o Proton Pass for Business ajuda as equipes a reduzir o risco de uma chamada bem-sucedida se transformar em um acesso mais amplo.

Os funcionários podem gerar senhas fortes e exclusivas para cada serviço por meio do gerador de senhas integrado do Proton Pass, armazená-las em cofres criptografados, usar o preenchimento automático, compartilhar credenciais com segurança, gerenciar passkeys e usar a autenticação de dois fatores integrada.

Isso é valioso para a proteção contra vishing, pois, mesmo que um atacante obtenha sua senha durante uma chamada, ele ainda não conseguirá acessar a conta sem o segundo fator. O Proton Pass também inclui o Pass Monitor com Monitoramento da Dark Web, que alerta você se seu e-mail aparecer em uma violação de dados conhecida, para que você saiba quando as credenciais já puderem estar comprometidas.

O Proton Pass também oferece às empresas um padrão mais seguro para o acesso do dia a dia. Quando os funcionários têm uma maneira aprovada de armazenar e compartilhar credenciais, alguém que ligue pedindo para ler uma senha ou enviar acesso via chat deve parecer imediatamente incomum.

Torne as solicitações de voz verificáveis por padrão

O vishing funciona porque a voz transmite imediatismo e proximidade. Quem liga pode parecer confiante, familiar, solícito ou autoritário. A clonagem de voz por IA torna essa confiança ainda menos confiável. As empresas precisam de um hábito de verificação que não dependa de quão convincente a pessoa que liga parece ser.

As regras mais importantes são simples: não compartilhe credenciais em uma chamada, não aprove pagamentos incomuns apenas com base em uma solicitação por telefone e não confie no identificador de chamadas como prova de identidade. Desligue, verifique por meio de um canal conhecido e documente qualquer suspeita.

Para PMEs, o processo pode continuar simples. Solicitações confidenciais devem ter uma regra de retorno de chamada, pagamentos e alterações de acesso devem exigir confirmação por outro canal, e os funcionários devem conhecer as táticas de autoridade e urgência que tornam o vishing convincente. As credenciais também precisam permanecer dentro de um gerenciador de senhas empresarial, no qual as senhas sejam exclusivas, compartilhadas de forma segura e mais fáceis de alternar caso uma chamada leve à exposição.

O phishing por voz continuará evoluindo, especialmente à medida que a IA torna a falsificação de identidade mais barata e convincente. A defesa é tornar cada solicitação confidencial verificável antes que alguém tome uma atitude.

Proteja as credenciais da sua empresa contra phishing por voz com um gerenciador de senhas empresarial.