O vishing, ou phishing de voz, é um tipo de ataque de phishing realizado por telefone ou mensagem de voz – pode ser uma mensagem de voz, uma chamada de vídeo ou uma chamada telefónica. É utilizado contra empresas e indivíduos para roubar dados e dinheiro, ou para lançar fraudes adicionais.

A voz de uma pessoa já não é de confiança. E, com a clonagem de voz por IA, os atacantes podem fazer-se passar por um familiar ou um amigo próximo com facilidade, soando suficientemente familiares para não levantar qualquer suspeita.

A clonagem de voz por IA torna mais importante do que nunca que as empresas reforcem as suas defesas contra fraudes de vishing. Uma voz falsa convincente pode ser utilizada para se fazer passar por executivos, funcionários, fornecedores ou clientes, aumentando o risco de pagamentos fraudulentos, roubo de credenciais, usurpação de conta, incidentes de segurança de dados e interrupções das operações internas.

Como estes ataques podem explorar processos normais de negócio e relações de confiança, as organizações precisam de procedimentos de verificação que não dependam do facto de quem liga soar familiar ou convincente.

O que é o vishing?

O vishing é um tipo de phishing realizado por telefone ou através de mensagens de voz. Os burlões fazem-se passar por pessoas ou organizações de confiança, tais como bancos, empregadores, agências governamentais ou familiares, para enganar as vítimas e levá-las a partilhar informações confidenciais, enviar dinheiro ou realizar outra ação.

O nome provém de “voz” + “phishing”. Está intimamente relacionado com o smishing, que utiliza SMS ou mensagens de texto em vez de chamadas de voz para realizar fraudes semelhantes.

Hoje em dia, o vishing também pode envolver clonagem de voz por IA, o que permite que os burlões imitem a voz de uma pessoa real e façam a chamada soar mais convincente.

Como funciona o vishing?

O vishing funciona normalmente através da combinação de falsificação de identidade, engenharia social e urgência. Baseia-se na pressão de uma conversa em direto para pressionar alguém a agir antes de ter tempo de verificar um pedido. Quem liga pode fingir ser da equipa de TI e pedir para confirmar um início de sessão, fingir ser um funcionário do banco a verificar uma transação suspeita ou fazer-se passar por um executivo sénior que precisa urgentemente da aprovação de um pagamento.

Ao contrário dos e-mails de phishing, pode não haver qualquer ligação, anexo ou endereço de remetente desconhecido suspeito para inspecionar. Quem liga pode parecer calmo, convincente ou até familiar, especialmente se houver clonagem de voz por IA envolvida.

O objetivo é normalmente persuadir a vítima a revelar credenciais ou códigos de utilização única, aprovar uma transferência, repor o acesso à conta ou contornar um processo normal de segurança. Num contexto empresarial, isso pode significar enganar a equipa financeira para autorizar um pagamento, fazer-se passar pelo apoio ao cliente de TI para recolher detalhes do início de sessão ou convencer um funcionário a dar a um atacante acesso a uma conta da empresa.

A IA torna o vishing mais difícil de detetar

As fraudes de vishing tradicionais muitas vezes revelavam-se através de maus scripts, ameaças óbvias, call centers ruidosos ou interlocutores que simplesmente não soavam convincentes. Algumas ainda o fazem. No entanto, as empresas já não podem tratar a qualidade da voz, a confiança ou a familiaridade como sinais fiáveis de que uma chamada é autêntica.

A clonagem de voz por IA permite imitar pessoas reais com precisão suficiente para criar pedidos credíveis. Os atacantes podem combinar uma voz clonada com a mistificação da identidade do chamador e detalhes pessoais recolhidos no LinkedIn, sítios web de empresas, entrevistas públicas, redes sociais ou incidentes de segurança de dados anteriores.

Isso torna as vozes familiares especialmente arriscadas como sinal de confiança. As pessoas julgam naturalmente quem liga pelo tom, confiança, hesitação ou se a voz soa como a de alguém que conhecem. A IA pode reproduzir muitos desses elementos, fazendo com que um executivo, colega, fornecedor ou funcionário de TI personificado pareça calmo, apressado, autoritário ou preocupado.

Em 2025, o FBI alertou(nova janela) que atores maliciosos estavam a utilizar smishing e mensagens de voz geradas por IA para se fazerem passar por altos cargos dos EUA, ganhar confiança e tentar aceder a contas pessoais.

Para as empresas, os atacantes não precisam de uma imitação perfeita. Apenas precisam de uma chamada suficientemente convincente para desencadear uma ação, como aprovar um pagamento, partilhar um código de verificação, repor uma palavra-passe ou alterar o acesso à conta.

É por isso que os pedidos sensíveis devem ser verificados através de outro canal de confiança, mesmo quando quem liga soa exatamente como alguém que o funcionário conhece.

Exemplos comuns de vishing direcionados a empresas

O vishing funciona melhor quando o pedido parece plausível. Os atacantes escolhem frequentemente cenários que se enquadram nas rotinas normais da empresa e, em seguida, acrescentam urgência. Eis alguns exemplos comuns de vishing:

Falsificação de identidade do apoio ao cliente de TI

Um cenário comum é a falsificação de identidade do apoio ao cliente de TI. Um funcionário recebe uma chamada de alguém que afirma ser do helpdesk da empresa, do fornecedor de software ou da equipa de segurança. Quem liga pode dizer que existe um problema de início de sessão, uma atualização urgente, atividade suspeita ou uma migração que exige que o funcionário confirme as credenciais ou leia um código de utilização única.

Falsificação de identidade do departamento financeiro

A falsificação de identidade do departamento financeiro é outro padrão de alto risco. Quem liga finge ser o CEO, o CFO, um gestor sénior ou um fornecedor de confiança que pede o processamento rápido de um pagamento. A pressão pode ser apresentada como confidencial, urgente ou associada a um negócio, uma fatura, um problema fiscal ou um problema de fornecedor.

Chamadas de fraude bancária

As chamadas de fraude bancária também são comuns. Quem liga afirma ser do banco da empresa e alerta para transações suspeitas. É pedido ao funcionário que confirme detalhes, aprove um passo de segurança, transfira dinheiro ou forneça informações que permitam ao atacante aceder à conta mais tarde.

Falsificação de identidade governamental

A falsificação de identidade governamental também pode afetar as empresas. Chamadas envolvendo a His Majesty’s Revenue and Customs (HMRC), a autoridade fiscal do Reino Unido, são suficientemente comuns para que a HMRC disponibilize um meio dedicado para denunciar chamadas telefónicas suspeitas(nova janela). Quem liga pode mencionar prazos fiscais, IVA, processamento de salários, penalizações, reembolsos ou investigações para criar urgência.

Falsificação de identidade de fornecedores e clientes

Existem também chamadas de falsificação de identidade de fornecedores e clientes. Um criminoso pode fingir ser um fornecedor a alterar os detalhes de pagamento, um cliente a pedir acesso a um portal ou um parceiro a solicitar uma ligação para um documento. A chamada pode não pedir dinheiro imediatamente. Pode ter como único objetivo recolher informações para um ataque posterior.

A ligação com as credenciais

O vishing termina frequentemente em credenciais, mesmo quando começa como uma conversa. Um atacante pode pedir diretamente uma palavra-passe, mas muitas tentativas de vishing são mais subtis. Quem liga pode pedir a um funcionário para confirmar um nome de utilizador, ler um código de verificação, aprovar um pedido de autenticação de dois fatores (2FA) ou iniciar sessão num portal falso enquanto permanece na linha.

Assim que as credenciais são expostas, os danos dependem do que essas credenciais conseguem desbloquear. Uma palavra-passe reutilizada pode, por exemplo, dar ao atacante acesso a mais do que um serviço. Um início de sessão partilhado pode tornar mais difícil saber quem utilizou a conta, e a ausência do requisito de 2FA pode deixar a palavra-passe como única barreira. Uma conta com permissões excessivas pode transformar uma chamada com êxito num acesso mais amplo.

A higiene das credenciais é uma parte essencial da prevenção de ataques de vishing. Palavras-passe exclusivas para cada serviço limitam o alcance de uma palavra-passe roubada. Um gestor de palavras-passe empresarial reduz a necessidade de os funcionários decorarem ou reutilizarem palavras-passe, e um gerador de palavras-passe⁠ integrado torna muito mais fácil criar palavras-passe fortes e exclusivas para cada conta. A partilha segura mantém as credenciais fora de chamadas, chats e documentos. A 2FA adiciona outra barreira quando uma palavra-passe é comprometida.

Por que motivo os dados expostos tornam o vishing mais convincente

Uma chamada de vishing é mais persuasiva quando o atacante já sabe algo sobre a empresa. Essa informação pode provir de fontes públicas: cargos, fornecedores, executivos, estrutura da empresa, comunicados de imprensa, publicações em redes sociais, vídeos de conferências, podcasts ou perfis de funcionários.

Também pode provir de dados divulgados numa fuga ou roubados, incluindo endereços de e-mail, números de telefone, detalhes da conta, credenciais expostas ou documentos internos.

O nosso Observatório de Incidentes de Segurança de Dados⁠ mostra como os dados expostos podem criar riscos para além do incidente original. Um criminoso apenas precisa de um número de telefone, um cargo, o nome de um fornecedor e uma palavra-passe antiga para parecer credível.

Os funcionários podem ter reutilizado detalhes noutros locais, os fornecedores podem ter sido comprometidos ou os atacantes podem combinar várias fontes públicas e dados expostos em fugas para construir uma história credível. Na prática, as empresas devem tratar os dados expostos como combustível para fraudes futuras. Quanto mais um atacante sabe, menos a chamada parece aleatória.

Como verificar uma chamada suspeita

Se suspeitar, termine a chamada e verifique por si se o pedido é autêntico. O vishing depende de o manter na linha, incentivando-o a responder agora e a agir agora. A verificação só funciona quando o funcionário pode colocar a chamada em pausa, afastar-se dessa pressão e voltar ao assunto através de um canal em que a empresa já confia.

Para qualquer pedido que envolva credenciais, pagamentos, códigos de 2FA, acesso remoto, detalhes bancários, recuperação de conta ou alterações de permissões, termine a chamada e verifique o pedido em separado. Isso pode significar ligar de volta para a pessoa utilizando a lista telefónica da empresa, contactar o banco através do número no seu sítio web oficial, abrir um pedido interno de TI ou verificar os detalhes do fornecedor já armazenados nos registos da empresa.

O número de chamada de retorno nunca deve ser fornecido por quem liga. A identificação de quem liga também não é suficiente, porque os números podem ser alvo de mistificação da identidade. O objetivo é voltar a uma fonte de confiança, em vez de continuar uma conversa que o atacante pode estar a controlar.

Executivos, fornecedores, bancos e equipas de TI legítimos devem prever a verificação de pedidos sensíveis. Quem liga e se torna agressivo, exige confidencialidade ou se recusa a receber uma chamada de regresso está a dar ao funcionário um motivo para parar, não um motivo para agir mais depressa.

Criar consciencialização sobre vishing com base em táticas, não em scripts

A formação de consciencialização sobre vishing não deve ensinar apenas as pessoas a reconhecerem uma lista de frases de fraude. Os scripts mudam rapidamente. Os padrões de manipulação são mais estáveis.

Os funcionários devem aprender a reconhecer as táticas por trás da chamada, e não apenas o script. Também precisam de táticas próprias às quais recorrer quando tiverem dúvidas:

  • Se quem liga fizer os funcionários sentirem-se apressados, ansiosos ou responsáveis por resolver algo imediatamente, trata-se de uma tática e não de uma prova de urgência. Quem liga pode afirmar ser um executivo sénior, um investigador de fraudes bancárias, uma autoridade fiscal, um fornecedor ou um membro da equipa de segurança. A história pode mudar, mas a pressão costuma ser semelhante: agir agora, manter a confidencialidade, confiar na sua autoridade e contornar as verificações habituais.
  • A formação também precisa de incluir a clonagem de voz por IA. A mensagem deve ser clara sem criar pânico: uma voz familiar não é suficiente para autorizar uma ação arriscada. Os funcionários devem ser instruídos de que têm o direito de colocar a conversa em pausa. Se quem liga pedir um pagamento, credencial, código, alteração de acesso ou solução alternativa urgente, a resposta segura é interromper a conversa, pedir alguns minutos e verificar o pedido através de um número conhecido ou outro canal de confiança.
  • Uma frase de segurança, uma regra de chamada de retorno ou um fluxo de trabalho de aprovação por escrito é mais fiável do que tentar julgar se alguém soa “estranho”. Nenhum pedido urgente legítimo deve falhar devido a um pequeno atraso utilizado para verificação.

O que fazer após uma chamada suspeita de vishing

Uma suspeita de fraude de phishing por telefone deve ser comunicada rapidamente, mesmo quando nenhum dinheiro foi enviado e nenhuma palavra-passe foi partilhada. As situações em que quase ocorreu um incidente são úteis porque mostram que funcionários, fornecedores ou processos os atacantes podem estar a visar.

O primeiro passo é registar os detalhes:

  • Hora da chamada
  • Número apresentado
  • Alegação de quem liga
  • Ação solicitada
  • Nomes mencionados
  • Sistemas envolvidos
  • Se foi partilhada alguma informação.

Certifique-se de que o número fornecido por quem liga não é contactado novamente.

Se tiverem sido partilhados credenciais, códigos de utilização única, detalhes de pagamento ou acesso remoto, trate o assunto como urgente:

  • Repor palavras-passe afetadas
  • Revogar sessões sempre que possível
  • Rever a atividade da conta
  • Exigir 2FA
  • Verificar se a mesma palavra-passe foi utilizada em qualquer outro local.

Como o Proton Pass for Business ajuda a reduzir o risco associado às credenciais

O vishing é um ataque de origem humana, mas os danos dependem frequentemente dos controlos de credenciais, como palavras-passe, acesso partilhado e proteção da conta. Um gestor de palavras-passe empresarial como o Proton Pass for Business ajuda as equipas a reduzir o risco de uma chamada com êxito se transformar num acesso mais amplo.

Os funcionários podem gerar palavras-passe fortes e exclusivas para cada serviço através do gerador de palavras-passe⁠ integrado do Proton Pass, armazená-las em cofres encriptados, utilizar o preenchimento automático, partilhar credenciais com segurança, gerir chaves de acesso e utilizar a autenticação de dois fatores integrada.

Isto é valioso para a proteção contra vishing, porque, mesmo que um atacante obtenha a sua palavra-passe durante uma chamada, continua sem conseguir aceder à conta sem o segundo fator. O Proton Pass também inclui o Pass Monitor com monitorização da dark web, que o alerta se o seu e-mail aparecer num incidente de segurança de dados conhecido, para que saiba quando as credenciais já possam estar comprometidas.

O Proton Pass também oferece às empresas uma predefinição mais segura para o acesso do dia a dia. Quando os funcionários têm uma forma aprovada de armazenar e partilhar credenciais, quem liga a pedir para lerem uma palavra-passe ou enviarem o acesso através do chat deve parecer imediatamente invulgar.

Tornar os pedidos por voz verificáveis por predefinição

O vishing funciona porque a voz transmite imediatismo e proximidade. Quem liga pode parecer confiante, familiar, prestativo ou autoritário. A clonagem de voz por IA torna essa confiança ainda menos fiável. As empresas precisam de um hábito de verificação que não dependa do quão convincente quem liga possa parecer.

As regras mais importantes são simples: não partilhar credenciais numa chamada, não aprovar pagamentos invulgares com base apenas num pedido por telefone e não confiar na identificação de quem liga como prova de identidade. Desligue, verifique através de um canal conhecido e documente qualquer elemento suspeito.

Para as PME, o processo pode permanecer simples. Os pedidos sensíveis devem ter uma regra de chamada de retorno, os pagamentos e as alterações de acesso devem exigir confirmação através de outro canal, e os funcionários devem conhecer as táticas de autoridade e urgência que tornam o vishing convincente. As credenciais também precisam de permanecer num gestor de palavras-passe empresarial, onde as palavras-passe são exclusivas, partilhadas de forma segura e mais fáceis de rodar se uma chamada levar à sua exposição.

O phishing de voz continuará a evoluir, especialmente à medida que a IA torna a falsificação de identidade mais barata e convincente. A defesa consiste em tornar todos os pedidos sensíveis verificáveis antes que alguém tome uma atitude.

Proteja as credenciais da sua empresa contra o phishing de voz com um gestor de palavras-passe empresarial⁠.