Microsoft detecta 7,3 bilhões de ameaças de phishing por e-mail no 3º trimestre de 2026, com pico em setembro

O relatório da Microsoft Threat Intelligence cobre o terceiro trimestre de 2026 e mostra um volume alto de phishing (cerca de 7,3 bilhões de ameaças), mas com mudança de composição. O phishing com QR code somou cerca de 12,1 milhões de ataques no trimestre, queda de 67% sobre o segundo trimestre e 86% abaixo do pico de março. Já o phishing protegido por CAPTCHA chegou a 3,1 milhões de ataques em setembro, quase o dobro da mínima de julho, puxado por anexos SVG. Em agosto, SVGs responderam por 65% desses ataques.

O dado mais útil para quem defende é o das exceções. Dos cerca de 129 milhões de mensagens que falsificaram domínios de serviços empresariais, muitas foram entregues porque exceções de locatário ou de usuário se sobrepuseram às proteções, mesmo com falha de autenticação e detecção como maliciosas. Em setembro, as exceções se aplicaram a 63% das mensagens com resultado de segurança registrado, a maioria no nível do locatário. A Microsoft ressalva que os números não provam que os destinatários abriram as mensagens nem que contas foram comprometidas. No Teams, nomes pessoais comuns subiram de 46% para 88% da amostra entre julho e setembro, enquanto identidades explícitas de help desk caíram de 17% para 2%. Cerca de 94% a 96% dos ataques com payload buscavam roubo de credenciais, não instalação de software.

A cobertura anterior do CEVIU já vinha mostrando o phishing por device code como tática em alta. Em 27 de março de 2026, o CEVIU noticiou o texto "Phishing com Código de Dispositivo Afeta 340+ Organizações usando Microsoft 365, MFA Bypass por Abuso de Token". Em 4 de junho de 2026, saiu "Phishing via Device Code na mira: como rastrear ataques de BEC na Microsoft". Em 14 de julho de 2026, veio o alerta sobre abuso do fluxo de código de dispositivo com redirecionamentos legítimos. O relatório do terceiro trimestre mostra que a técnica continua em uso: a campanha de agosto contra organizações jurídicas combinou QR codes e device code, mesmo com o declínio geral dos ataques com QR code.

Para quem administra e-mail e colaboração, a leitura é que detecção sozinha não basta. Se uma exceção ampla anula o veredicto de uma mensagem que falhou na autenticação, o investimento em filtro perde efeito. Vale revisar exceções de locatário e de usuário, além de incluir anexos SVG e fluxos de device code no radar. No Teams, o nome exibido deixou de ser um bom sinal de risco.