Um novo levantamento da Check Point Software mostra que os golpistas concentram esforço num grupo pequeno de marcas conhecidas pra aplicar phishing: a Microsoft sozinha aparece em quase 1 a cada 4 tentativas registradas no 2º trimestre de 2026. Pela primeira vez, o ChatGPT entrou no top 10, sinal de que ferramentas de IA já são alvo tão comum quanto banco ou rede social. Veja a lista completa, os casos reais documentados e como reconhecer esse golpe antes de cair nele.
Resposta rápida
A Microsoft é a marca mais usada em golpes de phishing no 2º trimestre de 2026 (23% dos casos), seguida por LinkedIn, Google, Apple e Amazon. As 5 juntas somam mais da metade de todas as tentativas registradas. O ChatGPT entrou no top 10 pela primeira vez, com golpes de cobrança falsa.
O essencial
- 1º lugar: Microsoft, 23% dos golpes
- Top 5 concentra mais da metade dos casos
- Novidade: ChatGPT estreia no top 10
- Setor mais visado: tecnologia, depois redes sociais e bancos
- Melhor defesa: digitar o site de cor + verificação em duas etapas
Ranking completo: as 10 marcas mais imitadas
O levantamento é da Check Point Software, empresa de cibersegurança que monitora campanhas de phishing em todo o mundo trimestre a trimestre. Veja o percentual de tentativas de phishing que usaram o nome de cada marca no 2º trimestre de 2026:
| Posição | Marca | % dos golpes de phishing |
|---|---|---|
| 1º | Microsoft | 22,6% |
| 2º | 11,6% | |
| 3º | 6,7% | |
| 4º | Apple | 5,8% |
| 5º | Amazon | 5,2% |
| 6º | Adobe | 3,8% |
| 7º | 1,9% | |
| 8º | 1,4% | |
| 9º | PayPal | 1,3% |
| 10º | ChatGPT | 1,1% |
Repare que os 5 primeiros colocados, sozinhos, já somam mais da metade de todas as tentativas de phishing de marca rastreadas no trimestre. Não é acaso: golpista não aposta em marca desconhecida, aposta na que todo mundo usa e reconhece de olhos fechados.
Por que o ChatGPT entrou no top 10 pela primeira vez
É a primeira vez que uma ferramenta de inteligência artificial aparece nessa lista, e o motivo é simples: assinatura paga e cobrança recorrente. Quanto mais gente paga mensalidade de IA pra trabalho, mais fácil forjar um aviso de “cobrança recusada” que pareça legítimo. Um caso identificado em junho usava exatamente esse gancho: e-mail com visual idêntico ao de uma notificação real da OpenAI sobre falha no pagamento, levando a uma página feita pra capturar o número completo do cartão de crédito.
Golpes reais documentados no trimestre
A Check Point publicou exemplos concretos de campanhas identificadas entre abril e junho de 2026, que mostram como esses golpes variam de simples a bem elaborados:
- Michael Kors: site clonado reproduzia toda a experiência de compra (catálogo, carrinho, checkout) só pra capturar dados de pagamento.
- UNIQLO: loja falsa aparecia pra uma região onde a marca nem opera oficialmente; o erro que denunciava o golpe eram os ícones de redes sociais, que não levavam a nenhuma conta real da empresa.
- Apple: página falsa de login do iCloud, em russo, usava logo e identidade visual reais, mas o botão de login sequer funcionava, sinal de que a campanha ainda estava em teste.
- PayPal: página quase idêntica à de login oficial trazia o logo visivelmente distorcido, provável indício de que foi gerado por ferramenta de IA em vez de copiado dos materiais originais da empresa.
- Microsoft: página falsa de suporte pedia uma “atualização de segurança urgente” do Office; ao clicar, a vítima não instalava nada da Microsoft, e sim um executável disfarçado, primeiro passo de uma infecção por malware.
Sinais de alerta que se repetem em quase todo golpe
Segundo o levantamento, alguns padrões aparecem quase sempre nesse tipo de golpe, e reconhecer 2 ou 3 já é o suficiente pra desconfiar:
- Urgência forçada: aviso de pagamento recusado, alerta de segurança ou atualização “obrigatória” que pede ação imediata.
- Falhas visuais pequenas: logo distorcido, botão que não responde, ícone que não leva a lugar nenhum.
- Domínio que não bate: endereço com erro de grafia, extensão incomum ou que claramente não pertence à marca.
- Marca de IA: imagens e logos gerados por IA estão deixando distorções sutis, cada vez mais um dos sinais mais confiáveis pra identificar uma página falsa.
Como se proteger
- Nunca clique no link do e-mail. Digite o endereço da marca direto no navegador, principalmente pra qualquer assunto de cobrança ou segurança de conta.
- Passe o mouse antes de clicar em qualquer botão pra conferir pra onde o link realmente aponta, sem precisar clicar.
- Desconfie sempre que houver pressa. Empresa séria não te dá poucas horas pra “regularizar” algo sob pena de perder a conta.
- Ative a verificação em duas etapas em todas as contas das marcas do topo da lista: mesmo que a senha vaze, o golpista ainda precisa do segundo código.
- Confirme direto com a empresa por um canal que você já conhece (app oficial, telefone do site oficial), nunca por um contato que veio na própria mensagem suspeita.
Mais sinais de alerta e como agir se você já caiu num golpe estão no nosso guia completo de phishing: como identificar e se proteger. O Ministério das Comunicações também mantém uma página oficial sobre como identificar tentativas de fraude na internet.
O que isso significa pra você
Se você usa e-mail, rede social, nuvem ou assinatura de IA de qualquer uma dessas 10 marcas, e a esmagadora maioria das pessoas usa pelo menos 3 ou 4, você é alvo em potencial todo santo dia. A defesa não depende de identificar cada golpe novo, depende de um hábito fixo: nunca decidir com pressa e nunca confiar num link que chegou por mensagem. Isso sozinho neutraliza a maior parte das campanhas descritas aqui.
🔗 Leia também
Perguntas frequentes
O que é phishing de marca?
É o golpe em que criminosos se passam por uma empresa conhecida, por e-mail ou site falso, pra roubar senha, dados ou dinheiro. Funciona porque a vítima baixa a guarda ao reconhecer o nome da marca e não desconfia do pedido.
Por que o ChatGPT entrou na lista pela primeira vez?
Porque ferramentas de IA viraram alvo assim que passaram a fazer parte da rotina de milhões de pessoas, com assinatura paga e pagamento recorrente. Um dos casos documentados no trimestre foi um e-mail falso de “falha no pagamento” do ChatGPT Plus, levando a uma página que roubava dados completos do cartão.
Quais setores são mais visados por esse tipo de golpe?
Tecnologia lidera, seguida de redes sociais e bancos. São os setores que concentram identidade, contatos profissionais e dinheiro, exatamente o que motiva o golpista.
Como sei se um e-mail dessas marcas é falso?
Preste atenção a logos distorcidos, botões que não funcionam, links de redes sociais que não abrem a página real da marca e qualquer mensagem que force pressa (pagamento vencido, conta bloqueada, atualização obrigatória). Golpes recentes até usam IA pra gerar logo, mas costumam sair levemente errados.
É seguro clicar no link de um e-mail dessas empresas?
Evite. Em vez de clicar, digite o endereço da marca direto no navegador, principalmente em mensagens sobre cobrança ou segurança da conta. Passar o mouse sobre o botão antes de clicar também mostra pra onde o link realmente leva.
A verificação em duas etapas ajuda contra esse golpe?
Sim. Mesmo que a senha vaze numa página falsa, a verificação em duas etapas (2FA) impede o login sem o segundo código, que só você tem. Vale ativar em qualquer conta que ofereça a opção, principalmente nas 5 marcas do topo da lista.
Essa porcentagem é sobre o Brasil ou o mundo todo?
O levantamento da Check Point é global, mas as marcas do topo (Microsoft, Google, Amazon, PayPal, WhatsApp) são tão usadas no Brasil quanto lá fora, e os golpes chegam por aqui em português, adaptados pro público local.
O que fazer se eu já cliquei num link falso dessas marcas?
Troque a senha da conta real imediatamente, direto pelo site oficial, ative a verificação em duas etapas e, se digitou dados de cartão, avise o banco pra bloquear e monitorar a fatura. Quanto mais rápido agir, menor a chance de prejuízo.
