Durante anos, boa parte dos conselhos sobre segurança digital cabia em algumas frases conhecidas. Não clique em links estranhos. Use um antivírus. Crie uma senha forte. Desconfie daquele príncipe distante que resolveu dividir uma fortuna justamente com você.
O problema é que o criminoso digital de 2026 também evoluiu.
Continua depois da publicidade
O primeiro Consumer Cybersecurity Report da NordVPN tenta colocar números nessa transformação. Produzido pela divisão de inteligência de segurança da empresa, o estudo analisa dados do primeiro semestre de 2026 e aponta para um cenário no qual golpes, phishing e malware estão se tornando mais automatizados, personalizados e difíceis de identificar.
E talvez essa seja a parte mais relevante do relatório. A discussão deixou de ser simplesmente sobre reconhecer um email mal escrito. Agora envolve golpes capazes de usar inteligência artificial, informações pessoais vazadas e a identidade de empresas conhecidas para construir abordagens muito mais convincentes.
Mais de 2 bilhões de URLs analisadas
Segundo a metodologia divulgada pela NordVPN, seus sistemas de proteção contra golpes e phishing avaliaram mais de 2 bilhões de URLs únicas durante o primeiro semestre de 2026. Desse volume, 1,2% foi identificado como malicioso.
Pode parecer uma porcentagem pequena até colocarmos a escala na equação. A NordVPN afirma que sua tecnologia analisa aproximadamente 12 milhões de URLs por dia e bloqueia cerca de 130 mil links maliciosos diariamente.
Em um mês, são aproximadamente 360 milhões de endereços diferentes analisados, com o número de URLs prejudiciais podendo chegar a 1,3 milhão.
Isso também ajuda a mostrar uma mudança importante na segurança digital. O endereço suspeito nem sempre parece suspeito. Sites fraudulentos podem reproduzir marcas, páginas de login e lojas com um nível visual suficientemente convincente para enganar alguém que esteja com pressa.
E estar com pressa, como veremos, é praticamente um recurso explorado pelos criminosos.
A dark web está ajudando a montar perfis completos das vítimas
Outra parte relevante do estudo envolve credenciais e informações encontradas em vazamentos monitorados na dark web.
Durante um período de 90 dias, as ferramentas analisadas pela NordVPN identificaram 8,4 milhões de contas comprometidas. Segundo o relatório, os dados de um usuário típico apareceram, em média, 4,5 vezes entre as exposições identificadas no início de 2026.
O tipo de informação vazada também chama atenção.
Continua depois da publicidade
Endereços físicos representam 24% dos dados identificados, enquanto nomes completos aparecem em 23%. Informações relacionadas às redes sociais correspondem a 10% e senhas representam 9%.
Individualmente, algumas dessas informações podem parecer pouco interessantes. Juntas, contam outra história.
Nome, endereço, perfil social, email e uma senha antiga podem ser suficientes para construir um retrato bastante detalhado de uma pessoa. Acrescente inteligência artificial e automação e o criminoso ganha ferramentas para produzir mensagens muito mais específicas.
O relatório também registra crescimento de 33% mês a mês nas exposições de dados observadas na dark web durante o primeiro semestre de 2026.
A leitura feita pelos pesquisadores da NordVPN é que esse movimento pode estar relacionado à industrialização do cibercrime. Em outras palavras, dados roubados deixaram de ser apenas resultado de ataques isolados e passaram a alimentar um ecossistema capaz de reaproveitar essas informações em novas fraudes.
O golpe pode ter um endereço perfeitamente normal
Existe uma crença curiosamente resistente de que sites fraudulentos precisam usar domínios estranhos. Segundo os dados apresentados pela NordVPN, não é bem assim.
O domínio .com aparece em 43,2% dos casos interceptados analisados no relatório. Para um criminoso, a escolha faz sentido justamente porque usuários estão acostumados a confiar nessa extensão.
É uma demonstração simples de por que avaliar um endereço apenas pela aparência deixou de ser uma boa estratégia.
Um site pode ter um domínio aparentemente legítimo, certificado HTTPS, identidade visual profissional e textos convincentes. Nenhuma dessas características, isoladamente, prova que existe uma empresa legítima do outro lado da tela.
O velho cadeado do navegador continua tendo uma função técnica importante, mas nunca foi certificado de bom caráter.
Inteligência artificial também chegou aos golpes
A inteligência artificial generativa reduziu significativamente a barreira necessária para produzir conteúdo convincente em escala.
E os criminosos perceberam isso.
Continua depois da publicidade
De acordo com o relatório, ferramentas de IA estão sendo utilizadas para produzir textos, cenários e até vozes capazes de imitar pessoas e marcas. Ao mesmo tempo, automação pode auxiliar criminosos na identificação de vulnerabilidades, exploração de sistemas antigos e desenvolvimento de ferramentas maliciosas.
Isso muda uma das regras informais usadas durante anos para reconhecer phishing.
Erros de português, frases estranhas e traduções ruins continuam sendo sinais de alerta, mas sua ausência não significa mais muita coisa.
- Um email fraudulento pode estar perfeitamente escrito.
- Uma ligação pode reproduzir uma voz conhecida.
- Uma mensagem pode utilizar informações verdadeiras sobre você.
A NordVPN também chama atenção para golpes que exploram a própria popularidade da inteligência artificial. Criminosos podem imitar sites e ferramentas legítimas para convencer usuários a baixar malware ou fornecer dados de pagamento.
O relatório menciona inclusive tentativas de se passar por ferramentas relacionadas ao Google Gemini CLI.
É o golpe usando a tendência do momento para vender o próprio golpe. O roteiro muda, mas a criatividade do criminoso continua bastante previsível.
Microsoft, Roblox e Google estão entre os principais alvos
Os criminosos também parecem concentrar esforços onde existe maior possibilidade de retorno. Segundo a pesquisa, 99% das tentativas de phishing analisadas imitam apenas 300 marcas.
A Microsoft aparece na primeira posição, representando 16,12% das tentativas observadas. A empresa é especialmente interessante porque uma credencial corporativa ou de nuvem comprometida pode abrir caminho para outros serviços.
Roblox aparece com 12,32%, com ataques frequentemente direcionados a usuários mais jovens e itens ou moedas virtuais. Google representa 9,94%.
Nesse último caso, existe um motivo especialmente importante para preocupação. Uma conta Google comprometida pode servir como porta de entrada para outros serviços, inclusive através de processos de recuperação e redefinição de senha.
Por isso, proteger a conta principal de email continua sendo uma das decisões mais importantes para a segurança de toda a identidade digital.
Janeiro registrou mais de 5 milhões de tentativas de malware
O comportamento dos ataques também acompanha o calendário. Em janeiro de 2026, a NordVPN afirma ter bloqueado mais de 5 milhões de tentativas de malware, registrando o maior pico observado até aquele momento no ano.
O período coincide com o pós festas e com campanhas promocionais que continuam depois do Natal.
Para criminosos, eventos comerciais são particularmente interessantes porque fornecem um ingrediente valioso: urgência.
- Últimas unidades.
- Promoção termina hoje.
- Seu pedido precisa ser confirmado.
- Seu pagamento foi recusado.
- Sua encomenda está retida.
Quando alguém acredita que precisa agir imediatamente, existe menos espaço para analisar aquilo que está vendo.
A expectativa apresentada no relatório é que períodos como Black Friday e Natal possam registrar movimentos semelhantes ou até maiores em golpes, phishing e malware.
Então o antivírus morreu?
Não. Mas achar que instalar um antivírus resolve toda a segurança digital também nunca foi uma estratégia particularmente brilhante.
O próprio relatório da NordVPN argumenta que as ameaças atuais estão ultrapassando o modelo baseado apenas em antivírus tradicionais e filtros de spam.
Isso acontece porque nem todo ataque precisa explorar uma vulnerabilidade técnica.
Muitas vezes, a vulnerabilidade é a confiança.
Se alguém voluntariamente fornece uma senha em uma página falsa perfeitamente construída, o criminoso não precisou quebrar criptografia, invadir servidores ou descobrir uma falha secreta. Bastou criar uma história suficientemente convincente.
Por isso, ferramentas automáticas precisam funcionar junto com autenticação forte, atualização de software e, principalmente, verificação humana.
Como se proteger dos golpes de 2026
Uma das recomendações mais simples do relatório também é uma das mais úteis: diminuir a velocidade antes de agir.
Golpes dependem frequentemente de urgência. Quando uma mensagem exige uma decisão imediata, vale abrir outro canal para confirmar a informação.
Se o banco enviou uma mensagem suspeita, abra o aplicativo oficial em vez de tocar no link recebido. Se uma loja informar sobre algum problema com uma compra, acesse o site digitando o endereço diretamente no navegador.
O mesmo vale para ligações.
Uma voz conhecida não deve mais ser tratada automaticamente como prova de identidade. Caso alguém peça dinheiro ou informações confidenciais em uma situação incomum, encerrar a ligação e entrar em contato novamente por um número conhecido pode evitar problemas.
Também vale reduzir a quantidade de informações pessoais publicadas abertamente nas redes sociais. Fotos, voz, localização, familiares, profissão e rotina podem ajudar na construção de golpes personalizados.
Autenticação multifator continua sendo fundamental, principalmente nas contas de email, serviços financeiros e redes sociais.
Gerenciadores de senhas também ajudam porque permitem criar credenciais diferentes para cada serviço. Assim, uma senha exposta em um vazamento não necessariamente abre as portas das outras contas.
E antes de instalar programas, extensões ou supostas ferramentas de inteligência artificial, vale conferir se o download realmente vem do desenvolvedor oficial.
Parece básico. Esse é justamente o problema. Boa parte da segurança digital depende de decisões básicas tomadas consistentemente.
Um relatório importante, mas com contexto
Existe um detalhe que precisa acompanhar qualquer interpretação dos números apresentados pela NordVPN.
O estudo utiliza dados agregados e anonimizados provenientes dos próprios recursos de segurança da empresa, combinados com fontes externas de inteligência de ameaças.
Isso significa que os números refletem principalmente a atividade detectada em dispositivos que possuíam os respectivos recursos de proteção habilitados. Portanto, eles não representam necessariamente toda a internet ou todos os usuários.
Na análise de golpes e phishing, por exemplo, foram avaliadas mais de 2 bilhões de URLs únicas. Para o monitoramento da dark web, a NordVPN afirma ter analisado cerca de 8 milhões de notificações relacionadas a vazamentos.
A empresa também analisou 2,5 milhões de endereços de criptomoedas apontados por fontes externas como potencialmente associados a golpes ou fraudes e mais de 1 milhão de eventos relacionados ao seu sistema de proteção de chamadas.
É uma base relevante para observar tendências, mas deve ser interpretada dentro desse universo de dados.
Especialmente porque estamos falando de um relatório produzido por uma empresa que também comercializa produtos de segurança.
Isso não invalida os números. Só significa que metodologia e contexto importam. Como deveriam importar em qualquer relatório de segurança.
O novo phishing pode conhecer você
Talvez a conclusão mais importante do Consumer Cybersecurity Report 2026 não esteja em um número específico. Está na combinação deles.
Milhões de credenciais circulando em vazamentos fornecem matéria prima. Inteligência artificial permite transformar esses dados em conteúdo personalizado. Automação possibilita executar campanhas em escala. Marcas conhecidas fornecem credibilidade e períodos promocionais adicionam urgência.
O resultado é um golpe muito diferente daquele email absurdo que prometia milhões de dólares em troca de uma pequena transferência bancária.
O ataque moderno pode conhecer seu nome.
- Pode saber onde você trabalha.
- Mencionar um serviço que realmente utiliza.
- Escrever perfeitamente no seu idioma.
E pode aparecer em um site visualmente impecável.Nesse cenário, segurança digital deixa de ser apenas instalar uma ferramenta e esperar que ela resolva tudo.
Tecnologia continua sendo parte fundamental da defesa, mas precisa ser acompanhada de uma habilidade cada vez mais importante: verificar antes de confiar.
Porque, em 2026, o golpe mais perigoso provavelmente não será aquele que parece falso. Será justamente aquele que parece verdadeiro.
