Uma fatura pendente, uma citação judicial ou um contrato para assinar chegam quase sempre no mesmo formato: PDF. Por isso, abrir esse arquivo se tornou um gesto automático — e os cibercriminosos aprenderam a usar essa confiança a seu favor.
Segundo a ESET, companhia de cibersegurança, o PDF/Phishing se posicionou entre as ameaças mais relevantes da América Latina durante o primeiro semestre de 2026, com mais de 107 mil detecções registradas na região.
Os arquivos PDF continuam entre os formatos mais utilizados pelos atacantes em campanhas distribuídas por e-mail. No Brasil, representaram cerca de 55% dos tipos de arquivo associados a ameaças detectadas por essa via, muito à frente dos scripts maliciosos (cerca de 25%) e dos documentos do Office (cerca de 5%).
O que é um PDF malicioso e por que funciona
O termo “PDF malicioso” abrange situações distintas. Em alguns casos, o risco está no próprio arquivo, por meio de scripts, objetos embutidos ou vulnerabilidades exploradas. Em outros, o PDF funciona como porta de entrada para a próxima etapa do ataque, com um link, um código QR ou uma instrução que induz a baixar outro arquivo.
Um PDF malicioso pode chegar por e-mail, simulando ser uma fatura, notificação ou contrato, com:
um link para uma página falsa;
um código QR que direciona a um site fraudulento;
ou elementos que explorem vulnerabilidades do leitor de PDF para instalar malware sem que a vítima perceba.
Também pode ser um arquivo com aparência de documento legítimo que contém links, códigos QR ou código oculto projetados para roubar credenciais, instalar malware ou aplicar golpes contra o destinatário.
“O PDF é um dos formatos mais eficazes para a engenharia social porque faz parte da rotina de trabalho de praticamente qualquer pessoa. Faturas, comprovantes, documentos fiscais, contratos e documentos assinados são elementos habituais na vida cotidiana e no trabalho.”
— Mario Micucci, investigador de Segurança Informática da ESET Latinoamérica
Essa familiaridade reduz a desconfiança inicial da vítima. A isso se soma a versatilidade técnica do formato: um PDF pode conter links ocultos, códigos QR e até código projetado para explorar vulnerabilidades em leitores de PDF.
Como roubam dados e dinheiro com um PDF
O e-mail é a principal via de entrada dessas campanhas. A partir daí, o ataque pode seguir diferentes caminhos para chegar ao roubo de informações ou dinheiro:
PDF com link que leva a um site falso, onde são roubadas credenciais ou dados pessoais;
PDF com código QR: a vítima o escaneia pelo celular e acessa um site fraudulento ou baixa malware;
PDF com link que baixa outro arquivo, por exemplo, um ZIP, que a vítima executa e acaba infectando o equipamento com malware, às vezes após etapas intermediárias que incluem scripts ou comandos do PowerShell;
PDF com código malicioso oculto que explora diretamente uma vulnerabilidade do leitor para executar ou baixar software malicioso.
Em um caso observado pela equipe da ESET na Colômbia, uma campanha buscava distribuir um trojan de acesso remoto (RAT) em empresas. O e-mail de phishing continha um PDF anexo com um link que baixava um arquivo RAR compactado. Ao extraí-lo e executá-lo, era ativado um código malicioso que baixava um dropper, responsável por executar automaticamente o trojan de acesso remoto.
“Este caso mostra um dos métodos mais habituais atualmente: utilizar o PDF como uma etapa intermediária que convence a vítima a realizar uma ação que finalmente conduz ao download de malware.”
— Mario Micucci
Como se proteger de um PDF malicioso
As principais recomendações são:
Verificar o nome e a extensão do arquivo antes de abri-lo;
Revisar o remetente e validar a mensagem por outro canal, se possível;
Evitar clicar em links ou botões de “habilitar conteúdo” dentro do PDF;
Manter o sistema e o leitor de PDF atualizados;
Utilizar uma solução de segurança que detecte esse tipo de ameaça.
Se o arquivo já tiver sido aberto, as recomendações são:
Fechá-lo sem clicar em links nem botões;
Desconectar o equipamento da internet para interromper a comunicação com servidores maliciosos;
Contatar o suporte de TI no caso de um computador corporativo;
Realizar uma análise completa com uma solução de segurança confiável.
