Como identificar phishing em e-mails e SMS: 6 sinais de alerta que funcionam

O phishing é um dos truques mais antigos da internet e continua funcionando porque mira pessoas, não software. Chega uma mensagem que parece do seu banco, de uma transportadora, do seu empregador ou de um serviço de streaming. Ela pede que você clique num link, abra um anexo ou “confirme” dados. O objetivo é quase sempre o mesmo: roubar uma senha, um número de cartão ou o acesso a uma conta.

A boa notícia é que você não precisa ser especialista para pegar a maioria. Basta alguns hábitos e a paciência de parar por dez segundos antes de agir.

1. Urgência e pressão

Golpistas querem que você aja antes de pensar. Frases como “sua conta será encerrada em 24 horas”, “atividade incomum detectada” ou “aviso final” foram feitas para causar pânico. Organizações legítimas até enviam mensagens urgentes, mas raramente ameaçam com consequências imediatas por um link inesperado. Quanto mais urgente a mensagem parece, mais devagar você deve ir.

2. Endereço do remetente levemente errado

O nome exibido pode dizer qualquer coisa, como “Suporte do seu Banco”. O que importa é o endereço real por trás. Procure domínios com erro de grafia (letra extra ou trocada), e-mails gratuitos usados por supostas grandes empresas e domínios sem relação que só começam com um nome de marca conhecido.

3. Links que não combinam com o texto

Um link pode dizer “seubanco.com.br” e apontar para outro lugar. No computador, passe o mouse sem clicar e veja o endereço no canto inferior da janela. No celular, pressione e segure para ver a prévia. Se o destino for desconhecido ou um link encurtado que você não consegue verificar, não abra.

4. Pedidos de informações sensíveis

Empresas sérias em geral não pedem senhas, números completos de cartão, códigos de uso único nem respostas de segurança por e-mail ou SMS. Códigos de verificação nunca devem ser ditos a quem entrou em contato com você.

5. Anexos inesperados

Faturas, “mensagens de voz”, etiquetas de envio e “documentos compartilhados com você” são disfarces comuns de malware. Se você não esperava o arquivo, não abra. Até um remetente conhecido pode ter sido invadido; confirme por outro canal.

6. Contato que muda de canal

Golpistas costumam começar por e-mail e depois empurrar você para um aplicativo de mensagens, uma ligação ou um programa de acesso remoto. Desconfie principalmente se alguém pedir que você instale um programa para “ajudar” com um problema que você não relatou.

O que fazer na dúvida

1. Pare. Não clique, não responda, não ligue para número da mensagem.
2. Vá direto à fonte. Digite você mesmo o endereço do site oficial ou use o aplicativo oficial.
3. Use um contato confiável. Procure o telefone no cartão, num extrato ou no site oficial, não na mensagem.
4. Denuncie e depois apague a mensagem.

Se você já clicou

Troque a senha no site verdadeiro (e em todo lugar onde a reutilizou), ative a autenticação em dois fatores, ligue para o banco por um número oficial se informou dados do cartão e acompanhe suas contas.

Você não consegue impedir todas as mensagens golpistas de chegar, mas pode reduzir o estrago usando senha única em cada conta. Nosso gerador de senhas roda no seu navegador.