Phishing não invade nada. Ele convence você a abrir a porta. É por isso que o golpe atravessa sistemas bem protegidos: o elo atacado é a pessoa apressada lendo uma mensagem no meio do dia. Este guia mostra o que olhar antes de clicar, quais sinais aparecem nas campanhas que circulam no Brasil e o que fazer nas primeiras horas depois de ter caído.
Resposta rápida
- Leia o endereço do link da direita para a esquerda: o domínio real é o que vem antes da primeira barra.
- Desconfie de urgência com prazo curto, o ingrediente presente em quase toda campanha.
- Nenhum banco pede código de verificação por telefone, mensagem ou e-mail.
- Se já digitou a senha: troque agora, ative a segunda etapa e encerre as sessões abertas.
Conteúdo educativo de segurança da informação. Não substitui a orientação do seu banco nem de um profissional em um incidente em andamento.
O que é phishing, sem metáfora
Phishing é engenharia social aplicada em escala. O atacante monta uma página ou uma mensagem que imita uma marca conhecida e espera que uma fração pequena das pessoas responda. Não precisa de muita gente: uma campanha com dezenas de milhares de envios se paga com poucos acertos, e o custo de disparar é quase zero.
Isso muda o que conta como defesa. Não adianta esperar uma mensagem visivelmente mal feita, porque as campanhas melhoraram. Adianta ter um hábito fixo de verificação que você aplica sempre, mesmo quando a mensagem parece perfeita, principalmente quando ela parece perfeita.
O endereço do link é a prova principal
Texto, logotipo e assinatura são fáceis de copiar. O endereço, não: o atacante precisa de um domínio que ele controle. Por isso a verificação começa e quase sempre termina ali.
Leia o endereço da esquerda até a primeira barra e olhe o final desse trecho. Em https://nomedobanco.com.br.login-seguro.net/acesso, o domínio real é login-seguro.net, e o nome do banco é só um enfeite colocado à esquerda para enganar a leitura apressada. Esse é o truque mais comum de todos, e ele funciona porque lemos da esquerda para a direita e paramos no primeiro nome conhecido.
Endereços também escondem caracteres codificados, no formato %2F ou %40, que o navegador entende mas o olho não. Colar o link em um decodificador de URL mostra o endereço em texto legível antes de qualquer clique. Se o endereço começa com xn--, ele usa caracteres de outro alfabeto que imitam letras latinas, o que quase nunca é o que você espera de um site brasileiro conhecido.
Os sinais que se repetem nas campanhas
Depois de ver muitas campanhas, os padrões ficam evidentes. O primeiro é a urgência com prazo: conta bloqueada em 24 horas, entrega devolvida hoje, chave Pix cadastrada por outra pessoa. A pressa existe para impedir a verificação, que levaria dez segundos.
O segundo é o canal errado para o assunto. Banco não trata bloqueio por SMS com link, Receita não cobra por WhatsApp, empresa de entrega não pede taxa por mensagem privada. Quando o assunto é sério e o canal é informal, a combinação já denuncia.
O terceiro é o pedido que nenhuma instituição faz: código de verificação, senha completa, foto do cartão, instalação de um programa de acesso remoto para o atendimento resolver. Esse último virou comum em golpes por telefone e é o mais caro de todos, porque entrega a máquina inteira.
Quando o link vem dentro de um QR Code
O QR Code é o disfarce perfeito para um endereço, porque ninguém consegue lê-lo a olho nu. Adesivos colados sobre códigos legítimos aparecem em cartazes, máquinas de pagamento e contas de consumo. O aplicativo abre a câmera, o pagamento parece normal e o dinheiro vai para outro destino.
A regra prática é simples: antes de confirmar, confira se o nome do recebedor e o valor batem com o esperado, e olhe se o código não é um adesivo por cima de outro. Para entender o que um código carrega e testar por conta própria, veja como funciona o QR Code por dentro e gere os seus no gerador de QR Code.
Por que a senha reutilizada transforma um golpe em vários
Quando uma senha vaza, ela não fica parada. Entra em listas que são testadas automaticamente em outros serviços, uma técnica chamada credential stuffing. Se a sua senha do site pequeno que vazou é a mesma do e-mail principal, o atacante não precisa de phishing nenhum para a segunda conta.
Daí a recomendação que parece exagerada e não é: uma senha diferente por serviço, guardada em um gerenciador. O tamanho importa mais que a confusão de símbolos, um ponto que o guia de senha forte detalha com o cálculo de entropia. Para gerar uma agora, sorteada no seu próprio navegador, use o gerador de senha forte.
Verificação em duas etapas: o que protege e o que não
A segunda etapa reduz muito o estrago de uma senha vazada, e é a primeira coisa a ativar em e-mail, banco e redes sociais. Mas nem toda segunda etapa resiste a phishing. Código por SMS ou por aplicativo autenticador pode ser pedido na página falsa e usado no site verdadeiro em segundos, enquanto você ainda olha a tela de carregamento.
O que resiste é o fator que não pode ser repassado: chave de acesso (passkey) ou chave de segurança física. Elas amarram a credencial ao endereço do site, então uma página falsa simplesmente não recebe nada. Onde a opção existir, vale trocar.
O que fazer nas primeiras horas depois de cair
A ordem importa mais que a pressa. Comece trocando a senha da conta atingida e de qualquer outra que usava a mesma senha, priorizando o e-mail principal, porque ele recupera todas as demais. Depois ative a verificação em duas etapas e encerre as sessões abertas nas configurações de segurança, o que expulsa quem já entrou.
Se houve dado bancário, avise o banco pelo número impresso no cartão ou pelo aplicativo oficial, nunca por um contato que veio na mensagem. Guarde as evidências, que são a mensagem original, o endereço acessado e os horários: elas são pedidas em registro de ocorrência e em análise de ressarcimento. Se instalou algum programa a pedido do golpista, considere a máquina comprometida e trate as senhas digitadas nela como vazadas.
Como confirmar um arquivo que chegou por mensagem
Anexos e instaladores baixados de link são o segundo braço do phishing. Quando o fornecedor publica a impressão digital do arquivo, o chamado hash, dá para comparar a do arquivo que você baixou com a oficial antes de executar. Números diferentes significam arquivo diferente do publicado. O gerador de hash calcula no seu navegador, e o guia de hash de arquivo explica a comparação passo a passo.
Empresas pequenas: o alvo preferido
Negócio pequeno junta duas condições que o atacante procura: movimenta dinheiro e não tem equipe de segurança. As campanhas mais rentáveis contra esse público não pedem senha, e sim uma mudança de dados bancários em um pagamento que já estava combinado. A defesa que funciona é procedimento, não ferramenta: toda alteração de conta de fornecedor é confirmada por telefone conhecido, nunca pelo contato da mensagem.
Vale lembrar que dado pessoal de cliente exposto em um incidente entra no escopo da LGPD, com dever de comunicação. O guia de LGPD para pequenas empresas cobre essa parte.
Limitações deste guia
Técnicas de golpe mudam rápido, e nenhuma lista de sinais cobre tudo. O conteúdo aqui é educativo e não substitui a orientação do seu banco ou de um profissional durante um incidente em andamento. Em caso de perda financeira, procure a instituição pelos canais oficiais e registre ocorrência.
Fontes oficiais
- Cartilha de Segurança para Internet (CERT.br): referência brasileira sobre golpes, códigos maliciosos e boas práticas.
- gov.br: orientação oficial para denúncia de crime cibernético.
- Banco Central (golpes e fraudes): o que o banco pode e o que nunca vai pedir.
- NIST SP 800-63B: diretrizes de autenticação, incluindo resistência a phishing.
Conclusão
A verificação que segura a maior parte dos golpes leva dez segundos: ler o endereço até a primeira barra e desconfiar de qualquer prazo curto. O resto é higiene que se faz uma vez e vale por anos, como senha diferente por serviço e segunda etapa ativa. Comece pelo gerador de senha forte, confira links suspeitos no decodificador de URL e veja as demais ferramentas de tecnologia.