O golpe por mensagem parou de ter erro de português faz tempo. Hoje ele chega com a identidade visual correta, o tom certo e o assunto exato de algo que você realmente contratou. Procurar erro de escrita virou um mau critério, porque quem escreve mal já foi filtrado pelo seu bom senso e quem escreve bem passa direto.
O sinal que continua funcionando é outro e não tem nada a ver com o texto: o endereço de onde a mensagem veio e o endereço para onde o link leva. Ler isso corretamente leva cinco segundos e resolve a esmagadora maioria dos casos.
Como ler um endereço em 5 segundos
Todo endereço de site tem um dono, e o dono está sempre no mesmo lugar: nas duas partes imediatamente antes da primeira barra, lidas da direita para a esquerda.
Se o endereço é algumacoisa.banco.com.br/login, o dono é banco.com.br. Legítimo. Se é banco.com.algumacoisa.net/login, o dono é algumacoisa.net, e o nome do banco ali no meio é decoração. É a mesma lógica de um envelope: o que vale é o remetente impresso pelo correio, não o nome bonito escrito no papel.
Três variações que exploram a leitura apressada:
- Letra trocada. Um caractere alterado que a vista completa sozinha, especialmente em nome longo.
- Hífen no lugar do ponto. Transforma o que parecia subdomínio em domínio de outro dono.
- Terminação diferente da habitual. A empresa que você conhece com endereço nacional aparecendo com terminação estrangeira.
No celular, o nome de exibição do remetente esconde o endereço real. Tocar e segurar sobre o nome, ou sobre o link, mostra o destino verdadeiro antes de abrir. Esse gesto é a defesa mais barata que existe.
7 exemplos reais e o que denuncia cada um
1. Cobrança de assinatura que você realmente tem. Aviso de pagamento recusado em serviço que você usa mesmo, pedindo atualização do cartão. O que denuncia: o link não leva ao domínio do serviço. A conferência correta é abrir o aplicativo por fora e checar a cobrança lá dentro.
2. Encomenda parada com taxa pendente. Funciona porque quase sempre existe alguma entrega a caminho. O que denuncia: transportadora não cobra taxa por mensagem com link de pagamento, e o código de rastreio não bate com nenhuma compra sua.
3. Comunicado do RH pedindo atualização de dados. Mira quem trabalha remoto, porque não dá para virar a cadeira e perguntar. O que denuncia: o endereço interno da empresa está sutilmente diferente, e o pedido chega por canal que o RH não costuma usar.
4. Fatura de fornecedor com a conta bancária trocada. O mais caro da lista e o mais perigoso para quem trabalha por conta própria. A mensagem vem na sequência de uma conversa real, às vezes da caixa de e-mail invadida do próprio fornecedor, avisando de mudança de conta. O que denuncia: nada no texto. A defesa é procedimental, com ligação de confirmação para um número que você já tinha antes, nunca para o número que veio na mensagem.
5. Documento compartilhado na nuvem. Aviso de que alguém compartilhou um arquivo com você. O que denuncia: o remetente é uma conta pessoal aleatória e o botão leva a uma página de login clonada em vez de abrir o arquivo.
6. Alerta de acesso suspeito na sua conta. Usa o medo para criar pressa, o que é o objetivo real. O que denuncia: pede que você confirme a senha por um link. Serviço nenhum pede senha por mensagem para verificar acesso.
7. Proposta de trabalho remoto boa demais. Salário acima do mercado, processo rápido, contato por aplicativo de mensagem. O que denuncia: pedido de dados pessoais completos antes de qualquer entrevista, ou de pagamento por equipamento e treinamento.
Os 4 sinais que valem mais que o português impecável
- Urgência artificial. Prazo curto, ameaça de bloqueio, cobrança de decisão imediata. Pressa é a ferramenta principal do golpe, porque ela desliga a conferência.
- Canal errado. Assunto sério chegando por canal informal, ou a empresa mudando de canal sem explicação.
- Anexo inesperado. Principalmente planilha ou documento pedindo para habilitar edição, e qualquer arquivo compactado.
- Pedido de código. Qualquer mensagem que peça o código de verificação é golpe, sem exceção possível. Esse ponto se conecta direto com a autenticação em dois fatores, porque o código só tem valor para quem já tem a sua senha.
O protocolo dos 10 segundos
Antes de clicar em qualquer coisa que peça ação:
- Passe o cursor sobre o link, ou toque e segure no celular, e leia o dono do endereço.
- Pergunte se você estava esperando essa mensagem.
- Se envolve dinheiro, dado ou senha, feche a mensagem e entre pelo aplicativo ou pelo endereço que você já conhece.
A terceira linha é a regra de ouro e substitui todas as outras: nunca chegue ao site pelo link recebido. Chegue por onde você sempre chega. Se a cobrança existe, ela vai estar lá.
Um detalhe prático que funciona como alarme: se você usa gerenciador de senhas e ele não preencheu sozinho num site que você acessa sempre, desconfie na hora. Ele compara o endereço e não preenche em domínio parecido, o que faz dele um detector de página falsa melhor que o olho humano.
Cliquei e digitei. E agora?
Reagir rápido muda o resultado. Na ordem:
- Troque a senha do serviço afetado e de todos os que usavam a mesma senha.
- Ative ou confira o segundo fator nessas contas.
- Encerre as sessões abertas nas configurações de segurança.
- Verifique se foi criada regra de encaminhamento no seu e-mail, que é a forma mais comum de manter acesso depois da troca de senha.
- Se envolveu dado bancário, avise o banco e registre boletim de ocorrência.
- Se envolveu dado de cliente, a comunicação passa a ter prazo e forma definidos, o que entra na responsabilidade sobre dados de terceiros.
Quando não é phishing
Existe o falso positivo, e ele custa oportunidade. Comunicação legítima às vezes tem cara de golpe: sistema de assinatura eletrônica envia link de domínio que você nunca viu, disparador de e-mail usa endereço técnico, recrutador de verdade escreve por aplicativo de mensagem.
A saída não é responder nem ignorar. É confirmar por outro caminho, ligando para a empresa pelo número do site oficial ou procurando a pessoa no canal em que vocês já conversavam. Confirmação paralela é o único método que funciona tanto para o golpe quanto para o legítimo, e por isso vale como hábito único.
Leia também
- Autenticação em dois fatores: qual método ativar
- Senha do roteador: como descobrir, trocar e blindar a rede
Perguntas frequentes
Como saber se um e-mail é phishing?
Olhe o endereço real do remetente e o destino do link, não o texto. O dono do endereço está nas duas partes antes da primeira barra, lidas da direita para a esquerda. Some a isso três perguntas: você esperava essa mensagem, ela cria pressa e pede dado ou senha. Na dúvida, entre no serviço pelo caminho que você já usa e confira lá.
Só abrir o e-mail já é perigoso?
Abrir uma mensagem em um aplicativo de e-mail atualizado é seguro na prática. O risco mora em clicar no link, abrir anexo, habilitar conteúdo bloqueado e responder. A exceção é a imagem carregada automaticamente, que confirma para o remetente que o endereço existe e costuma render mais mensagens depois.
Recebi mensagem de golpe. Devo denunciar?
Vale. No e-mail, marque como phishing em vez de apenas apagar, porque isso alimenta os filtros que protegem outras pessoas. Golpe que se passa por empresa costuma ter canal próprio de denúncia no site oficial. Casos com prejuízo financeiro pedem boletim de ocorrência, que é o que permite ação junto ao banco.
Antivírus resolve phishing?
Ajuda e não resolve sozinho. Ele bloqueia parte dos endereços já conhecidos e barra anexo malicioso, mas páginas falsas novas entram no ar às centenas por dia e ficam fora das listas por algumas horas, que é justamente a janela de uso delas. Contra a versão que só pede a sua senha, quem decide é você.
Fontes
Conteúdo informativo, produzido com base em fontes oficiais e revisado antes da publicação. Não substitui a orientação de um profissional habilitado. Confirme os dados nas fontes citadas antes de tomar decisões.