O celular vibra: “Novo login na sua conta”. Dá um frio na barriga, o dedo vai direto ao botão de “verificar agora” e é justamente aí que mora o perigo. Alertas de acesso existem de verdade e ajudam muito, mas viraram também isca favorita de golpistas. Veja como saber qual é qual, e como conferir seus acessos sem depender do link da mensagem.
O aviso é de verdade ou é isca?
Os serviços sérios mandam alerta de login quando você entra em um aparelho novo, em outra região ou depois de mudar algo na conta. Costumam avisar por notificação no celular, por e-mail ou pelos dois. Os golpistas imitam o mesmo estilo para fazer você clicar com pressa.
Faça três perguntas antes de agir:
- Eu estava entrando em algum aparelho novo agora? Se sim, o aviso é esperado.
- A mensagem pede senha, código ou dados do cartão? Aviso legítimo informa o que aconteceu. Quem pede senha ou código por mensagem está pescando.
- Existe urgência com ameaça? “Sua conta será excluída em 24 horas” é pressão típica de golpe.
Sinais de que o e-mail de segurança é falso
Um exemplo do tipo de texto que circula: “Detectamos um acesso incomum à sua conta em outro país. Para evitar o bloqueio, confirme sua identidade em até 2 horas.” Repare nos ingredientes: um local distante para assustar, um prazo curto para apressar e um botão para você resolver tudo rápido. Ele parece um serviço de proteção, mas leva a uma página que só quer a sua senha.
Nenhum sinal sozinho decide, mas vários juntos pesam muito:
- Saudação genérica: “Prezado cliente”, “Caro usuário”.
- Endereço do link estranho: um nome parecido com o oficial, mas com palavras extras ou terminação diferente. O texto do botão pode dizer uma coisa e o endereço real ser outro.
- Remetente que não combina: o nome exibido parece oficial, mas o endereço de e-mail por trás é de outro domínio.
- Erros de português e imagens borradas, que os golpes mais caprichados já evitam, então a ausência deles não prova nada.
- Pedido para ligar para um número da própria mensagem. Quem atende pode se passar por “atendente de segurança” e pedir códigos.
- Horário e canal estranhos: aviso por SMS de um serviço que sempre usou e-mail, ou ao contrário.
- Anexo ou pedido para instalar algo “para proteger a conta”.
- Login pedido em página aberta pelo link, com visual idêntico ao oficial.
Para entender a lógica do golpe, o artigo phishing: o que é e como identificar uma mensagem falsa detalha o mecanismo. E se você já abriu o link, veja cliquei em link suspeito: o que fazer.
Como conferir seus acessos pelo caminho seguro
A regra é simples: não use o link do aviso. Faça a checagem por um caminho que você mesmo abriu.
- Conta Google: abra o aplicativo do Google ou digite myaccount.google.com. Em Segurança, veja Atividade de segurança recente e Seus dispositivos. Se algo estiver fora do normal, o Google costuma oferecer a opção ‘não fui eu’ com orientação guiada.
- Conta Microsoft: acesse a página da conta e entre em Segurança, onde aparece o histórico de atividade de login.
- Instagram e Facebook: no aplicativo, vá em Central de Contas > Senha e segurança > Onde você fez login.
- Apple: em Ajustes, toque no seu nome e veja os aparelhos ligados ao ID Apple.
- Banco e lojas: abra o aplicativo oficial e procure a área de segurança ou de aparelhos.
Os nomes dos menus podem variar. Se não achar, busque no próprio aplicativo por “segurança” ou “dispositivos”.
Quando a mensagem ainda causar dúvida, o Isso é golpe? pode servir de segunda opinião. Você cola o texto do e-mail ou o endereço de um link, sem clicar nele, e recebe uma nota de 0 a 10 de risco, os motivos e uma sugestão do que fazer. A nota junta sinais objetivos, como formato do endereço, imitação de marcas e pedido de senha ou código, com uma análise de inteligência artificial. É uma estimativa, não uma garantia, e nunca substitui a conferência dentro da própria conta. Nunca cole senhas nem códigos de verificação nele.
O alerta é real e o acesso não foi seu
Se a lista de acessos mostra um login que você não fez, aja nesta ordem, de um aparelho de confiança:
- Encerre as sessões desconhecidas.
- Troque a senha por uma nova, longa e usada só nessa conta.
- Ative ou revise a verificação em duas etapas (o guia verificação em duas etapas: o que é e como ativar mostra como).
- Revise e-mail e telefone de recuperação, para garantir que ninguém os trocou.
- Troque também a senha de outras contas que usam a mesma combinação.
Você já clicou, digitou a senha ou passou um código
Não perca tempo se sentindo culpado. Quem acessou é a pessoa que quis enganar você, e isso acontece com gente experiente.
- Se digitou a senha, troque-a agora no site ou aplicativo oficial e em qualquer outra conta que use a mesma.
- Se passou um código, assuma que a conta pode ter sido acessada: troque a senha, encerre as sessões e verifique os dados de recuperação.
- Se digitou dados de cartão, ligue para o banco pelo número impresso no cartão e peça o bloqueio.
O guia caí em um golpe: o que fazer nas primeiras horas cobre os próximos passos.
Um hábito que resolve quase tudo
Tome como regra: alerta de segurança se confere no aplicativo, nunca no link. Assim, mesmo uma mensagem falsa muito bem feita perde a graça, porque o único caminho que você segue é o que você mesmo abriu.