O e-mail diz que é do banco, da loja ou da Receita, o nome parece certo e o layout também. Só que o nome que você vê no topo é apenas um rótulo, e ele não prova quem enviou. O que vale é o endereço por trás desse nome. Veja como encontrá-lo no Gmail e no Outlook, e como compará-lo com o que deveria ser.
O nome exibido não é o endereço
Todo e-mail tem duas partes de identificação do remetente:
- O nome de exibição, que qualquer pessoa pode escolher livremente. Alguém pode configurar “Banco Segurança” sem ter ligação com banco nenhum.
- O endereço de e-mail, no formato nome@dominio.com.br. A parte depois do arroba é o domínio, que indica de que organização a mensagem diz vir.
Muitos aplicativos de celular mostram só o nome para economizar espaço. É por isso que o golpe funciona: ele aposta que você não vai olhar o endereço.
Passo a passo no Gmail
No computador:
- Abra o e-mail.
- Passe o mouse sobre o nome do remetente: costuma aparecer um cartão com o endereço.
- Ou clique na pequena seta ao lado de “para mim”. Abre-se uma janela com de, para, data, e muitas vezes enviado por e assinado por.
- Leia o endereço completo, de trás para frente, a partir do final.
No aplicativo do celular:
- Abra o e-mail e toque no nome do remetente ou na seta ao lado de “para mim”.
- Leia o endereço completo que aparece.
Os nomes dos menus podem variar conforme a versão do aplicativo.
Para ir além: Mostrar original
No Gmail do computador, abra o menu de três pontos da mensagem e escolha Mostrar original. A página exibe os dados técnicos e uma tabela com SPF, DKIM e DMARC. Esses termos indicam se o e-mail veio de servidores autorizados pelo domínio. Se aparecer PASS, é um bom sinal, mas não uma garantia, pois um golpista pode ter um domínio próprio. Se aparecer FAIL, trate com desconfiança.
Passo a passo no Outlook
O caminho depende da versão. Em geral:
- Outlook na web e novo Outlook: clique ou passe o mouse sobre o nome do remetente para ver o endereço no cartão de contato. O menu de três pontos da mensagem costuma ter uma opção para ver os detalhes ou o código-fonte.
- Outlook no computador (clássico): clique no nome do remetente no painel de leitura; o endereço aparece em um cartão. Em Arquivo, Propriedades, você vê os cabeçalhos da mensagem.
- Aplicativo no celular: toque no nome do remetente para abrir o contato e ler o endereço.
Se você não encontrar a opção, procure “detalhes da mensagem” ou “exibir cabeçalho”. Os nomes mudam com a versão.
Como comparar o domínio com o oficial
Com o endereço em mãos, olhe a parte depois do arroba e compare com o site oficial da empresa, que você sabe de outra fonte, como um cartão ou um site que já usa. Sinais de golpe:
- Letras trocadas ou parecidas, como um número no lugar de uma letra, ou duas letras trocadas de lugar.
- Palavras extras no domínio, como “seguranca”, “atendimento”, “ofertas” ou “oficial” junto ao nome da marca.
- Domínio genérico de e-mail gratuito, como Gmail ou Outlook, em nome de empresa grande.
- Subdomínio enganoso: o nome da empresa vem antes de um domínio que pertence a outro. O que vale é a última parte do endereço, antes da terminação.
- Terminação incomum, diferente da que a empresa costuma usar.
Exemplos de endereços parecidos
Imagine que o endereço verdadeiro de uma empresa fictícia seja atendimento@minhaloja.com.br. Um golpista poderia usar:
- atendimento@minhaloja-ofertas.com.br, com uma palavra extra depois do nome;
- atendimento@rninhaloja.com.br, em que “rn” imita a letra “m” à primeira vista;
- atendimento@minhaloja.com.br.seguranca-conta.net, em que o nome da loja aparece, mas o domínio verdadeiro é o final, “seguranca-conta.net”;
- atendimento@minhaloja.net, com outra terminação.
Todos parecem corretos numa olhada rápida. Por isso, leia devagar, da direita para a esquerda, e compare com o endereço que você já conhece.
Veja também o artigo sobre phishing: o que é e como identificar, com outros sinais além do remetente.
O remetente certo não basta
Endereço bonito não é atestado de segurança. Considere também:
- O que o e-mail pede: senha, código, pagamento, instalação ou clique em um link com urgência.
- Para onde os links levam. No computador, passe o mouse sobre o link, sem clicar, e leia o endereço na parte inferior da janela. Se estiver encurtado, veja link encurtado é seguro?. Boletos recebidos por e-mail pedem ainda um cuidado extra, descrito em boleto falso: como conferir antes de pagar.
- O campo de resposta. Ao responder, olhe o campo Para antes de enviar: ele pode ser diferente do remetente.
- Anexos inesperados, principalmente arquivos compactados ou executáveis.
Na dúvida, não clique e não responda. Entre no site oficial digitando o endereço, ou ligue pelo número que consta no verso do cartão ou no site.
Se quiser uma segunda opinião sobre o texto de um e-mail, cole-o na ferramenta Isso é golpe?, que estima o risco de 0 a 10, aponta os motivos e sugere o que fazer. Ela é uma estimativa, e não confirma o remetente: o endereço real continua sendo conferido por você, como mostrado acima. Evite colar senhas ou dados pessoais.
Se você clicou ou respondeu
- Se clicou, mas não digitou nada, feche a página e confira se o navegador baixou algum arquivo. Não abra o arquivo.
- Se digitou senha, troque a senha na hora, em um aparelho confiável, e ative a verificação em duas etapas.
- Se informou dados de cartão ou de banco, ligue para o banco pelo número oficial.
- Se abriu um anexo suspeito, rode uma verificação com o antivírus do aparelho e troque senhas importantes.
O roteiro completo está em o que fazer depois de cair em um golpe.
Checklist de 30 segundos
Antes de agir em qualquer e-mail inesperado: veja o endereço, compare o domínio com o oficial, leia o que ele pede e abra o serviço pelo caminho oficial. Se um desses itens não fechar, apague a mensagem.
