Você recebe uma mensagem do “banco”, da “transportadora” ou do “serviço de streaming” dizendo que algo deu errado e que é preciso clicar agora. Se você clica e digita seus dados, quem recebe tudo é um golpista. Isso é phishing, e entender como ele funciona é a melhor defesa que existe.
O que é phishing
Phishing é uma técnica de golpe em que o criminoso se passa por uma empresa, um órgão público ou uma pessoa conhecida para fazer você entregar senhas, códigos, dados de cartão ou instalar um programa malicioso. O nome vem do inglês fishing, que significa pescar: a mensagem é a isca, e ela é enviada a milhares de pessoas de uma vez, na esperança de que algumas “mordam”.
Quase sempre a mensagem leva a uma página falsa, copiada da original. Você digita login e senha, e os dados vão direto para o golpista. Em outras versões, o link baixa um arquivo perigoso ou o próprio anexo da mensagem já é o programa malicioso.
Onde o phishing aparece
O golpe não fica só no e-mail. Os canais mais usados são:
- E-mail: o clássico, com falsas cobranças, “notas fiscais” e avisos de conta bloqueada.
- SMS: mensagens curtas com link, em geral sobre banco ou entrega. Veja mais em SMS falso do banco.
- WhatsApp e redes sociais: mensagens de contas falsas ou de amigos que tiveram a conta invadida.
- Ligações: o golpista telefona fingindo ser do banco ou de uma empresa. Esse formato às vezes é chamado de vishing.
- QR Code: o código leva a uma página falsa, e não ao endereço que você imagina.
- Anúncios e buscas: um resultado patrocinado falso que imita o site de uma loja ou de um banco.
Quando a mensagem parece feita para você
Nem todo phishing é genérico. Existe a versão direcionada, em que o golpista pesquisa o alvo antes de escrever. Ele usa seu nome, o nome da sua empresa, o de um chefe ou colega e até um assunto real do seu trabalho, como uma fatura ou uma reunião marcada. Em empresas, isso aparece como o falso pedido do “diretor” para pagar um fornecedor com urgência ou trocar a conta de um pagamento.
O princípio da defesa é o mesmo: pedidos que envolvem dinheiro, senha ou mudança de dados bancários devem ser confirmados por outro canal, como uma ligação para um número que você já tinha, e nunca respondendo à própria mensagem.
Sinais de que a mensagem é falsa
Nenhum sinal sozinho prova a fraude, mas vários juntos já devem acender o alerta:
- Urgência ou ameaça: “sua conta será bloqueada hoje”, “última chance”, “regularize agora”.
- Remetente estranho: o nome parece o da empresa, mas o endereço de e-mail é de outro domínio ou de um serviço gratuito.
- Link diferente do oficial: letras trocadas, palavras a mais ou um endereço totalmente diferente do site da empresa.
- Pedido de dados sensíveis: senha, código recebido por SMS, token ou número completo do cartão. Empresa séria não pede isso por mensagem.
- Anexo inesperado: arquivos zipados, programas ou PDFs que você não esperava receber.
- Promessa boa demais: prêmio, reembolso, desconto enorme ou dinheiro esquecido.
- Saudação genérica: “prezado cliente”, em vez do seu nome.
Atenção: erros de português já foram sinal clássico, mas hoje muita mensagem falsa vem bem escrita. A ausência de erros não prova que a mensagem é verdadeira.
Como conferir antes de clicar
- Não clique no link. Abra o app oficial ou digite você mesmo o endereço do site no navegador.
- Veja o endereço real do link. No computador, passe o mouse sobre ele sem clicar. No celular, pressione e segure o link para ver uma prévia com o endereço.
- Leia o domínio de trás para a frente. O dono do site é a parte logo antes do final “.com” ou “.com.br”. Em “banco.com.br.exemplo-seguro.com”, por exemplo, o dono é “exemplo-seguro.com”, e não o banco.
- Confirme por outro canal. Ligue para o número que está no verso do cartão, na conta ou no site oficial da empresa.
- Cheque o site. Use as dicas de como saber se um site é confiável antes de digitar qualquer dado.
Cliquei no link: e agora?
O que fazer depende do que aconteceu depois do clique:
- Só abriu e fechou, sem digitar nada: na maioria dos casos nada acontece. Feche a página, não baixe nada e fique atento nos dias seguintes.
- Digitou uma senha: troque agora a senha daquele serviço e de qualquer outro em que você use a mesma. Ative a verificação em duas etapas e encerre as sessões abertas em outros aparelhos.
- Digitou dados de cartão ou de banco: ligue para o banco pelo canal oficial, bloqueie o cartão e confira o extrato.
- Baixou ou instalou algo: desconecte o aparelho da internet, rode uma verificação com o antivírus (no Windows, o Microsoft Defender) e, no celular, procure aplicativos que você não instalou e desinstale-os.
- Houve prejuízo: siga o roteiro de o que fazer depois de cair em um golpe.
Hábitos que reduzem o risco
Alguns cuidados simples cortam boa parte da exposição:
- Use uma senha diferente em cada serviço. Assim, uma senha roubada não abre as outras contas. Um gerenciador de senhas facilita a tarefa.
- Ative a verificação em duas etapas. Mesmo com a senha na mão, o golpista fica sem o segundo passo.
- Nunca passe códigos recebidos por SMS ou aplicativo. Quem pede o código está tentando entrar na sua conta.
- Mantenha o sistema e os apps atualizados. As atualizações corrigem falhas que programas maliciosos exploram.
- Desconfie do inesperado. Se você não pediu, não está esperando ou não reconhece, trate como suspeito.
Na dúvida, o caminho seguro é sempre o mesmo: não clique, não responda e confirme pelo canal oficial. Se quiser reforçar o restante da sua proteção, veja os outros guias da categoria de segurança digital.