O que é phishing e como reconhecer: 7 sinais claros

O phishing é um dos golpes mais comuns da internet no Brasil. Não é preciso ser especialista em tecnologia para cair, nem ter muito dinheiro no banco. Basta uma mensagem que parece verdadeira, um momento de pressa e um clique.

Este artigo é para você reconhecer uma tentativa de phishing em poucos segundos, antes de clicar ou entregar seus dados. Aqui você vai encontrar o que é phishing, os 7 sinais mais claros, exemplos do Brasil e o que fazer se recebeu uma mensagem suspeita ou se já clicou em um link.

O que é phishing

Phishing é um golpe em que alguém se passa por uma empresa, um banco, um órgão público ou uma pessoa de confiança para roubar informações: a sua senha, o código que chega por SMS, os dados do seu cartão ou o acesso às suas contas.

O nome vem da palavra em inglês fishing, pescar. O golpista lança uma isca, que é a mensagem, e espera alguém morder. A isca pode chegar por e-mail, por WhatsApp, por SMS, por redes sociais ou por ligação. Em todos os casos, o objetivo é o mesmo: fazer você agir rápido, sem pensar muito.

Um exemplo típico no Brasil é a mensagem que diz que a sua conta no banco será bloqueada, que você tem uma encomenda retida nos Correios, que ganhou um prêmio ou que um parente precisa de dinheiro com urgência no Pix. A mensagem traz um link que leva a uma página falsa, uma cópia da página verdadeira de um banco, dos Correios, da Receita Federal ou de uma rede social. Nessa página, pedem os seus dados. Se você digitar, o golpista recebe tudo.

O phishing nem sempre é uma mensagem mal escrita ou cheia de erros. Hoje as mensagens falsas podem parecer muito profissionais, com o logotipo e as cores da empresa verdadeira. Por isso não basta olhar a ortografia. É preciso olhar o conjunto de sinais. O CERT.br, centro nacional de resposta a incidentes de segurança, mantém guias gratuitos sobre como reconhecer esses golpes, como a Cartilha de Segurança para Internet.

Os 7 sinais claros de phishing

Esses são os sinais mais frequentes. Nem sempre aparecem todos juntos. Às vezes, basta um só para desconfiar. Se uma mensagem tiver dois ou três, o mais seguro é não clicar e verificar por outro meio.

1. A mensagem cria pressa ou medo

O medo e a pressa são ferramentas do golpista. Quando uma pessoa está assustada, ela pensa menos e age mais rápido. Por isso a mensagem empurra você a clicar na hora.

Exemplo: você recebe um SMS dizendo que a sua conta no banco foi bloqueada por segurança e que precisa entrar em um link para desbloquear. A mensagem não diz qual é o banco, nem dá um número oficial para ligar. Só dá o link e a ameaça de bloqueio. Um banco de verdade não vai pedir para você resolver tudo por um link enviado por SMS, nem vai pressionar com um prazo de poucos minutos.

2. O remetente não combina com quem ele diz ser

O segundo sinal é o remetente. A mensagem diz ser do seu banco, do WhatsApp, dos Correios ou de uma loja conhecida, mas o endereço de e-mail, o número ou o nome de usuário não combina com o oficial.

Exemplo: você recebe um e-mail que diz ser do seu banco, mas o endereço é algo como atendimento-banco123@e-mail-gratis.com. O nome que aparece diz o nome do banco, mas o endereço verdadeiro não tem nada a ver com ele. Também é muito comum o golpe do parente que escreve de um número desconhecido pedindo dinheiro urgente no Pix. Desconfie sempre de um número novo pedindo dinheiro, mesmo que a foto de perfil seja de alguém da família.

3. O link parece estranho ou não leva para onde diz

Um link legítimo leva para o endereço oficial. Um link falso pode ter o nome da empresa, mas com letras trocadas, com traços a mais ou com um domínio diferente. Também pode ser um link encurtado que não mostra para onde ele leva.

Exemplo: chega uma mensagem por SMS sobre uma encomenda retida. O link parece ser dos Correios, mas, ao olhar com calma, você vê que o endereço não é o oficial, e sim uma página parecida com uma letra trocada. Outro exemplo comum é a mensagem que se passa pela Receita Federal ou pelo gov.br e pede para regularizar o CPF em um site que não é o gov.br.

Regra simples: se o link não passa confiança, não abra. É melhor entrar na página oficial digitando o endereço você mesmo no navegador ou abrir o aplicativo oficial no seu celular.

4. A mensagem pede senha, código ou dados do cartão

O código de verificação é como a chave da sua conta. Se você entregar esse código a outra pessoa, ela pode entrar na sua conta como se fosse você. O mesmo vale para a sua senha e para os dados do seu cartão.

Exemplo: você recebe uma mensagem dizendo que precisa confirmar a sua identidade para não perder a conta. Ao entrar no link, a página falsa pede o seu usuário, a sua senha e o código de seis dígitos que acabou de chegar por SMS. Essa página não é a oficial. É uma cópia feita para roubar esses dados.

Se uma mensagem pedir uma senha ou um código, não entregue. Nenhum banco, nenhuma rede social e nenhum órgão público vai pedir isso por mensagem. Se precisar verificar alguma coisa, faça isso no aplicativo oficial, sem usar o link da mensagem. E manter a verificação em duas etapas ativada nas suas contas mais importantes é uma proteção extra, mesmo que alguém descubra a sua senha.

5. A mensagem é vaga ou promete um prêmio incrível

Repare se a mensagem é vaga: não diz o seu nome, não diz qual é a conta nem qual é o pedido, e não traz nenhum detalhe que só a empresa saberia. Diz “prezado cliente”, “sua conta”, “seu pedido”, sem mais nenhuma informação.

Repare também se ela promete algo bom demais: você ganhou um prêmio, um celular ou um auxílio do governo, sem ter participado de nenhum sorteio, e o link leva para uma página que pede os seus dados e os do seu cartão para “pagar o frete” ou “liberar o valor”. Isso não é um prêmio. É uma tentativa de roubo. Desconfie ainda mais quando a mensagem fala de valores a receber do governo e pede dados bancários para liberar o dinheiro.

6. A mensagem pede para baixar um arquivo ou instalar um aplicativo

O sexto sinal é quando a mensagem pede para baixar alguma coisa: um arquivo anexo no e-mail, um documento, uma suposta fatura ou um aplicativo que não está na loja oficial do seu celular. Esse arquivo pode conter um programa malicioso que rouba as suas senhas ou que trava o seu celular até você pagar.

Exemplo: você recebe um e-mail que parece uma fatura ou um aviso de entrega, com um arquivo anexo que pede para abrir e ver os detalhes. O arquivo não é uma fatura de verdade. Ao abrir, ele instala um programa malicioso no seu computador ou no seu celular.

Regra simples: baixe aplicativos somente na loja oficial do seu celular, e abra arquivos somente se você já esperava aquele arquivo e conhece quem enviou. Se não esperava nada, não abra.

7. A mensagem chega por um canal estranho para aquele assunto

O sétimo sinal é o canal. Cada empresa tem os seus canais habituais para falar com você. Um banco não vai avisar sobre um bloqueio por uma mensagem de um número desconhecido no WhatsApp. Os Correios não vão pedir os seus dados bancários por SMS. A Receita Federal não resolve pendências por WhatsApp.

Exemplo: chega uma mensagem no WhatsApp de uma pessoa que diz ser compradora de um produto que você anunciou no Marketplace ou na OLX. Ela diz que já fez o pagamento no Pix, mas que você precisa entrar em um link para “confirmar o recebimento”, e o link pede os seus dados bancários. O pagamento de verdade não funciona assim. O golpe do falso comprador é um dos mais comuns no Brasil, e quase sempre começa com pressa e um link.

O que fazer se você receber uma mensagem de phishing

Se você receber uma mensagem suspeita, não entre em pânico. Siga estes passos, nesta ordem.

Primeiro, não clique no link e não baixe arquivos anexos. Não responda à mensagem, nem mesmo para dizer que não tem interesse.

Segundo, não entregue nenhum dado: nem a sua senha, nem códigos, nem dados do seu cartão, nem foto do seu documento.

Terceiro, verifique por outro meio. Se a mensagem diz ser do seu banco, entre no aplicativo oficial ou ligue para o número oficial que está no verso do seu cartão. Se diz ser dos Correios, entre no site oficial e acompanhe a sua encomenda com o código de rastreio que você já tem. Não use os links nem os números que estão na mensagem suspeita.

Quarto, denuncie a mensagem. No WhatsApp, você pode denunciar e bloquear o número. No e-mail, pode marcar como phishing ou como spam. No SMS, pode denunciar como spam no aplicativo de mensagens.

Quinto, apague a mensagem depois de denunciar. Se a mensagem chegou em nome de um parente, ligue para essa pessoa pelo número que você já tem salvo.

O que fazer se você clicou ou entregou seus dados

Se você já clicou em um link suspeito ou já entregou algum dado, aja rápido. Quanto antes você agir, menor será o prejuízo.

Primeiro, troque a sua senha na página ou no aplicativo oficial, não no link da mensagem. Use uma senha nova, longa e diferente das que você usa em outras contas.

Segundo, ative a verificação em duas etapas nessa conta e nas suas contas mais importantes, como o seu e-mail, o seu WhatsApp e o aplicativo do seu banco. É uma segunda barreira mesmo que alguém já tenha a sua senha.

Terceiro, revise a sua conta: mensagens enviadas que você não enviou, mudanças no seu perfil, aparelhos conectados que você não reconhece ou movimentações que você não fez. No seu e-mail, veja se foi criada alguma regra de encaminhamento que você não colocou.

Quarto, se você entregou dados do seu cartão ou da sua conta bancária, ligue para o seu banco na hora, pelo número oficial. O banco pode bloquear o seu cartão, trocar as suas senhas e revisar as movimentações. Se foi um Pix, avise o banco o quanto antes, porque existe o Mecanismo Especial de Devolução do Pix, e o banco precisa agir rápido para tentar bloquear os valores.

Quinto, se roubaram o acesso a uma rede social, use a opção oficial de recuperação dessa rede, na página ou no aplicativo dela. Não pague pessoas que prometem recuperar a sua conta por fora, porque muitas vezes isso é outro golpe.

Por fim, avise as pessoas próximas se você acha que elas podem receber mensagens da sua conta, e guarde provas: capturas da mensagem, do número e do link. Se houve prejuízo, registre um boletim de ocorrência, que pode ser feito pela internet.

Perguntas frequentes sobre phishing

O phishing só chega por e-mail?

Não. Hoje o phishing chega por e-mail, por WhatsApp, por SMS, por redes sociais, por ligações e por mensagens dentro de aplicativos. No Brasil, o WhatsApp e o SMS são muito usados pelos golpistas porque quase todo mundo olha essas mensagens todos os dias.

Se a mensagem não tem erro de português, ela é verdadeira?

Não necessariamente. Muitas mensagens falsas estão bem escritas, com logotipo e texto profissional. A ortografia pode ser uma pista, mas não é uma prova. É preciso verificar também o remetente, o link e se pedem dados pessoais.

Posso clicar em um link se conheço a pessoa que enviou?

Nem sempre. Às vezes a conta de um contato de verdade foi roubada e, dessa conta, são enviados links falsos para todos os contatos. Se um amigo enviar um link estranho, sem contexto, pergunte por outro meio se foi ele mesmo que enviou.

O que faço se a mensagem parece ser do meu banco?

Não use o link nem o número da mensagem. Entre no aplicativo oficial do seu banco pelo seu celular ou ligue para o número oficial que está no verso do seu cartão ou no site oficial do banco. Se não houver nenhum alerta por lá, é muito provável que a mensagem seja falsa. Denuncie e apague.

Denunciar o phishing serve para alguma coisa?

Sim. Denunciar o número, o e-mail ou o link ajuda as plataformas a bloquearem o golpista e evita que outras pessoas caiam. Além disso, se roubaram dinheiro ou dados, o boletim de ocorrência pode ser necessário para a reclamação no seu banco.

Checklist rápido: antes de clicar, confira

• A mensagem cria pressa ou medo? Pare e respire antes de agir.
• O remetente é o oficial? Confira o endereço de e-mail ou o número com calma.
• O link leva para o endereço oficial? Se parecer estranho ou encurtado, não clique.
• A mensagem pede senha, código ou dados do cartão? Nenhuma empresa séria pede isso por mensagem.
• A mensagem é vaga ou promete um prêmio que você não esperava? Desconfie.
• Você esperava esse arquivo ou esse aplicativo? Se não, não baixe.
• O canal combina com o assunto? Banco e órgão público não resolvem bloqueio por WhatsApp.

Se qualquer resposta deixar você em dúvida, não clique. Verifique no aplicativo oficial ou ligue para o número oficial.

Conclusão

O phishing não se reconhece por um só sinal, e sim pelo conjunto. Uma mensagem que cria pressa, vem de um remetente estranho, traz um link suspeito e pede dados pessoais é uma mensagem em que você não deve confiar. A regra é simples: pare, não clique e verifique por outro meio, no aplicativo ou no número oficial.

Compartilhe este artigo com a sua família, principalmente com as pessoas que usam WhatsApp e SMS todos os dias. Em segurança digital do dia a dia, avisar a tempo também é se proteger.