Como reconhecer um e-mail ou mensagem de phishing

Phishing é a mensagem feita para você entregar senha, código, dados do cartão, dinheiro ou o controle do celular. Ela imita banco, loja, órgão público ou até um parente. Erro de português ainda entrega muito golpe, mas tem golpe muito bem escrito também. A pergunta que mais protege é outra: esse pedido faz sentido, e eu consigo conferir por outro caminho?

A pressa é o primeiro sinal

"Sua conta será bloqueada hoje." "Compra de R$ 2.800 aprovada, clique para cancelar." "Seu prêmio expira em 30 minutos." "Oi, é o seu chefe, preciso de um favor discreto." A pressa existe para você não parar para pensar.

Quando chegar algo assim, não responda, não ligue para o número da mensagem e não toque no botão dela. Abra o app do banco ou o site da loja do jeito que você sempre abre e veja se o aviso aparece lá dentro.

Se o pedido vem de alguém conhecido, ligue para o número que você já tinha salvo ou pergunte algo que só a pessoa saberia. Voz e foto também podem ser imitadas.

Remetente e link

O nome que aparece no e-mail pode ser qualquer um. Toque no remetente para ver o endereço completo e procure letras trocadas, palavras sobrando no domínio ou um Gmail fingindo ser empresa. Mesmo um endereço verdadeiro pode ter sido invadido, então pedido estranho continua sendo estranho.

Para ver para onde um link leva, no computador passe o mouse por cima sem clicar. No celular, segurar o dedo no link costuma mostrar o endereço, mas se não se sentir seguro, nem faça isso.

Leia o domínio de trás para frente, a partir da primeira barra. Em banco.exemplo-golpe.com, quem manda é exemplo-golpe.com, e a palavra "banco" ali no começo não significa nada. O cadeado no navegador só quer dizer que a conexão é criptografada; site de golpe também tem cadeado.

Link encurtado e QR Code escondem o destino. Isso não prova golpe, mas tira de você uma pista. Na dúvida, entre pelo caminho oficial.

O que ninguém sério pede por mensagem

Nenhum banco ou empresa deveria pedir, numa mensagem ou ligação que você não esperava:

• a sua senha

• o código que chegou por SMS ou no app autenticador

• a chave de recuperação da conta

• que você instale um app de "acesso remoto" ou de "segurança"

Se o banco precisa falar com você, ligue para o número que está atrás do cartão ou no app.

Em boleto e Pix, confira o nome de quem vai receber na última tela, antes de confirmar. O logotipo no boleto não garante nada. Nome diferente do esperado? Pare.

Anexo também é risco

Fatura, intimação, currículo ou comprovante que você não esperava pode trazer arquivo malicioso. Confirme com quem mandou antes de abrir. Se um documento pedir para "ativar macros" ou "habilitar conteúdo", feche.

Manter celular, computador e navegador atualizados reduz o estrago quando alguém clica sem querer. Um gerenciador de senhas também ajuda: ele não preenche a senha num site com endereço falso, o que já serve de alerta. E ative a verificação em duas etapas, de preferência com app autenticador ou chave de segurança.

Já cliquei. E agora?

Depende do que aconteceu depois do clique.

Se você só abriu a página e não digitou, baixou ou instalou nada, feche a página e atualize o sistema. Não instale nenhum "antivírus" que a própria página oferecer.

Se digitou a senha, entre no serviço pelo app ou site oficial, troque a senha na hora e encerre as sessões abertas. Troque também em todos os lugares onde usava a mesma senha.

Se passou dados do cartão ou fez um pagamento, ligue para o banco pelos canais oficiais o quanto antes e guarde os comprovantes.

Se instalou um app ou deu acesso remoto, tire o aparelho da internet, use outro celular ou computador para trocar as senhas importantes e procure um técnico de confiança.

Depois, revise a conta de e-mail: veja se apareceram regras de encaminhamento ou filtros novos (um invasor pode criar um para esconder alertas), aparelhos conectados desconhecidos e dados de recuperação trocados. Se a sua conta mandou mensagens estranhas, avise seus contatos.

Denunciar sem espalhar

Use o botão de denúncia do app ou do e-mail e avise a empresa que foi imitada. Para alertar amigos, mande um print com os seus dados escondidos, nunca o link clicável.

Em casa ou na empresa, vale combinar uma regra para pedido de dinheiro fora do comum: confirmação sempre por um contato já salvo, nunca pelo número que veio na mensagem. E se alguém cair, ajude em vez de culpar. Quem tem vergonha demora a contar, e o prejuízo aumenta.

Fontes

• Fascículo Golpes, Cartilha de Segurança para Internet (CERT.br)

• Fascículo Golpes: o que fazer, Cartilha de Segurança para Internet (CERT.br)