Phishing: como identificar mensagens suspeitas antes de clicar

Phishing é uma tentativa de enganar você para que entregue informações, abra um arquivo perigoso, aprove um acesso ou visite uma página falsa.

O ataque costuma explorar emoções como pressa, medo, curiosidade ou expectativa de recompensa.

O objetivo é fazer você agir antes de verificar

Uma mensagem de phishing pode tentar conseguir:

• senha;
• código de autenticação;
• dados financeiros;
• instalação de um arquivo;
• aprovação de login;
• acesso a uma conta;
• pagamento.

Por isso, a defesa mais importante é criar um espaço entre receber a mensagem e agir.

Desconfie da urgência artificial

Exemplos:

• “sua conta será bloqueada agora”;
• “confirme imediatamente”;
• “pagamento recusado, atualize seus dados”;
• “última chance para receber o prêmio”.

Urgência não prova fraude.

Mas é um sinal para diminuir a velocidade e verificar.

Confira quem realmente enviou

Não olhe apenas o nome exibido.

Uma mensagem pode mostrar o nome de uma empresa conhecida e vir de um endereço diferente.

Confira:

• endereço completo do remetente;
• domínio;
• erros estranhos;
• pequenas alterações no nome.

Não dependa de apenas um sinal. Golpes bem feitos podem parecer profissionais.

Não confie no texto do link

Um botão pode mostrar “Acessar conta” e apontar para outro endereço.

Em computador, você pode observar o destino antes de clicar.

Em dispositivos móveis, use os recursos disponíveis para inspecionar o link sem abrir quando possível.

Se estiver em dúvida, abra o aplicativo oficial ou digite você mesmo o endereço do serviço.

Compare o domínio com o oficial

Observe principalmente a parte principal do domínio.

Endereços muito longos podem tentar esconder o destino real.

Quando não tiver certeza, não tente adivinhar.

Entre no serviço pelo caminho que você já conhece.

Cuidado com anexos inesperados

Arquivos com nomes como:

• cobrança;
• nota fiscal;
• comprovante;
• currículo;
• atualização;
• documento urgente;

podem ser usados como isca.

Se você não esperava o arquivo, confirme a origem por outro canal antes de abrir.

Desconfie de pedidos incomuns

Pare para verificar quando uma mensagem pedir:

• senha;
• código 2FA;
• pagamento fora do processo normal;
• instalação de software;
• mudança de conta bancária;
• sigilo ou pressa incomum.

Mudanças de procedimento merecem confirmação independente.

Confirme por outro caminho

Se a mensagem parece vir de uma empresa:

1. não use o link recebido;
2. abra o aplicativo oficial ou digite o endereço;
3. procure a mesma notificação dentro da conta.

Se parece vir de uma pessoa conhecida:

1. use outro canal;
2. faça uma pergunta que confirme o contexto;
3. não envie dados sensíveis apenas porque o nome parece familiar.

Se você apenas clicou

Clicar em um link não significa automaticamente que a conta foi comprometida.

Feche a página se parecer suspeita e evite fornecer informações.

Depois, avalie se algum arquivo foi baixado ou alguma permissão foi concedida.

Se você digitou a senha

Aja pelo serviço oficial:

1. altere a senha;
2. encerre sessões desconhecidas;
3. confirme ou ative 2FA;
4. revise métodos de recuperação;
5. verifique atividade recente.

Se a mesma senha era usada em outras contas, troque-a também nesses serviços.

Se você aprovou um login ou entregou código

Revise imediatamente:

• sessões ativas;
• dispositivos conectados;
• métodos de autenticação;
• e-mails ou telefones de recuperação;
• regras de encaminhamento do e-mail quando aplicável.

Se for uma conta profissional, siga também o procedimento de segurança da organização.

Crie uma regra pessoal

Quando uma mensagem combina urgência + pedido de credencial + link, trate-a como algo que precisa ser verificado antes de qualquer ação.

Essa pequena regra reduz decisões impulsivas.

Próximo passo

Revise autenticação em dois fatores e os hábitos básicos de segurança digital.

A sequência completa está na trilha Segurança digital essencial.

Depois de concluir a trilha, o objetivo é simples: transformar essas verificações em rotina, não depender de lembrar delas apenas quando algo parece errado.

Assuntos: segurancaphishinggolpescontas

Recursos para este guia

Pesquisado pelo DejotaCode

NordPass — gerenciador de senhas

Gerenciador de senhas e passkeys pesquisado como opção para organizar credenciais e reduzir a reutilização de senhas.

Algumas recomendações poderão conter links de afiliados; a relação comercial é informada na página de destino.