Phishing não invade nada. Ele convence você a abrir a porta. É por isso que o golpe atravessa sistemas bem protegidos: o elo atacado é a pessoa apressada lendo uma mensagem no meio do dia. Este guia mostra o que olhar antes de clicar, quais sinais aparecem nas campanhas que circulam no Brasil e o que fazer nas primeiras horas depois de ter caído.
Resposta rápida
- No endereço, olhe só o trecho entre o :// e a próxima barra. Dentro dele, o que vale é o final: o nome registrado mais o sufixo (nomedobanco.com.br).
- Cadeado não é selo de confiança: certificado é gratuito, e página de golpe também usa https.
- Desconfie de urgência com prazo curto, o ingrediente presente em quase toda campanha.
- Nenhum banco pede código de verificação por telefone, mensagem ou e-mail.
- Se já digitou a senha: troque agora, ative a segunda etapa e encerre as sessões abertas.
Conteúdo educativo de segurança da informação. Não substitui a orientação do seu banco nem de um profissional em um incidente em andamento.
O que é phishing, sem metáfora
Phishing é engenharia social aplicada em escala. O atacante monta uma página ou uma mensagem que imita uma marca conhecida e espera que uma fração pequena das pessoas responda. Não precisa de muita gente: uma campanha com dezenas de milhares de envios se paga com poucos acertos, e o custo de disparar é quase zero.
Isso muda o que conta como defesa. Não adianta esperar uma mensagem visivelmente mal feita, porque as campanhas melhoraram. Adianta ter um hábito fixo de verificação que você aplica sempre, mesmo quando a mensagem parece perfeita, principalmente quando ela parece perfeita.
Também não existe um objetivo único. Parte das campanhas quer a credencial, e monta a cópia da tela de login. Outra parte quer que você instale alguma coisa, e o anexo ou o instalador entrega a máquina inteira, o que é bem pior que uma senha. Outra ainda quer só um pagamento, com boleto ou Pix em nome de quem você esperava. E há o caso que nenhuma leitura de endereço pega: a página maliciosa hospedada em um site legítimo que foi invadido, com o endereço certo na barra. Quem procura só um sinal acaba cego para os outros três.
O endereço do link é a prova principal
Texto, logotipo e assinatura são fáceis de copiar. O endereço, não: o atacante precisa de um domínio que ele controle. Por isso a verificação começa e quase sempre termina ali.
O endereço tem uma parte que decide tudo, e ela tem começo e fim exatos. Depois do :// vem o trecho do servidor, que termina no primeiro /, ? ou # que aparecer. É só esse pedaço que diz quem serve a página. Tudo o que vem depois, o caminho e os parâmetros, quem escreve é o dono do site, e pode escrever o nome do seu banco ali à vontade. Em https://example.net/nomedobanco.com.br/login o servidor continua sendo example.net.
Dentro desse trecho, o que importa é o final, não o começo. Em https://nomedobanco.com.br.example.net/acesso, o servidor é example.net: o nome do banco é enfeite colado à esquerda, e funciona porque lemos da esquerda para a direita e paramos no primeiro nome conhecido. No Brasil, o nome que identifica o dono costuma ter três pedaços, como nomedobanco.com.br, porque com.br é o sufixo público, e não o domínio de alguém. Pegar só os dois últimos pedaços entrega com.br, que não é de ninguém.
Duas armadilhas quebram a leitura ingênua. A primeira é o arroba: o formato usuario@servidor é válido em endereço, então em https://www.nomedobanco.com.br@example.net/acesso o servidor é example.net e tudo antes do @ é descartado pelo navegador. Se houver um arroba no endereço, leia a partir dele. A segunda são os dois-pontos de porta, https://example.net:8443/nomedobanco, que empurram o nome verdadeiro para longe de onde o olho procura.
Endereços também escondem caracteres codificados, no formato %2F ou %40, que o navegador entende e o olho não. Colar o link em um decodificador de URL mostra o endereço em texto legível antes de qualquer clique, e ele não abre o endereço: a conversão acontece no seu navegador, sem nenhuma visita ao site. Separar as partes de uma URL também não é detectar phishing, e nenhuma ferramenta de formato faz esse julgamento: ela mostra o que está escrito, e a conclusão é sua. Há ainda os endereços com letras de outros alfabetos que imitam as nossas: por baixo eles viram um nome começado por xn--, chamado punycode, mas o navegador às vezes mostra a forma bonita, já com as letras substituídas. Ou seja, não dá para contar com ver o xn-- na tela. Na dúvida, copie o link e compare com o endereço que você já conhece.
Cadeado e https não dizem que o site é honesto
O cadeado prova duas coisas: que o tráfego vai cifrado e que o certificado corresponde ao endereço que está na barra. Nada além disso. Certificado de validação simples é gratuito e sai em minutos para qualquer domínio recém-registrado, e é por isso que quase toda página de golpe hoje tem cadeado. Trocar "tem cadeado" por "é seguro" inverte a leitura: o cadeado confirma que você está falando mesmo com example.net, o que é exatamente a informação que deveria fazer você fechar a aba.
Quando o endereço está certo e a página é falsa
Ler o domínio corretamente resolve a maior parte dos casos, e não todos. Um site legítimo invadido serve a página do golpista no endereço verdadeiro. O mesmo vale para subdomínio de hospedagem compartilhada, para formulário público hospedado em serviço de terceiro, para arquivo guardado em serviço de nuvem conhecido e para redirecionamento aberto, aquele link do próprio banco que aceita um destino no parâmetro e joga você para fora sem avisar.
Daí a regra que fecha o raciocínio e não depende de ler endereço nenhum: não digite credencial em página aberta por link recebido. Feche a mensagem, abra o aplicativo oficial ou digite o endereço você mesmo. Custa dez segundos e cobre inclusive o caso em que o endereço estava certo.
Os sinais que se repetem nas campanhas
Depois de ver muitas campanhas, os padrões ficam evidentes. O primeiro é a urgência com prazo: conta bloqueada em 24 horas, entrega devolvida hoje, chave Pix cadastrada por outra pessoa. A pressa existe para impedir a verificação, que levaria dez segundos.
O segundo é o canal que não combina com o assunto. Empresa manda SMS e mensagem por aplicativo o tempo todo, então o sinal não é o canal em si: é o canal informal pedindo uma ação séria e imediata, com link junto. Bloqueio de conta, taxa de liberação de entrega e regularização de cadastro resolvidos por link recebido é a combinação que denuncia. Repare que isso vale nos dois sentidos, porque o contato pode ser legítimo: quando houver dúvida, saia da mensagem e entre pelo aplicativo ou pelo telefone que você já tinha.
O terceiro é o pedido em si, e aqui existe um absoluto que vale como regra: código de verificação ninguém pede, por canal nenhum, nem o banco, nem a plataforma, nem o suporte. É a orientação do Banco Central e não tem exceção. Na mesma família entram senha completa, foto do cartão e instalação de programa de acesso remoto para o atendimento resolver. Esse último virou comum em golpes por telefone e é o mais caro de todos, porque entrega a máquina inteira.
Quando o link vem dentro de um QR Code
O QR Code é o disfarce perfeito para um endereço, porque ninguém consegue lê-lo a olho nu. Adesivos colados sobre códigos legítimos aparecem em cartazes, máquinas de pagamento e contas de consumo. O aplicativo abre a câmera, o pagamento parece normal e o dinheiro vai para outro destino.
A regra prática é simples: antes de confirmar, confira se o nome do recebedor e o valor batem com o esperado, e olhe se o código não é um adesivo por cima de outro. Para entender o que um código carrega e testar por conta própria, veja como funciona o QR Code por dentro e gere os seus no gerador de QR Code.
Por que a senha reutilizada transforma um golpe em vários
Quando uma senha vaza, ela não fica parada. Entra em listas que são testadas automaticamente em outros serviços, uma técnica chamada credential stuffing. Se a sua senha do site pequeno que vazou é a mesma do e-mail principal, o atacante não precisa de phishing nenhum para a segunda conta.
Daí a recomendação que parece exagerada e não é: uma senha diferente por serviço, guardada em um gerenciador. O tamanho importa mais que a confusão de símbolos, um ponto que o guia de senha forte detalha com o cálculo de entropia. Para gerar uma agora, sorteada no seu próprio navegador, use o gerador de senha forte.
Verificação em duas etapas: o que protege e o que não
A segunda etapa reduz muito o estrago de uma senha vazada, e é a primeira coisa a ativar em e-mail, banco e redes sociais. Mas nem toda segunda etapa resiste a phishing. Código por SMS ou por aplicativo autenticador pode ser pedido na página falsa e usado no site verdadeiro em segundos, enquanto você ainda olha a tela de carregamento.
O que resiste é o fator que não pode ser repassado: chave de acesso (passkey) ou chave de segurança física. Elas amarram a credencial ao endereço do site, então a página falsa não consegue usar o que recebeu, porque o endereço não bate. Onde a opção existir, vale trocar. Só não pare aí: depois de ativar, confira o caminho de recuperação da conta, porque ele costuma continuar aceitando código por SMS, e é para lá que o golpe se muda.
O que fazer nas primeiras horas depois de cair
A ordem importa mais que a pressa. Comece trocando a senha da conta atingida e de qualquer outra que usava a mesma senha, priorizando o e-mail principal, porque ele recupera todas as demais. Depois ative a verificação em duas etapas e encerre as sessões abertas nas configurações de segurança, o que expulsa quem já entrou.
Se houve dado bancário, avise o banco pelo número impresso no cartão ou pelo aplicativo oficial, nunca por um contato que veio na mensagem. Guarde as evidências, que são a mensagem original, o endereço acessado e os horários: elas são pedidas em registro de ocorrência e em análise de ressarcimento. Se instalou algum programa a pedido do golpista, considere a máquina comprometida e trate as senhas digitadas nela como vazadas.
Como confirmar um arquivo que chegou por mensagem
Anexos e instaladores baixados de link são o segundo braço do phishing. Quando o fornecedor publica a impressão digital do arquivo, o chamado hash, dá para comparar a do arquivo que você baixou com a oficial antes de executar. Números diferentes significam arquivo diferente do publicado. O gerador de hash calcula no seu navegador, e o guia de hash de arquivo explica a comparação passo a passo.
Empresas pequenas: o alvo preferido
Negócio pequeno junta duas condições que o atacante procura: movimenta dinheiro e não tem equipe de segurança. As campanhas mais rentáveis contra esse público não pedem senha, e sim uma mudança de dados bancários em um pagamento que já estava combinado. A defesa que funciona é procedimento, não ferramenta: toda alteração de conta de fornecedor é confirmada por telefone conhecido, nunca pelo contato da mensagem.
Vale lembrar que dado pessoal de cliente exposto em um incidente entra no escopo da LGPD, com dever de comunicação. O guia de LGPD para pequenas empresas cobre essa parte.
Limitações deste guia
Técnicas de golpe mudam rápido, e nenhuma lista de sinais cobre tudo. O conteúdo aqui é educativo e não substitui a orientação do seu banco ou de um profissional durante um incidente em andamento. Em caso de perda financeira, procure a instituição pelos canais oficiais e registre ocorrência.
Fontes e referências
- Cartilha de Segurança para Internet (CERT.br): referência brasileira sobre golpes, códigos maliciosos e boas práticas.
- gov.br (denunciar fraudes e golpes digitais): canal oficial para denunciar página falsa e campanha de phishing que se passam por serviços do governo.
- Banco Central (golpes e fraudes): o que o banco pode e o que nunca vai pedir.
- URL Standard (WHATWG): a especificação que define onde o trecho do servidor começa e termina, e o que o navegador faz com o arroba e com a porta.
- NIST SP 800-63B-4 (Digital Identity Guidelines: Authentication and Authenticator Management): a revisão 4, publicada em 2025, substitui a anterior e é a que define autenticador resistente a phishing, explicando por que código de seis dígitos não é um deles.
Conclusão
A verificação que segura a maior parte dos golpes leva dez segundos: ler o trecho entre o :// e a próxima barra, olhar o final dele e desconfiar de qualquer prazo curto. Quando nem isso resolver, vale a regra que não depende de leitura: não digite senha em página que abriu por link recebido. O resto é higiene que se faz uma vez e vale por anos, como senha diferente por serviço e segunda etapa ativa. Comece pelo gerador de senha forte, confira links suspeitos no decodificador de URL e veja as demais ferramentas de tecnologia.