Como identificar um e-mail de phishing: 9 sinais de alerta

Você recebe um e-mail do banco avisando que sua conta será bloqueada, ou uma mensagem dos Correios dizendo que existe uma taxa para liberar a sua encomenda. O texto é convincente, o logotipo parece certo, e o botão de resolver o problema está bem ali. Esse é o formato clássico do phishing, um golpe que tenta enganar a pessoa para que ela mesma entregue senhas, dados de cartão ou instale um programa malicioso.

O nome vem da palavra inglesa para pescar, porque o golpista joga a isca para muita gente e espera alguém morder. A boa notícia é que a maioria desses e-mails tem sinais que dão para perceber com um pouco de atenção. Neste guia, você vai conhecer nove deles e saber o que fazer se algo der errado.

O que é phishing e como ele funciona

Phishing é uma mensagem falsa, enviada por e-mail, SMS, aplicativos de conversa ou redes sociais, que se passa por uma empresa, um órgão público ou uma pessoa conhecida. O objetivo é fazer você clicar em um link, abrir um arquivo ou responder com informações pessoais.

O link costuma levar a uma página parecida com a de um banco, de uma loja ou de um serviço de e-mail. Quando você digita login e senha ali, os dados vão direto para o golpista. Em outros casos, o anexo instala um programa que espiona o computador.

9 sinais de que um e-mail pode ser phishing

1. O endereço do remetente não bate com a empresa

O nome exibido pode ser "Banco Exemplo", mas o endereço de verdade pode terminar em algo estranho ou ser cheio de números e letras sem sentido. Toque ou clique sobre o nome para ver o endereço completo. Atenção também a pequenas trocas de letras, como um "rn" que imita um "m".

2. Urgência e ameaça

Frases como "sua conta será encerrada hoje", "última chance" ou "ação imediata necessária" têm um propósito: fazer você agir sem pensar. Empresas sérias avisam com antecedência e oferecem outros caminhos.

3. Saudação genérica

Mensagens iniciadas com "Prezado cliente" ou "Caro usuário", quando a empresa deveria saber o seu nome, merecem desconfiança. Porém, cuidado: alguns golpes já usam seu nome verdadeiro, então esse sinal sozinho não basta.

4. Links que levam para outro lugar

No computador, passe o mouse sobre o link, sem clicar, e olhe o endereço que aparece no canto inferior da janela. No celular, toque e segure o link para ver o endereço antes de abrir. Se o domínio não for o oficial da empresa, é golpe. Para aprender mais, leia como saber se um site é confiável.

5. Anexos inesperados

Arquivos como "fatura.zip", "boleto.html" ou "comprovante.exe" são muito usados em golpes. Nunca abra um anexo que você não esperava, mesmo que pareça ter vindo de alguém conhecido. Se for de uma pessoa conhecida, confirme por outro meio, como uma ligação.

6. Pedido de dados sensíveis

Bancos e serviços sérios não pedem senha completa, código de segurança do cartão, token ou códigos recebidos por SMS por e-mail. Se o texto pede isso, é fraude.

7. Erros de português e aparência estranha

Frases mal traduzidas, acentos trocados, imagens borradas e logotipos desalinhados indicam que o e-mail pode ter sido feito às pressas. Mas atenção: golpes mais bem feitos têm texto impecável. A ausência de erros não garante que o e-mail seja verdadeiro.

8. Promessas boas demais

Prêmios que você não pediu, dinheiro esquecido, restituição de imposto e ofertas com descontos enormes são iscas conhecidas. Se você não participou de nada, não pode ter ganhado nada.

9. Assunto que não tem a ver com você

Receber uma "multa de trânsito" sem ter carro, uma "cobrança" de um serviço que você não usa ou um aviso de entrega de uma compra que você não fez são sinais claros. Como o golpista envia mensagens para milhares de pessoas, algumas coincidem com a sua realidade e outras, não.

Exemplos comuns no Brasil

Alguns temas aparecem com muita frequência:

Entregas e taxas: aviso falso de que há uma taxa a pagar para liberar um pacote.
Multa ou documento irregular: mensagens que ameaçam com problemas no CPF, na carteira de motorista ou no imposto de renda.
Falso suporte do banco ou da operadora: pedido para "atualizar o cadastro" por meio de um link.
Fatura e boleto: cobranças de serviços que você nem contratou.
Falsas vagas de emprego: propostas que pedem documentos ou depósito antecipado.

O que fazer ao receber um e-mail suspeito

Não clique em nada, nem em botões de "cancelar inscrição" ou "não fui eu".
Não responda e não baixe os anexos.
Entre no site ou aplicativo oficial por conta própria, digitando o endereço no navegador ou abrindo o aplicativo que você já tem instalado. Se houver mesmo um problema, ele aparecerá lá.
Se quiser confirmar, ligue para o telefone que está no cartão ou no site oficial.
Denuncie o e-mail. No Gmail, abra a mensagem, toque nos três pontinhos e procure a opção de denunciar phishing. Em outros serviços, há opção parecida, geralmente chamada de denunciar ou marcar como lixo eletrônico.
Apague a mensagem depois de denunciar.

E se eu já cliquei ou digitei meus dados?

Calma. Clicar em um link, sem digitar nada, nem sempre causa problema, mas feche a página. Se você digitou dados, aja rápido:

Troque a senha da conta envolvida, a partir de um aparelho confiável. Se a mesma senha é usada em outros serviços, troque-a também. Veja como criar senhas fortes e guardá-las com segurança.
Ative a verificação em duas etapas, se ainda não ativou. Explicamos no guia de verificação em duas etapas.
Se informou dados de cartão ou banco, ligue imediatamente para a instituição, peça o bloqueio do cartão e conte o que aconteceu.
Se abriu um anexo, desconecte da internet, abra a Segurança do Windows e faça uma verificação completa. Se for necessário, procure um técnico de confiança.
Revise a conta de e-mail: confira os dispositivos conectados e se há regras de encaminhamento que você não criou.
Avise amigos e familiares se o golpista tiver acesso à sua conta, pois ele pode enviar mensagens em seu nome.

Resumo rápido

Phishing é uma mensagem falsa que tenta fazer você entregar dados ou instalar algo.
Confira o endereço do remetente, o destino dos links e desconfie de urgência, anexos inesperados e promessas boas demais.
Nunca informe senhas ou códigos por e-mail.
Na dúvida, acesse o site oficial por conta própria ou ligue para o número oficial.
Se caiu, troque as senhas, ative a verificação em duas etapas e avise o banco, se for o caso.

Os golpistas contam com a pressa. Quando você respira fundo e confere antes de clicar, o golpe perde a força.