Phishing é uma tentativa de convencer alguém a entregar informações, abrir um arquivo ou visitar uma página controlada por um atacante. A mensagem pode chegar por e-mail, SMS, aplicativo de conversa ou rede social. O formato muda; a pressão para agir rápido costuma permanecer.
Este artigo organiza os sinais que ajudam a avaliar uma mensagem e o que fazer quando a suspeita aparece — inclusive depois de já ter clicado.
Observe o contexto antes do conteúdo
Uma mensagem deve fazer sentido para você. Três perguntas resolvem a maioria dos casos:
- Eu esperava este contato?
- O pedido combina com o processo normal desta empresa ou serviço?
- Por que a mensagem quer que eu decida agora?
A terceira é a mais reveladora. Phishing funciona criando uma emoção que atropela a verificação: urgência (“sua conta será bloqueada em 24 horas”), medo (“detectamos um acesso indevido”), autoridade (“mensagem da diretoria”) ou oportunidade (“você foi selecionado”).
Esses sinais não provam fraude sozinhos — empresas legítimas também mandam avisos urgentes. O que eles indicam é que vale parar e conferir por outro canal. A pressa é o objetivo do atacante, não uma característica do assunto.
Desconfie especialmente de pedidos para ignorar procedimentos habituais: pagar por um canal diferente, aprovar fora do sistema, não comentar com colegas. Golpes que pedem sigilo estão pedindo para escapar da verificação.
Confira o destino, não a aparência
O texto visível de um link pode ser diferente do endereço real. Antes de abrir, confira o domínio completo e identifique o domínio registrável: o sufixo público mais o nome imediatamente à esquerda. O número de pontos varia: em banco.com.br, o sufixo é .com.br e o domínio registrável é banco.com.br; em seguro-login.net, o sufixo é .net e o domínio registrável é seguro-login.net. A definição da MDN explica essa distinção. Os exemplos abaixo comparam destinos:
| O que você vê | O domínio real | Verdadeiro? |
|---|---|---|
banco.com.br | banco.com.br | Sim |
banco.com.br.seguro-login.net | seguro-login.net | Não |
banco-com-br.info | banco-com-br.info | Não |
bancoo.com.br | bancoo.com.br | Não |
O truque mais comum é o do meio da tabela: o nome legítimo aparece inteiro, mas como subdomínio de outro site. Tudo que vem antes do domínio real é escolhido livremente por quem registrou o endereço.
Em dispositivos móveis essa verificação é mais difícil, porque o navegador encurta o endereço. Quando houver dúvida, acesse o serviço digitando o endereço conhecido ou pelo aplicativo oficial — nunca pelo link recebido.
O nome exibido do remetente também pode ser falsificado. Foto, nome e logotipo não são prova de autenticidade: são os elementos mais fáceis de copiar.
Os sinais mudaram — e a escrita não é mais um deles
Por muito tempo se ensinou a procurar erros de português. Esse conselho envelheceu: textos gerados automaticamente eliminaram os erros gramaticais que denunciavam fraudes, e mensagens bem escritas, personalizadas e contextualizadas são hoje comuns.
O que não mudou é a estrutura do pedido. Toda tentativa de phishing precisa que você faça algo: informar uma credencial, aprovar uma autenticação, abrir um anexo, executar um pagamento ou instalar algo.
Por isso a verificação deve ser da ação, não da aparência. Uma mensagem impecável pedindo seu código de verificação continua sendo fraude. Uma mensagem mal escrita do seu chefe pode ser legítima.
O que fazer diante de uma suspeita
- Não informe senha, código de verificação nem dados financeiros pela mensagem.
- Entre em contato com a organização por um canal que você já conhece — telefone do cartão, aplicativo oficial, site digitado.
- Use o processo interno de reporte, se estiver em uma empresa.
- Se já clicou ou informou dados: altere a senha a partir do site oficial, encerre as sessões ativas, verifique os métodos de MFA cadastrados e avise a equipe responsável.
O passo 4 merece ênfase. Ter caído em um golpe não é motivo para esconder — é motivo para agir rápido. A diferença entre um incidente contido e um grave costuma ser quanto tempo levou até alguém avisar. Equipes que tratam o relato como falha pessoal acabam descobrindo os casos muito mais tarde.
Autenticação multifator reduz o dano de uma senha entregue, mas também é alvo de engenharia social: nunca aprove uma solicitação de acesso que você não iniciou, e nunca repasse um código recebido — nenhum serviço legítimo pede isso por telefone ou mensagem.
Para equipes de defesa
Treinamento funciona melhor acompanhado de processos simples de reporte e resposta. Se reportar dá trabalho, as pessoas não reportam.
Meça as coisas certas. Taxa de cliques em simulações é uma métrica fraca — ela mede a dificuldade do exercício mais que a maturidade da organização, e usada como punição ensina as pessoas a esconderem erros. Métricas mais úteis:
- tempo até o primeiro relato de uma campanha real;
- proporção de pessoas que relataram, e não apenas das que clicaram;
- tempo entre o relato e a contenção — bloqueio do remetente, remoção das caixas de entrada;
- quantos relatos vieram de quem não caiu — sinal de cultura saudável.
Uma campanha percebida em minutos por uma pessoa atenta vale mais que uma taxa de cliques baixa em um teste fácil.
Do lado técnico, a CISA recomenda combinar controles que não dependem da atenção das pessoas: autenticação de domínio no correio (SPF, DKIM e DMARC), filtragem de anexos e links, e MFA resistente a phishing nas contas mais sensíveis. Treinamento é a última camada, não a primeira.
A pausa de um minuto
Quando uma mensagem pede urgência, use uma pausa curta: pare de clicar, leia o pedido completo, confira o domínio e confirme a solicitação em um canal independente. A mensagem pode ser legítima — mas esse procedimento evita que a pressão criada por ela determine a sua decisão.
Ao reportar uma suspeita, preserve o contexto sem encaminhar links ou anexos para colegas. Informe o canal interno, o remetente, o horário e por que a mensagem pareceu incomum. Encaminhar o original para a equipe de segurança pelo canal definido é útil; repassar para o grupo do time só amplia a exposição.
Próximo passo
Localize agora, antes de precisar: qual é o canal de reporte de phishing na sua empresa, e qual é o telefone oficial do seu banco — o do verso do cartão, não o de uma mensagem. Ter essas duas informações à mão transforma uma decisão sob pressão em uma verificação de trinta segundos.
