Como identificar e-mails de phishing: os sinais que realmente importam

Aqui está um exemplo inventado, escrito para este artigo. Seus endereços não existem, e ele serve apenas para você praticar a leitura.

Exemplo de mensagem de phishing, não é real
De: "Suporte da Caixa de Entrada" <helpdesk@mail-storage-notice.example>
Assunto: Sua caixa de e-mail está 98% cheia, mensagens estão retidas

Prezado usuário, 14 mensagens recebidas não puderam ser entregues porque seu armazenamento está cheio. Verifique sua conta em até 24 horas para liberá-las e evitar a suspensão.
[Liberar minhas mensagens]

Os sinais são o domínio do remetente, que não pertence a ninguém com quem você tenha relação, uma saudação que não sabe seu nome, um prazo acompanhado de ameaça e um botão que quer que você entre na sua conta. Nada aqui tem erro de ortografia, e isso hoje é comum. Você identifica e-mails de phishing conferindo o endereço real do remetente, vendo para onde os links realmente apontam, desconfiando de pedidos inesperados de senhas, dinheiro ou abertura de arquivos e confirmando qualquer assunto importante por um caminho em que você já confia, e não pela própria mensagem.

Phishing é uma mensagem que se passa por uma pessoa ou organização de confiança para que você entregue credenciais, pague dinheiro, instale um malware ou revele informações úteis para um ataque posterior. O conselho baseado em gramática ruim e logotipos mal feitos envelheceu mal, já que copiar o visual de uma marca é trivial e ferramentas de tradução e redação estão ao alcance de qualquer um. O que continua confiável é o que a mensagem pede que você faça e o que as evidências técnicas dizem sobre a origem dela.

Quais sinais merecem sua atenção

Os sinais de alerta não têm o mesmo peso. Esta classificação é um julgamento baseado em como os ataques funcionam, não uma estatística medida, mas mostra onde gastar os poucos segundos da sua atenção.

Sinal	O quanto ele revela	Por quê
O link leva a um domínio que não é o da organização citada	Muito alto	A divergência é o núcleo do phishing de credenciais
O e-mail pede senha, código de uso único ou número completo do cartão	Muito alto	Serviços legítimos não coletam esses dados por e-mail
Dados de pagamento alterados "com urgência" por e-mail	Muito alto	É o padrão clássico da fraude por e-mail empresarial
O domínio do remetente não corresponde à organização	Alto	Domínios parecidos e remetentes de e-mail gratuito são comuns
Arquivo compactado, arquivo HTML ou documento com macro inesperado	Alto	Formas comuns de entregar malware ou uma página de login falsa
DMARC falha para o domínio citado	Alto	Forte indício de falsificação, embora passar prove pouco
Urgência forte ou ameaças	Médio	Comum em phishing, mas alertas de segurança reais também podem ser urgentes
Saudação genérica	Médio	Campanhas em massa a usam, enquanto as direcionadas usam seu nome
Erros de ortografia e gramática	Baixo a médio	O phishing moderno costuma ser bem escrito, e e-mails reais têm erros de digitação
Logotipo ou layout estranho	Baixo	Copiar o visual de uma marca leva minutos

Repare que o topo da tabela trata de destino e pedido, e a base trata de aparência. A mudança mental mais útil é parar de perguntar "isso parece de verdade?" e começar a perguntar "o que isso quer de mim e como posso conferir sem usar esta mensagem?"

Como ler um link corretamente

Se você aprender uma única habilidade técnica deste artigo, que seja esta, porque o texto visível de um link e o destino real são coisas totalmente separadas. Um botão que diz "Entre na sua conta" pode apontar para qualquer lugar. No computador, passe o cursor sobre o link sem clicar e leia o endereço que aparece na barra de status ou em uma dica. No celular, mantenha o dedo pressionado sobre o link para ver uma prévia e depois cancele.

A maioria das pessoas lê endereços da web a partir da esquerda, e os atacantes contam com isso. A propriedade é decidida na ponta direita do nome do host: o domínio registrado mais a terminação, logo antes da primeira barra simples. Tudo à esquerda disso é um subdomínio que o dono pode definir com qualquer texto. Tudo depois da barra é um caminho, e ele também pode dizer qualquer coisa. Veja estes quatro exemplos, em que o segundo, o terceiro e o quarto são fictícios:

• https://accounts.google.com/signin pertence ao Google, já que o domínio é google.com.
• https://accounts.google.com.secure-login.example/signin pertence a secure-login.example. O nome da marca é apenas um subdomínio.
• https://secure-login.example/accounts.google.com/ também pertence a secure-login.example, com a marca no caminho.
• https://www.paypal.com@203.0.113.7/ usa um truque antigo. Tudo antes do @ é tratado como nome de usuário, e o destino real é o endereço IP que vem depois.

Alguns outros padrões de link devem fazer você ir mais devagar. Encurtadores de URL são estranhos em uma mensagem de uma grande marca, que não tem motivo para esconder o próprio domínio. Links para criadores de formulários ou serviços de compartilhamento de arquivos pedindo que você "faça login para ver um documento" são um favorito, porque as páginas de phishing costumam ficar hospedadas em plataformas de nuvem legítimas. Um nome de hospedagem confiável no endereço, portanto, não significa que a página seja segura. A pergunta é se o domínio pertence à organização com quem você acha que está lidando.

O cadeado não ajuda em nenhum dos dois sentidos. O HTTPS indica que a conexão é criptografada, e certificados gratuitos estão disponíveis para todos, inclusive criminosos. Uma página falsa de banco com cadeado é uma conexão criptografada com um ladrão.

Desconfie também de imitações internacionais. Os domínios podem usar caracteres de outros alfabetos que parecem idênticos às letras latinas, como um "а" cirílico no lugar de um "a" latino. Os navegadores costumam exibir esses nomes em uma forma codificada que começa com xn--, e ver esse prefixo onde você esperava uma marca conhecida é um bom indício.

Como ler o remetente

Os aplicativos de e-mail mostram o nome de exibição em letras grandes e muitas vezes escondem o endereço, e o nome de exibição é texto livre que o remetente escolhe. Uma mensagem que mostra "Equipe da Conta Microsoft" pode vir de um domínio sem relação nenhuma ou de uma caixa de e-mail comprometida qualquer. No computador, passe o cursor sobre o nome ou clique nele. No celular, toque nele para expandir. Depois olhe a parte após o @, tendo estes padrões em mente (os domínios aqui são ilustrativos):

• Caracteres trocados, como rn no lugar de m, ou o dígito 1 no lugar da letra l.
• Palavras acrescentadas, como netflix-billing.example. As marcas raramente usam variações com hífen do próprio nome para e-mails de conta.
• Uma terminação diferente, como yourbank.co onde você esperava yourbank.com.
• Uma caixa de e-mail gratuita de uso pessoal que diz ser um banco, um escritório de advocacia ou o diretor-presidente da sua empresa.

Depois confira o endereço de resposta. Uma mensagem pode mostrar uma linha From plausível e definir o Reply-To como a caixa do atacante, de modo que sua resposta vá para outro lugar. Muitos aplicativos mostram o destino quando você aperta Responder, então olhe antes de enviar.

A verificação do remetente tem um limite claro: ela não diz nada sobre contas sequestradas. Se a caixa de e-mail de um colega ou fornecedor de verdade foi invadida, o endereço será perfeito. Nesse caso, o próprio pedido é seu único sinal, o que nos leva ao próximo ponto.

Pedidos que nenhum remetente honesto faz por e-mail

Alguns pedidos são suspeitos por melhor que seja o resto da mensagem. Sua senha ou PIN. O código de uso único que você acabou de receber por SMS ou aplicativo. Um número de cartão completo com o código de segurança. Pagamento com vale-presente ou criptomoeda, ou uma transferência para uma conta nova. Acesso remoto ao seu computador por causa de um problema que você nunca relatou. Arquivos confidenciais ou dados de funcionários enviados para um endereço externo "para uma auditoria".

Vale entender o pedido do código de uso único, porque ele parece tão inofensivo. Um atacante que já tem sua senha dispara um login, o que envia a você um código real do serviço real. Depois ele manda uma mensagem se passando pelo suporte e pede que você "confirme" esse código. Quem pede um código que você recebeu está tentando entrar na sua conta no seu lugar.

Órgãos do governo também são um disfarce comum. O IRS dos Estados Unidos, por exemplo, diz que não inicia contato com contribuintes por e-mail para pedir informações pessoais ou financeiras, e muitas agências tributárias de outros países publicam alertas parecidos. Se você acha que uma restituição ou uma multa pode ser real, digite você mesmo o endereço do órgão e entre por lá.

Por que pessoas cuidadosas ainda caem

O phishing mira o comportamento mais do que o software. Mensagens bem-feitas buscam provocar uma reação emocional rápida para que você aja primeiro e pense depois. A urgência é a alavanca óbvia ("conta encerrada em 24 horas"), junto com o medo ("acesso incomum", "ação judicial pendente") e a autoridade, com um diretor, um banco ou o suporte de TI como suposto remetente. Recompensa e curiosidade também funcionam, com reembolsos, prêmios e "veja quem visitou seu perfil". E há a simples boa vontade, como quando um colega precisa com urgência que você revise um arquivo.

A rotina talvez seja o fator mais forte de todos. Uma fatura, um aviso de entrega ou um documento compartilhado falsos se parecem com dezenas de verdadeiros que você trata toda semana, e você presta menos atenção ao que faz no piloto automático. Por isso o objetivo não é desconfiar de todo e-mail, o que ninguém consegue manter. O objetivo é perceber o momento em que uma mensagem pede algo sensível e, nesse momento, passar de reagir para conferir.

Os tipos de ataque e o que cada um muda

Os nomes importam menos do que saber o que cada variante faz com o conselho acima. Algumas delas driblam as verificações habituais.

Tipo	O que é	O que muda para você
Phishing em massa	Mensagem genérica para listas enormes, como caixa de e-mail cheia ou encomenda retida	O mais fácil de pegar, já que raramente combina com a sua vida
Spear phishing	Sob medida para você, com nomes e detalhes de redes sociais ou de dados vazados	Detalhes pessoais não provam nada
Whaling	Spear phishing dirigido a executivos ou a pessoas que controlam dinheiro	O cargo alto faz de você um alvo
Fraude por e-mail empresarial (BEC)	Fingir ser, ou tomar a conta de, um executivo, fornecedor ou colega para desviar dinheiro	Muitas vezes sem link e sem anexo, então os scanners não veem nada
Clone phishing	Um e-mail real anterior é copiado e reenviado com o link ou o arquivo trocado	Conteúdo familiar não é prova
Sequestro de conversa	Responder dentro de uma conversa real a partir de uma caixa comprometida	A verificação do remetente passa
Quishing	Um QR code substitui o link	Leva você para o celular, longe das proteções do computador e dos scanners de link
Phishing de consentimento	Um aplicativo malicioso pede acesso em uma tela "Permitir" genuína	Nenhuma senha é roubada, e a página de login é real
Phishing de retorno de chamada	Uma fatura ou renovação falsa traz um telefone para ligar	Não há nada para clicar, e a fraude acontece na ligação
Phishing de código de dispositivo	Pedem que você digite um código em uma página de login real, o que autoriza o aparelho do atacante	A verificação do domínio passa, então o pedido inesperado é a pista

Os três últimos merecem uma frase de conselho prático. Leia a lista de permissões em qualquer tela de "Permitir acesso" e recuse se um aplicativo desconhecido quiser ler seus e-mails. Nunca ligue para um número impresso em uma fatura inesperada. E nunca digite um código em uma página de login porque alguém num e-mail ou chat mandou, a menos que você mesmo tenha iniciado esse processo em um aparelho que está na sua frente.

Mensagens de exemplo, comentadas

Todos os exemplos a seguir são inventados, com base em padrões amplamente documentados. Nomes e domínios são fictícios.

Exemplo: o documento compartilhado

Apenas exemplo
De: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
Assunto: Jordan compartilhou "Cronograma de pagamentos do 3º tri" com você

Abrir no Docs

Isso imita um aviso de compartilhamento, mas o remetente é um endereço externo que você não conhece, e o botão leva a uma página que pede a senha do seu e-mail, muitas vezes com uma fileira de logotipos de provedores. As notificações reais vêm do domínio da própria plataforma e abrem em uma sessão em que você já está conectado. Se você conhece algum Jordan, pergunte a ele. Aconteça o que acontecer, não digite sua senha em uma página que você alcançou por um e-mail de "arquivo compartilhado".

Exemplo: a nova conta bancária do fornecedor

Apenas exemplo
De: "Contas a Receber" <ar@supplier-co.example>
Assunto: RES: Fatura 4471

Informamos que nossos dados bancários mudaram devido a uma auditoria. Pedimos que use os novos dados da conta em anexo para este e para os próximos pagamentos. O pagamento está atrasado, portanto processe hoje.

Pode não haver link algum aqui, e isso pode vir da caixa de e-mail real e comprometida do fornecedor, dentro de uma conversa real. Todas as verificações técnicas podem passar. O sinal vermelho é o pedido: mudança de dados de pagamento por e-mail, com urgência. Ligue para o fornecedor em um número que você já tem registrado, não em um que esteja no e-mail ou na assinatura, antes de pagar qualquer coisa. Se o dinheiro já saiu, ligue para o seu banco imediatamente e pergunte sobre a devolução do pagamento e, nos Estados Unidos, denuncie em ic3.gov.

Exemplo: a taxa da encomenda

Apenas exemplo
Assunto: Sua encomenda está retida: taxa alfandegária não paga

Tentamos entregar seu pacote. É necessária uma pequena taxa para reagendar. Pague agora para evitar a devolução ao remetente.

O valor pequeno baixa sua guarda, e o objetivo são os dados completos do seu cartão, que depois podem ser usados em fraudes maiores. Acompanhe as entregas com o número que está na página do pedido da própria loja ou no aplicativo oficial da transportadora.

Exemplo: o executivo que está "em reuniões"

Apenas exemplo
De: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Assunto: favor rápido

Você está disponível? Preciso que resolva uma coisa com discrição para um cliente. Estou em reuniões, então só por e-mail.

Uma caixa de e-mail pessoal, um pedido de sigilo e "só por e-mail" formam o padrão, e a continuação costuma pedir códigos de vale-presente ou uma transferência. A mensagem em si não tem nada para escanear. Fale com o executivo pelo diretório da empresa, pelo chat ou por telefone, e avise a TI.

Exemplo: o QR code

Apenas exemplo
Assunto: Atualização da autenticação multifator necessária

Suas configurações de MFA expiram hoje. Escaneie o QR code abaixo com o celular para fazer o registro novamente.

As configurações de autenticação multifator não expiram por e-mail. O código leva você para o celular, onde o endereço é mais difícil de inspecionar e as proteções da empresa podem não valer. Não escaneie. Fale com a TI ou veja diretamente as configurações de segurança da conta.

Exemplo: a restituição de imposto

Apenas exemplo
Assunto: Você tem direito a uma restituição de imposto

Após o cálculo anual da sua atividade, você tem direito a receber uma restituição. Envie o formulário em até 48 horas.

Um presente inesperado mais um formulário que pede dados de identidade e do cartão. Acesse o portal oficial do governo digitando o endereço, ou ligue para o número publicado do órgão.

Exemplo: o alerta de conta que é em parte verdadeiro

Apenas exemplo
De: "Segurança da Conta" <no-reply@secure-acct-center.example>
Assunto: Ação necessária: atividade de acesso incomum

Detectamos uma tentativa de acesso de um novo dispositivo. Para manter sua conta ativa, verifique sua identidade em até 24 horas. [Verificar agora]

Serviços reais enviam alertas de acesso, então esta categoria exige mais cuidado do que as outras. Aqui o domínio é genérico e a mensagem nem sequer cita o nome do serviço. Não raciocine sobre isso de dentro do e-mail. Abra o aplicativo do serviço ou digite o endereço dele e veja a página de atividade recente. Se não houver nada listado lá, o e-mail era falso. Esse hábito também funciona para alertas reais, já que eles também aparecerão ali.

Conferindo os cabeçalhos quando você está em dúvida

Os cabeçalhos guardam evidências técnicas de onde veio uma mensagem. No Gmail, abra o menu de três pontos e escolha Mostrar original, que também traz um resumo curto no topo. No Outlook na web, use Exibir, Exibir origem da mensagem. No Apple Mail, use Visualizar, Mensagem, Todos os cabeçalhos.

Três padrões estão por trás dos resultados que você verá. O SPF permite que um domínio publique quais servidores podem enviar seus e-mails, e o receptor confere o servidor de envio contra essa lista. O DKIM adiciona uma assinatura criptográfica, verificada com uma chave pública no DNS do domínio que assina, o que mostra que as partes assinadas não foram alteradas e que o domínio assumiu a responsabilidade. O DMARC liga esses dois ao domínio da linha From visível, uma propriedade chamada alinhamento, e diz aos receptores o que fazer em caso de falha: nada, quarentena ou rejeição. Desde 2024, o Google e o Yahoo exigem que remetentes em massa publiquem um registro DMARC, o que tornou esses resultados mais comuns.

Encontre a linha que começa com Authentication-Results:. Ela pode ser assim, em um exemplo fictício:

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

Aqui todas as verificações passam e todos os domínios se alinham. Uma mensagem falsificada pode mostrar dmarc=fail, ou um pass para um domínio completamente diferente do que está na linha From. Esta tabela mostra como interpretar o que você encontrar.

Resultado	O que significa	O que não significa
DMARC pass para o domínio real da marca	Enviado por esse domínio ou em nome dele	Não descarta uma conta comprometida nessa empresa
DMARC pass para um domínio parecido	O atacante é dono desse domínio e o configurou corretamente	A mensagem não é segura, e isso é comum em phishing
DMARC fail para o domínio da marca	Forte sinal de falsificação, ou de um encaminhamento que quebrou a verificação	Listas de e-mail e encaminhamentos às vezes quebram mensagens legítimas
Sem registro DMARC	O domínio não publicou nenhuma política	Sozinho não prova nada, mas falsificar esse domínio é mais fácil

A lição é que a autenticação diz quem enviou a mensagem, e honestidade é outra questão. Um e-mail com resultados perfeitos de bank-resolution-center.example continua sendo phishing. A verificação combinada que você quer é que o domínio autenticado seja a organização que você acha que é.

As linhas Received: registram cada servidor no caminho, com o mais recente no topo. Elas podem mostrar que um e-mail de um "banco local" começou em um servidor sem relação, mas tudo abaixo do ponto em que o seu provedor recebeu a mensagem pode ser forjado, então confie apenas nas entradas adicionadas pelos servidores do seu provedor. Para a maioria das pessoas, a linha de autenticação e a conferência do domínio bastam.

Anexos e imagens em um e-mail de phishing

Os anexos entregam malware ou levam a uma página de login falsa. Os formatos que mais merecem cautela são arquivos compactados e imagens de disco como .zip, .rar, .7z, .iso e .img, arquivos HTML que abrem uma página de login falsa local, documentos do Office que pedem para "Ativar conteúdo" ou "Habilitar edição", extensões duplas como invoice.pdf.exe, scripts e atalhos como .js, .vbs, .lnk e .bat, e PDFs que só têm um botão ou um QR code. Nosso guia de segurança de anexos explica como avaliar cada tipo e como abrir um arquivo duvidoso com menos risco.

As imagens são mais discretas. Uma imagem remota pode avisar o remetente de que seu endereço está ativo, e é assim que se montam listas de endereços "verificados". Explicamos como isso funciona, e quais configurações impedem, em nosso artigo sobre pixels de rastreamento em e-mails. É um pequeno motivo para configurar seu aplicativo de e-mail para perguntar antes de exibir imagens externas.

Cuidado extra no celular

Os celulares dificultam tudo isso. A tela é pequena, os endereços ficam ocultos por padrão e a prévia de um link exige manter o dedo pressionado. Alguns hábitos compensam isso. Toque no nome do remetente para revelar o endereço antes de confiar em uma mensagem. Mantenha pressionados os links em vez de tocar. Para bancos, lojas e redes sociais, abra o aplicativo oficial em vez de seguir qualquer coisa de um e-mail. Trate com desconfiança especial os QR codes em e-mails, já que você os escaneia com o mesmo aparelho em que está lendo. Se a câmera mostra uma prévia do endereço antes de abri-lo, leia essa prévia como leria qualquer link.

Os mesmos truques também chegam por SMS e aplicativos de mensagem, geralmente chamados de smishing, e uma ligação pode seguir um e-mail para torná-lo mais convincente, o que se chama vishing. Quem liga e menciona o e-mail que você acabou de receber não confirmou nada, já que pode ter sido quem o enviou. Desligue e ligue para um número que você já tenha.

O que fazer com uma mensagem suspeita

1. Não clique, não baixe, não escaneie código nem responda. Responder para perguntar "isso é verdade?" chega ao atacante, que vai dizer que sim.
2. Confira o endereço do remetente e o destino dos links como descrito acima.
3. Verifique de forma independente. Abra o aplicativo oficial ou digite o endereço. Ligue para o número que está no verso do cartão, em uma fatura que você já tenha ou no diretório da empresa.
4. Denuncie ao seu provedor. No Gmail, o menu de três pontos tem Denunciar phishing. No Outlook, procure em Denunciar a opção Denunciar phishing. No trabalho, use o botão de denúncia ou siga as instruções da sua equipe de segurança, e não encaminhe a mensagem a colegas para perguntar, porque isso espalha a isca.
5. Denuncie à organização imitada, se ela publicar um endereço para phishing em sua página de segurança. A Apple, por exemplo, usa reportphishing@apple.com.
6. Use um serviço público de denúncia, se houver. No Reino Unido, o National Cyber Security Centre recebe e-mails encaminhados em report@phishing.gov.uk. Nos Estados Unidos, a FTC recebe denúncias em reportfraud.ftc.gov. O Anti-Phishing Working Group aceita mensagens encaminhadas em reportphishing@apwg.org. Outros países têm serviços parecidos, normalmente por meio de um órgão de defesa do consumidor ou de combate a crimes cibernéticos.
7. Exclua a mensagem depois de denunciar.

Se você já clicou

Clicar é comum e geralmente tem conserto. Não deixe o constrangimento atrasar você, porque a rapidez ajuda mais do que qualquer outra coisa aqui. Encontre abaixo o caso que corresponde ao que aconteceu.

Você clicou e não digitou nada

Feche a aba e não baixe nada do que a página ofereceu. Verifique se o navegador e o sistema estão atualizados e faça uma verificação de segurança se algo foi baixado sozinho. Espere receber mais mensagens, porque o clique pode ter confirmado que seu endereço é lido. Na maioria dos casos, é o fim da história.

Você digitou uma senha

1. Vá ao site verdadeiro digitando o endereço e troque a senha agora.
2. Troque-a em qualquer outro lugar onde você usou a mesma senha ou uma parecida. Se a senha roubada era a do seu e-mail, trate como urgente, já que o e-mail redefine todo o resto.
3. Encerre as outras sessões. Em uma conta do Google, você pode ver Seus dispositivos na página de segurança e sair dos que não reconhece, e os detalhes de Última atividade da conta no fim da caixa de entrada do Gmail mostram os acessos recentes. Outros serviços têm um controle parecido.
4. Ative a autenticação em duas etapas, de preferência com uma passkey, uma chave de segurança ou um aplicativo autenticador.
5. Procure alterações que o atacante possa ter feito: e-mail e telefone de recuperação, regras de encaminhamento e filtros, aplicativos conectados, dispositivos desconhecidos.
6. Se for uma conta de trabalho, avise a TI imediatamente. Os atacantes costumam usar uma caixa comprometida para fazer phishing com seus colegas em poucas horas.

Nosso guia sobre o que fazer depois de um vazamento de dados trata da limpeza de senhas com mais profundidade, já que os passos se sobrepõem.

Você digitou um código ou aprovou uma notificação

Parta do princípio de que o atacante pode ter uma sessão ativa. Troque a senha, encerre todas as sessões, revise as configurações de segurança e avise a TI se for uma conta de trabalho. Os kits modernos de "adversário no meio" repassam seu login ao site real enquanto você digita e capturam o cookie de sessão que resulta disso. É por isso que só os códigos de uso único não os detêm.

Você digitou dados de pagamento

Ligue imediatamente para seu banco ou emissor do cartão, usando o número que está no cartão. Peça que bloqueiem o cartão e fiquem atentos a fraudes, e revise seus extratos nas semanas seguintes. Se você também digitou dados de identidade, veja o que seu país oferece. Nos Estados Unidos, o IdentityTheft.gov traz um plano de recuperação, e é possível pedir o congelamento do crédito nas agências de crédito.

Você abriu um anexo ou ativou macros

Desconecte o aparelho da rede se suspeitar de malware, faça uma verificação completa e, no trabalho, fale com a TI antes de fazer qualquer outra coisa. Troque as senhas importantes a partir de outro aparelho, limpo.

Você deu acesso a um aplicativo

Vá às configurações de segurança da sua conta, encontre a lista de aplicativos de terceiros com acesso e remova o desconhecido. Trocar a senha sozinho pode não cortar o acesso de um aplicativo que já recebeu permissão, então a remoção vem primeiro. Depois troque a senha por precaução e confira as regras da sua caixa de e-mail.

Configurando as coisas para que um erro custe menos

Você não vai pegar tudo sempre, principalmente num dia ruim. Bons padrões fazem com que um único deslize cause menos estrago, e alguns deles fazem parte da detecção por você.

As mais fortes entre elas são as passkeys e as chaves de segurança físicas. A CISA, agência de cibersegurança dos Estados Unidos, descreve a autenticação multifator resistente a phishing como o padrão ouro e cita FIDO e WebAuthn como a forma amplamente disponível dela. Essas credenciais estão ligadas ao domínio real, então simplesmente não funcionam em um site falso, nem mesmo numa cópia perfeita. Os aplicativos autenticadores detêm a maioria dos ataques que dependem só da senha, mas são mais fracos contra repasse em tempo real, então são um bom passo, não o último. Se seu banco ou provedor de e-mail oferece passkeys, ativá-las provavelmente é a coisa mais valiosa que você pode fazer depois de ler este artigo.

Um gerenciador de senhas dá uma segunda verificação, mais silenciosa. Ele guarda o domínio exato de cada senha. Quando você chega a uma página parecida e ele não oferece nenhum login salvo, esse silêncio é um alerta, e isso pega páginas que parecem perfeitas até o último pixel. Não passe por cima disso copiando e colando a senha. Há uma ressalva pequena: os gerenciadores de senhas às vezes não reconhecem um site real que mudou o domínio de login. Então o silêncio quer dizer "pare e vá ao site digitando o endereço", não "isso com certeza é falso".

Defesa	O que faz	Esforço
Passkeys ou chaves físicas	Detêm o phishing de credenciais e o repasse em tempo real, já que a credencial está ligada ao domínio real	Baixo a médio
Gerenciador de senhas com preenchimento automático	Recusa-se a preencher em domínios falsos e evita a reutilização	Baixo depois de configurado
Aplicativo autenticador	Detém a maioria dos ataques que dependem só da senha	Baixo
Proteções do navegador	O Safe Browsing do Chrome e o SmartScreen do Edge avisam sobre muitas páginas maliciosas conhecidas	Geralmente já ativadas
Atualizações de software	Fecham falhas usadas por arquivos e páginas maliciosos	Baixo
Extensões de arquivo visíveis	Expõem os truques de extensão dupla	Uma configuração
Perguntar antes de carregar imagens remotas	Impede que muitos pixels confirmem seu endereço	Uma configuração
Regra escrita de ligar de volta para mudanças de pagamento	Detém a maior parte das fraudes com faturas, não importa a aparência do e-mail	Uma mudança de processo
Limitar onde seu endereço real é informado	Menos listas e vazamentos o contêm	Um hábito

Para uma empresa, a regra de ligar de volta é a que deve ser registrada por escrito. As orientações do FBI sobre fraude por e-mail empresarial e os conselhos do setor bancário concordam no essencial: confirme qualquer mudança nas instruções de pagamento fora do e-mail, usando um número que você já tenha. Funciona porque não depende de ninguém notar alguma coisa, e dá a funcionários juniores um motivo para dizer "preciso ligar antes" a alguém que parece ser o chefe.

Mantendo seu endereço principal fora das listas

Os phishers enviam para endereços que compraram, coletaram ou tiraram de dados vazados. Cada vez que você entrega seu endereço real a um site de pouca confiança, há uma chance de ele ir parar em uma dessas listas. Usar um endereço separado para cadastros pontuais reduz a frequência com que sua caixa de entrada principal é alvo e também facilita julgar as mensagens restantes, porque uma mensagem sobre seu banco chegando ao endereço que você deu só ao banco tem mais significado.

Uma caixa de entrada temporária é uma opção para o nível mais baixo, quando os termos do site permitem. Com o VookMail, um endereço está pronto quando a página carrega, sem cadastro nem senha. Você pode apertar Novo para digitar um nome de usuário e escolher entre mais de 30 domínios, ou apertar o botão amarelo «Aleatório» para um endereço aleatório, que é a escolha mais segura porque qualquer pessoa que conheça ou adivinhe um endereço pode abrir aquela caixa de entrada. As mensagens e os anexos são apagados depois de cerca de um dia, então, se o endereço receber phishing mais tarde, ele cai num lugar desligado do seu banco, do seu trabalho e das suas contas principais.

Isso serve para baixar um material, fazer uma única pergunta em um fórum ou testar um formulário seu. Não serve para contas que você precisa manter ou recuperar, e nunca para contas de banco, governo, saúde, trabalho ou da sua rede social principal. A página de perguntas frequentes trata do uso adequado, e a política de privacidade explica como as mensagens recebidas são tratadas.

Os sinais de alerta valem em qualquer caixa de entrada, inclusive em uma descartável. Na verdade, um endereço temporário oferece um teste prático: se uma mensagem ali pede que você entre na sua conta de banco ou de e-mail de verdade, é quase certamente phishing, já que você nunca deu esse endereço a esses serviços.

Crenças equivocadas que ajudam o atacante

• "Tem cadeado." Isso quer dizer criptografado, não honesto.
• "O logotipo e o nome estão certos." Os dois são copiados com facilidade.
• "A gramática está perfeita." Muitas campanhas hoje são bem escritas.
• "Vou só ligar para o número do e-mail." Esse número pode ir direto para o atacante.
• "Veio do endereço real do meu colega." Contas são invadidas, então o pedido ainda precisa ser conferido.
• "Cliquei, mas contar para a TI seria vergonhoso." O silêncio dá mais tempo aos atacantes e geralmente é a escolha mais cara de todas.
• "Não tenho nada que valha a pena roubar." Sua caixa de e-mail pode redefinir suas outras contas e pode ser usada para fazer phishing com seus contatos.

Uma lista de verificação para a mensagem que está à sua frente

Quando um e-mail pede que você faça algo, estas perguntas levam menos de um minuto. Se alguma resposta preocupar você, pare e verifique por outro caminho.

1. Eu estava esperando isso?
2. O endereço real do remetente pertence à organização que ele diz ser?
3. Para onde os links realmente levam, lendo o domínio da direita para a esquerda?
4. Está pedindo uma senha, um código, um pagamento ou um arquivo?
5. Está pressionando com urgência, medo, sigilo ou recompensa?
6. Há um anexo inesperado, um QR code ou um pedido de "ativar conteúdo"?
7. Meu gerenciador de senhas reconhece a página de login?
8. Posso conferir isso abrindo o aplicativo ou ligando para um número conhecido?

Perguntas frequentes sobre phishing

Posso ser hackeado só por abrir um e-mail de phishing?

Com um aplicativo de e-mail atualizado, abrir uma mensagem geralmente é de baixo risco. O perigo vem de clicar em links, digitar credenciais, abrir anexos, ativar macros ou responder com informações. Abrir pode confirmar que seu endereço está ativo se as imagens carregarem, e esse é um dos motivos para bloquear imagens remotas.

Por que os e-mails de phishing passam pelos filtros de spam?

Os atacantes registram domínios novos, enviam de contas legítimas comprometidas, hospedam páginas em serviços de nuvem confiáveis e mudam o texto o tempo todo. Alguns phishings até passam em SPF, DKIM e DMARC porque vêm de um domínio que o atacante realmente controla.

Os e-mails de phishing sempre estão cheios de erros?

Não. Muitos são bem escritos e idênticos aos e-mails reais das marcas. Gaste sua atenção nos sinais técnicos e no que está sendo pedido.

Uma empresa de verdade me mandou um link pedindo que eu entrasse na conta. Isso é sempre phishing?

Não. As empresas enviam links legítimos, e o pedido de login pode ser genuíno. O hábito seguro funciona nos dois casos: saia do e-mail, abra o serviço você mesmo e veja se há algo que precise da sua atenção. No máximo você perde alguns segundos.

Um endereço descartável me protege do phishing?

Reduz a exposição. O phishing direcionado a esse endereço cai em uma caixa de entrada sem ligação com suas contas reais e é apagado depois de cerca de um dia. Não faz nada pelas mensagens que chegam à sua caixa principal, então as verificações acima continuam valendo lá.