Você recebe uma mensagem:
“Sua encomenda não pôde ser entregue. Atualize seu endereço aqui.”
Poucos minutos depois, chega outra:
“Detectamos uma compra suspeita. Confirme sua conta imediatamente.”
Depois aparece uma promoção:
“Você ganhou um cupom de R$ 500. Resgate agora.”
Todas têm algo em comum.
Um link.
E é exatamente nesse momento que muita gente comete o erro de pensar:
“Vou clicar só para ver.”
O problema é que um link pode levar você para uma página criada para imitar um banco, uma loja, uma rede social ou até um serviço do governo.
Golpistas utilizam mensagens de phishing justamente para tentar induzir pessoas a clicar em links, abrir anexos ou fornecer senhas e informações financeiras. A FTC alerta que essas mensagens frequentemente imitam empresas conhecidas e criam histórias envolvendo problemas na conta, pagamentos, atividades suspeitas, faturas ou supostos benefícios.
Por isso, existe uma regra simples que vale aprender:
Antes de clicar, investigue o link.
E você consegue fazer boa parte dessa investigação em menos de um minuto.
Recebi um link estranho. O que faço primeiro?
Não clique.
Parece óbvio, mas esse é justamente o momento em que curiosidade e urgência trabalham contra você.
Imagine receber:
🚨 Seu cartão foi bloqueado. Regularize em 10 minutos para evitar o cancelamento.
O objetivo da mensagem pode ser fazer você agir antes de pensar.
A CISA recomenda atenção especial a comunicações que exigem ação imediata, parecem boas demais para ser verdade ou solicitam informações pessoais.
Portanto, não precisamos descobrir imediatamente se a mensagem é verdadeira.
Primeiro eliminamos a urgência.
Depois verificamos.
1. Leia o endereço, não apenas o texto do botão
Este é provavelmente o aprendizado mais importante deste artigo.
Um botão pode dizer:
ACESSAR MEU BANCO
Mas o endereço real por trás dele pode ser completamente diferente.
O texto visível e o destino do link não precisam ser iguais.
No computador, uma maneira simples de investigar é posicionar o cursor sobre o link sem clicar.
O navegador normalmente mostra o endereço de destino.
O próprio Google recomenda essa verificação em mensagens suspeitas: ao passar o mouse sobre um link no computador, confira se o endereço exibido corresponde ao destino esperado.
📸 SCREENSHOT PRÓPRIO #1
Esse é um ótimo lugar para criarmos material exclusivo.
No computador, abra um e-mail seguro que contenha um link.
Passe o mouse sobre ele sem clicar.
Faça uma captura mostrando o endereço que aparece na parte inferior do navegador.
Não utilize um phishing verdadeiro para produzir a imagem.
Legenda:
Ao posicionar o cursor sobre um link no computador, é possível visualizar seu endereço de destino antes de clicar.
2. Aprenda a identificar o domínio verdadeiro
Agora chegamos a uma habilidade que vale ouro.
Observe estes endereços fictícios:
empresa.com
empresa.com.br
empresa-seguranca.xyz
empresa.login-conta.xyz
Eles podem parecer relacionados.
Mas não necessariamente pertencem à mesma empresa.
Um golpista pode colocar o nome de uma marca em alguma parte do endereço para transmitir confiança.
Veja este exemplo fictício:
bancoexemplo.seguranca-conta.net
O trecho mais chamativo é:
bancoexemplo
Mas o domínio que precisamos investigar é:
seguranca-conta.net
É ali que está uma pista fundamental.
3. Cuidado com pequenas alterações no nome
Alguns endereços suspeitos tentam parecer quase idênticos ao verdadeiro.
Imagine uma empresa fictícia chamada:
lojabella.com
Agora compare:
lojabeIla.com
Dependendo da fonte utilizada, um I maiúsculo pode parecer um l minúsculo.
Outros exemplos podem envolver:
- letras duplicadas;
- letras ausentes;
- hífens;
- números substituindo letras;
- extensões diferentes;
- palavras adicionais.
A CISA cita pequenas alterações em endereços e domínios como um dos sinais que podem ajudar a reconhecer tentativas de phishing.
Por isso, não faça uma leitura rápida.
Leia o domínio cuidadosamente.
4. “HTTPS” não significa que o site é confiável
Esse é um mito importante.
Você provavelmente já ouviu:
“Se tiver cadeado, o site é seguro.”
Isso é uma simplificação perigosa.
HTTPS significa que existe uma conexão criptografada entre seu navegador e aquele site.
Isso é importante.
Mas um golpista também pode configurar HTTPS em um site fraudulento.
Portanto:
HTTPS protege a conexão.
Ele não garante que a pessoa ou empresa por trás daquele site seja confiável.
O cadeado não substitui a análise do domínio.
5. A mensagem está tentando assustar você?
Agora pare de olhar para o link e observe a mensagem.
Golpes frequentemente trabalham com emoções.
Principalmente:
medo
“Sua conta será encerrada.”
urgência
“Você tem 30 minutos.”
curiosidade
“Veja quem apareceu neste vídeo.”
ganância/recompensa
“Você ganhou R$ 1.000.”
autoridade
“Notificação oficial.”
preocupação
“Compra suspeita identificada.”
Isso não significa que toda mensagem urgente seja falsa.
Bancos realmente enviam alertas.
Transportadoras realmente comunicam problemas.
Serviços realmente avisam sobre atividades incomuns.
A diferença está no que fazemos depois.
6. Não confirme pelo próprio link
Essa regra resolve grande parte do problema.
Imagine receber:
“Detectamos uma tentativa de acesso à sua conta do Banco X. Clique aqui.”
Você realmente possui conta naquele banco.
Então existe dúvida.
Não clique.
Abra o aplicativo oficial do banco diretamente.
Ou digite você mesmo o endereço oficial no navegador.
Veja se existe algum alerta dentro da conta.
A FTC recomenda exatamente essa lógica: se uma mensagem parecer que pode ser legítima, entre em contato com a empresa utilizando um telefone ou site que você já saiba ser verdadeiro, e não as informações presentes na mensagem suspeita.
Essa é uma das melhores maneiras de quebrar um golpe de phishing.
7. “Mas a mensagem tem o logotipo verdadeiro”
Isso não prova nada.
Logotipos de empresas são facilmente encontrados na internet.
Uma página falsa pode reproduzir:
- logotipo;
- cores;
- fontes;
- fotografias;
- layout;
- formulário de login.
Algumas páginas fraudulentas podem parecer visualmente muito convincentes.
Por isso, aparência nunca deve ser sua única verificação.
Você precisa observar onde está, não apenas como a página parece.
8. Conheço a pessoa que enviou. Então é seguro?
Não necessariamente.
Imagine receber uma mensagem de um amigo:
“Olha você nesse vídeo 😂”
seguida de um link.
É natural pensar:
“Conheço quem mandou.”
Mas existe outra possibilidade:
a conta daquela pessoa pode ter sido comprometida.
A FTC recomenda confirmar diretamente com a pessoa, por outro canal ou conversa, quando uma mensagem inesperada parece vir de alguém conhecido.
Uma pergunta simples resolve:
“Foi você que me mandou esse link?”
9. Use os alertas do navegador a seu favor
Navegadores modernos possuem sistemas de proteção contra páginas perigosas.
No Chrome, por exemplo, a Navegação Segura oferece proteção contra phishing, malware, sites e extensões abusivos, anúncios maliciosos e outras ameaças.
O Google oferece diferentes níveis de proteção, incluindo proteção padrão e proteção reforçada.
Se o navegador exibir um aviso dizendo que uma página pode ser perigosa:
não ignore automaticamente o alerta.
Pare e investigue.
📸 SCREENSHOT PRÓPRIO #2
No Chrome:
Configurações → Privacidade e segurança → Segurança
Capture a área onde aparecem as opções da Navegação Segura.
Legenda:
O Chrome oferece diferentes níveis de Navegação Segura para ajudar a identificar sites, downloads e extensões potencialmente perigosos.
Um teste prático: você clicaria neste link?
Vamos fazer algo diferente neste artigo.
Imagine que você recebeu:
📦 Correios: não conseguimos entregar sua encomenda. Existe uma taxa pendente de R$ 3,79. Regularize:
rastreamento-correios-pedido.xyz
Você está realmente esperando uma encomenda.
O valor é pequeno.
O logotipo parece correto.
A mensagem sabe que você está esperando uma entrega?
Talvez não.
Milhares de pessoas estão esperando alguma encomenda neste exato momento.
Então vamos investigar.
Pergunta 1: a mensagem era esperada?
Não.
Pergunta 2: existe pressão?
Sim. Sua encomenda supostamente está parada.
Pergunta 3: o domínio é o oficial?
Precisamos conferir independentemente.
Pergunta 4: consigo verificar sem clicar?
Sim.
Entre manualmente no aplicativo ou site oficial da transportadora e consulte seu rastreamento.
Pronto.
Não precisamos arriscar o clique para descobrir.
Outro exemplo: “Seu streaming será cancelado”
Mensagem fictícia:
Não conseguimos processar seu pagamento. Atualize seu cartão para evitar o cancelamento da assinatura.
Existe um botão:
ATUALIZAR PAGAMENTO
Você realmente assina aquele streaming.
Novamente:
não utilize o botão.
Abra o aplicativo oficial.
Entre em sua conta.
Procure Assinatura, Conta ou Pagamento.
Se existir um problema real, ele provavelmente poderá ser verificado ali.
Esse hábito é extremamente poderoso:
Recebeu uma mensagem sobre uma conta? Entre na conta por conta própria.
Não pelo link recebido.
E os links encurtados?
Você provavelmente já encontrou endereços curtos que escondem o URL completo.
Links encurtados possuem usos perfeitamente legítimos.
Empresas, redes sociais e ferramentas de marketing utilizam esse recurso.
O problema é que eles também podem dificultar a identificação imediata do destino.
Portanto, quando um link encurtado chega inesperadamente de uma fonte desconhecida, trate-o com cautela.
O fato de ser encurtado não significa golpe.
Mas significa que você possui menos informação visível para avaliar antes do clique.
QR Code também é um link
Esse é um ponto que muita gente esquece.
Quando você aponta a câmera para um QR Code, frequentemente está apenas acessando um endereço de internet de outra maneira.
Portanto, os mesmos cuidados continuam valendo.
Antes de abrir:
observe o endereço apresentado pelo celular.
Tenha atenção especial a QR Codes:
- colados sobre outros códigos;
- recebidos inesperadamente;
- prometendo pagamentos ou prêmios;
- solicitando login;
- encontrados em mensagens suspeitas.
O formato mudou.
O risco do link continua existindo.
O que fazer quando o link vem por WhatsApp?
Não existe uma regra diferente só porque a mensagem chegou pelo WhatsApp.
Pergunte:
Eu esperava essa mensagem?
Conheço realmente o remetente?
A conversa combina com a maneira como essa pessoa normalmente fala?
O link aponta para o domínio esperado?
Existe pressão para clicar?
Se for alguém conhecido, confirme.
Se for uma empresa, acesse o serviço pelos canais oficiais.
E links enviados por SMS?
SMS é frequentemente utilizado em tentativas de phishing, às vezes chamadas de smishing.
A FTC alerta que mensagens falsas podem tentar obter senhas, dados bancários ou outras informações pessoais, frequentemente oferecendo prêmios ou inventando problemas que exigem uma ação.
O fato de a mensagem conhecer seu nome ou telefone também não é garantia de autenticidade.
Informações pessoais podem aparecer em vazamentos, cadastros ou outras fontes.
Como identificar uma página falsa depois que ela abriu
Às vezes você clica antes de perceber.
Não significa automaticamente que seus dados foram roubados.
Mas pare antes de fazer qualquer outra coisa.
Observe:
O endereço do navegador
É realmente o domínio esperado?
A página solicita login?
Não digite imediatamente.
Está pedindo cartão?
Pare.
Está pedindo código recebido por SMS?
Cuidado redobrado.
Está pedindo instalação ou download?
Não continue sem verificar.
Uma página pode parecer idêntica à original e ainda assim estar hospedada em outro domínio.
Cliquei em um link suspeito. E agora?
Primeiro: não continue interagindo com a página.
O que fazer em seguida depende do que aconteceu.
Apenas abri e não digitei nada
Feche a página.
Mantenha navegador e sistema atualizados e observe qualquer comportamento incomum.
Digitei minha senha
Entre no serviço verdadeiro digitando o endereço manualmente ou utilizando o aplicativo oficial.
Troque a senha.
Se aquela mesma senha for utilizada em outros lugares, altere-a também.
Ative autenticação em dois fatores quando disponível.
A FTC recomenda autenticação multifator justamente porque ela dificulta o acesso à conta mesmo quando a senha é comprometida.
Digitei dados bancários ou cartão
Entre em contato imediatamente com sua instituição financeira utilizando o aplicativo, telefone ou site oficial.
Não use números fornecidos na mensagem suspeita.
Baixei um arquivo
Não abra novamente.
Utilize as ferramentas de segurança do dispositivo e faça uma verificação.
A FTC recomenda atualizar o software de segurança e executar uma varredura quando um link ou anexo suspeito puder ter instalado software nocivo.
Uma senha forte ajuda, mas não resolve tudo
Você pode possuir uma senha excelente:
muito-longa-e-unica-...
Mas se digitá-la voluntariamente em uma página falsa, o golpista pode recebê-la.
É justamente por isso que phishing é tão perigoso.
Ele tenta atacar a decisão da pessoa, não apenas o sistema.
Por isso recomendamos combinar:
senhas únicas + gerenciador de senhas + autenticação em dois fatores + atenção ao domínio.
Esse é um excelente ponto para colocar nosso link interno:
➡️ Como Criar Senhas Fortes e Proteger Suas Contas na Internet
A Inteligência Artificial tornou golpes mais convincentes?
Existe um aspecto importante da segurança digital atual: erros de português já não são um filtro confiável.
Mensagens fraudulentas podem apresentar:
boa escrita,
design profissional,
logotipos corretos
e uma comunicação convincente.
Portanto, não pense:
“Está bem escrito, então deve ser verdadeiro.”
Analise a origem, o domínio e aquilo que a mensagem está pedindo.
Como o ConectadoAqui verificou este guia
Para esta atualização, utilizamos documentação de segurança do Google/Chrome, além de orientações públicas da Federal Trade Commission (FTC) e da Cybersecurity and Infrastructure Security Agency (CISA) sobre phishing, links suspeitos e proteção de contas.
O Google confirma que a Navegação Segura do Chrome é utilizada para proteção contra phishing, malware, sites abusivos e outras ameaças.
A FTC recomenda não clicar em links inesperados e confirmar possíveis comunicações legítimas entrando em contato com a organização através de um endereço ou telefone conhecido.
A CISA também recomenda cautela com comunicações urgentes e verificação de hyperlinks antes de acessá-los.
Última revisão: 24 de setembro de 2026.
Antes de clicar, faça o teste dos 30 segundos
Quando receber algo estranho, não precisamos criar outro método artificial com sigla.
Faça simplesmente estas perguntas:
Eu estava esperando essa mensagem?
Quem realmente enviou?
Para qual domínio o link leva?
A mensagem está tentando me apressar?
Está pedindo senha, cartão ou informações pessoais?
Consigo confirmar entrando diretamente no aplicativo ou site oficial?
Se alguma coisa parecer errada, não clique.
Perguntas frequentes
Como saber se um link é seguro sem clicar?
No computador, passe o cursor sobre o link para visualizar o endereço de destino. Confira cuidadosamente o domínio e, se a mensagem representar uma empresa, acesse o serviço diretamente pelo aplicativo ou endereço oficial conhecido. Google e CISA recomendam verificar o destino de links suspeitos antes de acessá-los.
HTTPS significa que um site é confiável?
Não. HTTPS indica uma conexão criptografada com aquele site, mas não garante por si só que a organização por trás dele seja legítima.
Recebi um link do meu banco. Posso clicar?
Se a mensagem for inesperada, a alternativa mais segura é abrir diretamente o aplicativo oficial do banco ou utilizar um canal que você já saiba ser legítimo para verificar a informação. A FTC recomenda não utilizar o contato ou link contido na própria mensagem suspeita para confirmar sua autenticidade.
Posso confiar em um link enviado por um amigo?
Não automaticamente. Contas podem ser comprometidas. Se a mensagem for estranha ou inesperada, confirme diretamente com a pessoa antes de abrir.
O Chrome consegue identificar links perigosos?
O Chrome utiliza a Navegação Segura para alertar sobre diferentes ameaças, incluindo phishing, malware, sites abusivos e downloads perigosos. Nenhum recurso substitui totalmente a atenção do usuário.
Conclusão
Golpes digitais estão ficando mais convincentes.
Eles podem usar o nome de uma empresa conhecida.
Podem mostrar o logotipo correto.
Podem saber seu nome.
Podem escrever perfeitamente.
E podem chegar através de alguém que você conhece.
Por isso, nossa defesa não pode depender apenas de reconhecer uma mensagem “mal escrita”.
Precisamos criar um hábito melhor:
não clicar automaticamente.
Observe o remetente.
Leia o domínio.
Desconfie da urgência.
E quando uma mensagem disser que existe algum problema em uma conta sua, faça algo muito simples:
feche a mensagem e abra você mesmo o aplicativo oficial.
Essa pequena mudança de comportamento elimina grande parte do poder de um link malicioso.
