Como reconhecer mensagens e links suspeitos

Como conferir um link sem confiar na aparência

O texto visível de um link nem sempre corresponde ao endereço de destino. Um botão escrito “Acessar minha conta” pode abrir uma página que não pertence à empresa mencionada.

Passo a passo para inspecionar o endereço

1. Não toque imediatamente. Primeiro, avalie quem enviou a mensagem e o que ela pede.
2. No computador, passe o ponteiro sobre o link, sem clicar, para observar o destino mostrado pelo navegador ou aplicativo, quando disponível.
3. No celular, use a opção de visualizar ou copiar o endereço, se o aplicativo oferecer esse recurso. Pressionar e segurar pode mostrar um menu, mas também pode carregar uma prévia; não trate esse gesto como garantia de ausência de acesso.
4. Confira o endereço completo, não apenas as primeiras palavras.
5. Se ainda houver dúvida, abandone o link. Abra o aplicativo oficial ou use um endereço oficial que você já conhece.

Menus, nomes de opções e comportamentos variam conforme o fabricante, o sistema, a versão e o aplicativo. Se não conseguir visualizar o destino com segurança, não precisa insistir: a alternativa é verificar por outro canal.

Entenda onde está o domínio

No endereço fictício https://conta.exemplo.com.br/pedidos, o nome do servidor é conta.exemplo.com.br, e o domínio principal é exemplo.com.br. O trecho /pedidos indica um caminho dentro do site.

A presença do nome de uma empresa em qualquer ponto do endereço não comprova vínculo com ela. Compare estes exemplos ilustrativos:

• https://conta.exemplo.com.br: “conta” é um subdomínio de exemplo.com.br.
• https://exemplo.com.br.acesso-falso.net: o domínio principal é acesso-falso.net, não exemplo.com.br.
• https://acesso-falso.net/exemplo.com.br: o nome conhecido aparece apenas no caminho.

A leitura dos domínios exige cuidado porque existem terminações diferentes, como .com e .com.br. Não use a regra simplista de olhar apenas as duas últimas palavras.

Letras trocadas, hífens e palavras adicionais podem indicar imitação. Já uma terminação menos familiar, sozinha, não prova fraude.

HTTPS não comprova que o site é legítimo

O https:// indica proteção da conexão, mas não garante a honestidade de quem controla a página. Sites fraudulentos também podem usar HTTPS.

Links encurtados escondem o destino original, e QR Codes podem levar ao mesmo tipo de página falsa. Se o endereço não estiver claro, prefira acessar o serviço diretamente. Evite colar links com dados pessoais ou códigos em verificadores públicos.

Como confirmar uma mensagem por outro canal

A verificação precisa acontecer fora do caminho indicado pelo possível golpista.

1. Abra o aplicativo oficial já instalado, sem usar o botão da mensagem.
2. Consulte pedidos, notificações ou pendências dentro da sua conta.
3. Procure atendimento em um canal confiável, como o contato disponível no aplicativo ou no verso do cartão.
4. Para pedidos de conhecidos, confirme por ligação usando um número que você já tinha salvo.
5. Antes de pagar, confira o destinatário e a operação. Dados divergentes exigem esclarecimento antes da confirmação.

Evite ligar para números fornecidos na própria mensagem suspeita. Ao pesquisar um atendimento na internet, também confira o domínio: anúncios e resultados de busca não são garantia de autenticidade.

Exemplos práticos do cotidiano

Uma taxa para liberar uma entrega

Você está esperando uma compra e recebe um SMS: “Entrega suspensa. Pague a taxa para receber amanhã”.

A coincidência torna a mensagem convincente, mas não comprova sua origem.

1. Não abra o link nem faça o pagamento.
2. Entre no aplicativo da loja e consulte o pedido.
3. Use o rastreamento e os canais oficiais indicados na compra.
4. Se houver uma cobrança real, confirme as instruções diretamente no serviço responsável.

Um familiar pede uma transferência

Uma mensagem com a foto da sua irmã diz que ela trocou de número e precisa pagar uma conta urgente.

1. Não considere a foto uma confirmação de identidade.
2. Ligue para o número antigo ou procure outro contato já conhecido.
3. Confirme o pedido antes de transferir.
4. Se não conseguir falar com ela, espere. A pressão para pagar não substitui a confirmação.

Um aviso de acesso suspeito ao e-mail

Você recebe um alerta dizendo que sua caixa de entrada será desativada caso não confirme a senha.

1. Não use o botão do e-mail.
2. Abra diretamente o aplicativo ou site oficial do provedor.
3. Consulte a área de segurança e as atividades recentes.
4. Se identificar acesso desconhecido, siga as orientações de proteção dentro da própria conta.

O que fazer se você já interagiu

A resposta depende do que aconteceu. Clicar, informar uma senha e instalar um aplicativo são situações diferentes.

Se apenas abriu o link

1. Feche a página e não continue preenchendo formulários.
2. Não autorize notificações, downloads ou outras permissões.
3. Confira se algum arquivo foi baixado e não o execute.
4. Mantenha o navegador e o sistema atualizados.

Abrir uma página não significa automaticamente que a conta foi invadida. Ainda assim, observe comportamentos inesperados e confira se concedeu alguma permissão.

Se informou senha ou código

1. Acesse o serviço pelo canal oficial e troque a senha comprometida.
2. Troque também essa senha em outras contas nas quais ela foi reutilizada.
3. Revise sessões abertas, dispositivos conectados e dados de recuperação.
4. Encerre acessos desconhecidos e ative a autenticação em duas etapas, quando disponível.
5. Se perdeu o acesso, inicie a recuperação pelo suporte oficial.

Se você entregou um código, procure identificar qual ação ele autorizava e avise o serviço envolvido.

Se pagou, compartilhou dados ou instalou algo

Entre em contato imediatamente com o banco ou serviço de pagamento pelos canais oficiais. Informe o ocorrido e peça orientação sobre bloqueio, contestação ou tentativa de recuperação. Não há garantia de devolução.

Se instalou um aplicativo suspeito ou concedeu acesso remoto, interrompa esse acesso e use outro aparelho confiável para proteger suas contas e falar com o banco.

Guarde mensagens, endereços, horários e comprovantes sem voltar a abrir links perigosos. Em caso de fraude, registre um boletim de ocorrência. Se enviou documentos, monitore possíveis usos indevidos e busque orientação nas instituições envolvidas.

Erros comuns

• Confiar apenas no logotipo ou na foto: elementos visuais podem ser copiados.
• Achar que HTTPS significa site seguro: conexão protegida não comprova legitimidade.
• Responder para descobrir se é golpe: isso pode prolongar a manipulação.
• Usar o telefone da mensagem para confirmar: ele pode pertencer ao mesmo esquema.
• Confiar porque veio de um conhecido: contas legítimas podem ser comprometidas.
• Acreditar que duas etapas resolvem tudo: a proteção perde eficácia quando você entrega códigos ou aprova acessos desconhecidos.
• Apagar tudo antes de guardar evidências: preserve o necessário para atendimento e registro.
• Repassar o link como alerta: prefira uma captura com o endereço ocultado.

Resumo rápido

1. Desconfie de pressão, vantagens inesperadas e pedidos de senha ou código.
2. Confira o domínio, mas não dependa apenas dessa análise.
3. Abra o aplicativo oficial ou confirme por um contato já conhecido.
4. Nunca pague só porque a mensagem parece urgente.
5. Se houve exposição, aja conforme o que foi compartilhado.
6. Preserve evidências, denuncie e bloqueie o remetente na plataforma.

Compartilhe essas orientações sem constranger quem caiu em uma tentativa de golpe. Uma conversa acolhedora ajuda a pessoa a pedir ajuda cedo e a interromper novos prejuízos.