Segurança da Informação

Phishing é um golpe em que o criminoso tenta enganar você usando uma mensagem, site ou perfil falso, que “parece de verdade”. A ideia é fazer você acreditar que está falando com o banco, uma loja, um serviço de entrega, um aplicativo ou até uma instituição conhecida — e, a partir disso, levar você a clicar em um link, abrir um arquivo, informar dados ou fazer um pagamento.

Pense como uma “isca digital”: a mensagem vem com um motivo convincente (uma compra “suspeita”, um “bloqueio de conta”, uma “multa”, um “pix pendente”, um “cadastro urgente”, um “prêmio”, um “código de verificação”) e tenta capturar dados como:

• * Senhas
• * Códigos de verificação (SMS/WhatsApp/app autenticador)
• * Dados bancários
• * Cartão de crédito
• * CPF, endereço, fotos de documentos
• * Ou até fazer você autorizar algo (ex.: “confirme o acesso”, “clique para regularizar”, “faça o pix para evitar bloqueio”).

Essas mensagens podem chegar por e-mail, SMS, WhatsApp, redes sociais e até por mensagens internas de apps. O golpe funciona porque explora pressa, medo, curiosidade ou oportunidade.

Por que essas mensagens parecem tão reais?

Porque os golpistas copiam elementos visuais e textos que você já reconhece:

• * Logotipo, cores e “cara” do banco/loja
• * Nomes parecidos (ex.: domínio estranho, mas com palavra “banco” no meio)
• * Assinaturas e rodapés falsos
• * Links que “parecem” certos, mas levam para páginas falsas
• * Perfis com foto e nome muito semelhantes aos oficiais

Sinais de alerta

• * Urgência e ameaça: “última chance”, “conta será bloqueada hoje”, “pix em análise”
• * Pedido de clique: “clique aqui para resolver” (principal isca)
• * Erros e estranhezas: português ruim, termos genéricos (“prezado cliente”), formatação “torta”
• * Pedido de dados que não fazem sentido: senha, código, foto de documento, “confirme seus dados”
• * Remetente/contato suspeito: número novo, e-mail estranho, perfil recém-criado
• * Link encurtado ou esquisito: principalmente quando não é o site oficial

Tipos de Phishing
1) Spear Phishing (direcionado)

É o phishing “sob medida”. O golpista mira uma pessoa específica ou um setor (ex.: financeiro, compras, RH), usando informações reais para parecer legítimo.

Ex.: “Oi, Luis, aqui é do setor X. Segue o arquivo da nota fiscal para pagamento.”

2) Smishing (por SMS)

Golpe por SMS, geralmente com links e alertas.

Ex.: “Sua compra foi aprovada. Se não reconhece, acesse: [link]”

3) Vishing (por ligação)

Golpe por telefone. O criminoso finge ser atendente e tenta extrair códigos, senhas, “confirmações” ou orientar transferências/pix.

Ex.: “Sou do banco, houve tentativa de fraude, preciso que você confirme um código que chegou.”

4) Whaling (alto escalão)

Versão voltada para chefias (diretores, gerentes, gestores), porque um “sim” dessa pessoa pode liberar pagamentos, acessos ou dados.

Ex.: “Preciso que você aprove hoje esse pagamento para evitar multa contratual.”

Como se proteger

• * Desconfie de urgência: pressão é ferramenta clássica de golpe.
• * Não clique no link da mensagem: se for banco/loja, entre pelo app oficial ou digite o site você mesmo.
• * Nunca informe senha ou código de verificação: banco e serviços sérios não pedem isso por mensagem/telefone.
• * Confirme por um canal independente: se alguém “da instituição” pedir algo, confirme por um telefone/site oficial.
• * Se possível, ative MFA/2FA: e não compartilhe códigos com ninguém.
• * Quando cair a ficha de que pode ser golpe, pare tudo: não discuta, não “teste”, não continue clicando.

Conclusão

Phishing é uma armadilha digital disfarçada de mensagem verdadeira. Você recebe um e-mail, SMS ou mensagem no WhatsApp que parece ser do banco, de uma loja ou de uma instituição conhecida, mas que na realidade foi criada para roubar informações (como senhas, códigos e dados bancários) ou para te levar a clicar em links maliciosos.

Golpistas costumam usar urgência e pressão (“conta bloqueada”, “compra suspeita”, “última chance”) para fazer você agir sem pensar. Nem tudo que parece seguro é confiável: antes de clicar, confirme a origem usando o app oficial ou digitando o endereço verdadeiro do site. E lembre: senha e código de verificação não se compartilham com ninguém.

Phishing é um golpe que tenta te fazer agir no automático: clicar num link, abrir um arquivo, informar dados ou pagar algo. O criminoso sabe que, no dia a dia, a gente está com pressa — então ele cria mensagens que parecem reais e usam medo, urgência ou promessa de vantagem para te empurrar para o erro. A boa notícia é que a maioria dos golpes deixa “rastros” bem claros quando a gente aprende a observar.

Sinais de Alerta (o que observar)
• Remetente de e-mail de origem suspeita ou desconhecido

O golpe quase sempre começa pela origem. Às vezes o nome exibido parece confiável (“Banco X”, “Suporte”, “Financeiro”), mas o que importa é o endereço completo. Golpistas usam variações e truques, como letras trocadas, números no lugar de letras ou domínios estranhos. Se você não reconhece o remetente, trate como suspeito.

• Mensagens com erros ortográficos

Erros de português, frases estranhas e formatação mal feita são comuns em golpes porque muitas mensagens são copiadas, traduzidas ou feitas “às pressas”. Nem sempre erro = golpe, mas é um alerta forte, principalmente quando a mensagem envolve dinheiro, senha, conta e urgência.

• Links encurtados, com nomes confusos ou desconexos

Link encurtado (tipo “bit.ly/…”) ou link com um endereço estranho é perigoso porque você não vê para onde vai de verdade. Outra armadilha é o link parecer correto, mas ter um detalhe errado:

troca de letras (ex.: “banco-seguro” vs “bancoseguro”)

domínios longos e confusos

subdomínios enganadores (ex.: “banco.com.seguranca-verificacao.site” — isso NÃO é banco.com)

• Mensagens que solicitam dados pessoais, financeiros ou outras informações

Regra prática: serviço sério não pede senha por e-mail, SMS ou WhatsApp. Golpistas pedem CPF, número de cartão, foto de documento, código de verificação, “confirmação” de dados, ou inventam um “cadastro obrigatório”. O objetivo é sempre o mesmo: roubar identidade, invadir conta ou aplicar fraude.

• Arquivos que simulam boletos ou faturas para enganar o usuário

Esse é um clássico: anexos com nome tipo “fatura.pdf”, “boleto.zip”, “comprovante.doc”, “nota_fiscal.html”. Pode ser:

um boleto falso (para você pagar para o golpista)

um arquivo malicioso (para infectar o computador)

uma página que abre no navegador e tenta roubar dados
Se você não estava esperando a cobrança, desconfie.

• Urgência exagerada é um sinal clássico de golpe

Urgência é o “motor” do phishing. O golpe quer que você faça algo antes de pensar:
“agora”, “última chance”, “conta bloqueada”, “pix suspeito”, “compra aprovada”, “multa hoje”, “se não clicar será cancelado”.
Quando a mensagem tenta te deixar nervoso, é porque quer te tirar do controle.

Verificando a Autenticidade (como confirmar com segurança)
• Verifique se o e-mail é do domínio oficial (@banco.com) do, possível, remetente

Não confie só no nome. Confie no domínio depois do @. Mesmo assim, cuidado: golpistas criam domínios parecidos. Se o domínio não bate exatamente com o oficial, trate como golpe.

• Passe o mouse sobre o link para ver o verdadeiro destino

No computador, ao passar o mouse em cima do link, aparece o endereço real (geralmente no rodapé do navegador). No celular é mais difícil — por isso, a melhor prática é não usar o link da mensagem. Em vez disso, abra o app oficial ou digite o site.

• Se ficar na dúvida, não clique e entre no site oficial ou ligue para a empresa

Essa é a verificação mais segura: você mesmo procura o canal oficial. Se a mensagem diz “banco”, você entra pelo aplicativo do banco, não pelo link. Se diz “loja”, você entra pelo site digitado ou app. Se for instituição, você busca o número oficial. Isso corta a armadilha pela raiz.

• Revise a gramática do texto — mensagens oficiais não apresentam erros gramaticais

Instituições normalmente seguem padrões de comunicação: textos revisados, identidade visual consistente, informações completas. Golpes costumam ter: urgência, erros, frases genéricas, “Prezado cliente”, e pedidos fora do normal.

Use a Regra dos 5 segundos: Pare, Analise e Decida

Funciona assim:

• 1) Pare (não clique, não responda)
• 2) Analise (remetente, link, urgência, pedido de dados/arquivo)
• 3) Decida (confirmo por canal oficial ou ignoro)

Esses 5 segundos evitam a maioria dos problemas, porque o golpe depende da pressa.