Dá para reconhecer a maioria dos e-mails de phishing em menos de meio minuto, sem ser técnico. O truque é olhar sempre as mesmas coisas, na mesma ordem: o domínio real de quem enviou, o endereço real do link, o tom de urgência e o que a mensagem está pedindo. Abaixo está esse checklist e o que fazer quando a checagem falha — inclusive se você já clicou.
O checklist de 20 segundos
- Leia o domínio, não o nome exibido. Qualquer pessoa pode escrever "Suporte do Banco" no campo de nome. O que vale é o que vem depois do @. Desconfie de domínios parecidos com o verdadeiro: banco-seguranca.com, bancoo.com.br, ou trocas quase invisíveis como "rn" no lugar de "m" e o "l" minúsculo no lugar do "I". Na dúvida, cheque o endereço e o domínio no validador de e-mails do 1mail.lt: um domínio criado ontem e sem estrutura de e-mail decente já é resposta suficiente.
- Passe o mouse sobre o link e leia o host. No celular, segure o dedo sobre o link até aparecer o endereço. O que importa é o que vem imediatamente antes da primeira barra. "banco.com.br.login-seguro.xyz" não é o seu banco: o domínio ali é login-seguro.xyz.
- Repare no clima de urgência. "Sua conta será bloqueada em 24 horas", "última tentativa de entrega", "pagamento recusado". Pressa é a principal ferramenta de quem aplica golpe, porque impede exatamente a conferência que você está fazendo agora.
- Anexos que você não pediu. Boleto, currículo, nota fiscal ou "comprovante" em .zip, .htm, .iso ou com macro em planilha. Empresas sérias mandam link para o portal delas, não arquivo executável.
- Pedido de código, senha ou instalação. Nenhuma empresa de verdade pede o seu código de 6 dígitos, a sua senha ou que você instale um "app de segurança" enviado por e-mail. Se pediu, acabou a análise: é golpe.
- Saudação genérica e detalhes errados. "Prezado cliente", valores redondos demais, um pedido que você nunca fez, assinatura sem CNPJ nem telefone real.
- Confira por fora. Se ainda restar dúvida, não responda nem clique: abra o app oficial ou digite o endereço do site na mão. Se a cobrança existir mesmo, ela vai estar lá.
Se quiser um roteiro mais detalhado para o passo do remetente, vale ler o guia sobre como verificar se um e-mail é real.
Os casos difíceis de hoje
Faturas e cobranças que parecem legítimas
Golpistas invadem a caixa de um fornecedor real, respondem uma conversa que já existia e mandam o mesmo boleto com outra chave Pix ou outro banco. Não há erro de português, o assunto é o mesmo e o histórico está ali. A defesa não é visual: é confirmar mudança de dados bancários por telefone, em um número que você já tinha, nunca no número que veio no e-mail.
Bombardeio de notificações de 2FA
Você recebe dezenas de pedidos de aprovação no celular até aprovar um por cansaço ou engano. Cada notificação dessas significa que alguém já tem a sua senha. Nunca aprove o que você não iniciou, troque a senha na hora e prefira métodos que exigem número correspondente ou uma passkey.
Phishing por QR code
O código no e-mail, no PDF ou no cartaz leva a uma página falsa e escapa de boa parte dos filtros, porque não é um link legível. Antes de abrir, confira o endereço que o celular mostra na pré-visualização e desconfie de QR que pede login logo de cara.
Cliquei. E agora?
- Se você só abriu a página, feche e não digite nada. Um clique isolado raramente é suficiente.
- Se digitou a senha, troque a senha imediatamente nesse serviço e em qualquer outro onde ela se repetia.
- Ative ou confirme o segundo fator e encerre todas as sessões ativas nas configurações de segurança.
- Se digitou um código de 6 dígitos, considere a conta comprometida: reveja dispositivos autorizados, regras de encaminhamento no e-mail e chaves de recuperação.
- Se baixou um arquivo, rode uma verificação com o antivírus do sistema e, em caso de máquina corporativa, avise o time de TI. Em fraude bancária, registre boletim de ocorrência e acione o banco pelo canal oficial.
Defesas que valem mais que atenção
Atenção cansa; estrutura, não. Se você tem um domínio próprio, configure autenticação de remetente para que ninguém envie mensagens se passando por você — o resumo prático está em SPF, DKIM e DMARC explicados. Nas suas contas, use segundo fator por aplicativo ou passkey, e mantenha um gerador de códigos TOTP com as chaves guardadas em local seguro. E, para cadastros, sorteios e downloads, use uma caixa de entrada descartável: se aquele site vazar a base, o phishing chega em um endereço que você simplesmente abandona.
Por fim, transforme o checklist em hábito: domínio, link, urgência, pedido. Quando bater a dúvida sobre um remetente, dois segundos no validador de e-mails custam muito menos do que uma conta invadida.
Perguntas frequentes
Um e-mail com o nome certo da empresa pode ser falso?
Pode, e é o caso mais comum. O nome exibido é texto livre e não passa por nenhuma verificação. Só o domínio depois do @ e a autenticação da mensagem dizem alguma coisa sobre a origem.
Cadeado e "https" no site significam que ele é seguro?
Não. O cadeado indica apenas que a conexão é criptografada, e páginas de golpe usam certificado gratuito há anos. Ele não diz nada sobre quem está do outro lado.
Abrir o e-mail já é perigoso?
Abrir para ler é de baixo risco nos aplicativos atuais. O risco está em clicar, abrir anexo, preencher formulário ou permitir o carregamento de imagens de remetentes desconhecidos, que confirma que a sua caixa está ativa.
Devo responder pedindo confirmação?
Não. Responder confirma que o endereço é real e coloca você em conversa com o golpista. Use sempre um canal que você mesmo procurou: o app oficial, o site digitado na mão ou o telefone que já estava na sua agenda.
