Phishing: o que é, como identificar e o que fazer

Phishing vem de "fishing", pescar. O criminoso joga a isca, uma mensagem que parece vir de alguém confiável, e espera alguém morder.

É a porta de entrada da maioria das fraudes digitais no Brasil, e funciona por um motivo simples: não ataca o sistema, ataca a pessoa.

Como reconhecer

Urgência artificial. "Sua conta será bloqueada em 24 horas", "última chance", "regularize agora". A pressa existe para impedir você de conferir.

Domínio ligeiramente errado. Esse é o sinal mais confiável. Olhe o endereço com atenção: bancoxyz-seguranca.com não é bancoxyz.com.br. Trocar letra por número, acrescentar hífen ou usar subdomínio parecido é a técnica padrão.

Link que não bate com o texto. Passe o mouse sobre o link, no celular pressione e segure, e veja o endereço real antes de tocar.

Pedido que empresa legítima não faz. Banco não pede senha, token, código de SMS ou foto de documento por mensagem. Nunca.

Erro de português e formatação torta. Menos frequente hoje, porque a IA melhorou o texto dos golpes, mas ainda aparece.

Anexo inesperado. Boleto, nota fiscal, currículo, comprovante. Especialmente arquivos executáveis ou compactados.

Saudação genérica. "Prezado cliente" em vez do seu nome.

Os formatos mais usados no Brasil

• E-mail imitando banco, Receita Federal, correios ou operadora.
• SMS, o chamado smishing, com link encurtado.
• WhatsApp, se passando por empresa ou por alguém conhecido. Veja golpe no WhatsApp.
• Ligação, o vishing, muitas vezes imitando a central do banco. Tratamos em golpe da falsa central bancária.
• Anúncio patrocinado em busca ou rede social levando a site clonado.
• QR code adulterado, físico ou digital.
• Boleto falso, com beneficiário trocado. Veja boleto falso.

O golpe que mais cresce: o site clonado

Você pesquisa o nome da empresa, clica no primeiro resultado, que é anúncio pago, e cai num site visualmente idêntico ao original. Digita login e senha, e acabou.

A defesa é simples e quase ninguém faz: digite o endereço você mesmo ou use um favorito salvo, em vez de clicar em resultado de busca, principalmente quando for banco.

Cheguei a clicar. E agora?

Se só clicou, sem digitar nada: feche, não interaja, rode antivírus e fique atento nos dias seguintes.

Se digitou senha:

1. Troque a senha imediatamente, primeiro na conta afetada, depois em toda conta que usava a mesma senha.
2. Ative verificação em duas etapas onde ainda não tem.
3. Encerre as sessões ativas nas configurações de segurança do serviço.
4. Avise o banco, se for caso bancário.

Se digitou dados de cartão: ligue para o banco e bloqueie o cartão na hora. Peça contestação das compras que não reconhece.

Se transferiu dinheiro: aja em minutos. Em Pix existe o Mecanismo Especial de Devolução, com prazo curto. Veja golpe do Pix.

Em qualquer caso: registre boletim de ocorrência. Ele é exigido pelo banco e cria data certa. Veja boletim de ocorrência online.

Como reduzir o risco antes

• Verificação em duas etapas em tudo, principalmente e-mail. Quem controla seu e-mail redefine a senha de todo o resto.
• Gerenciador de senhas. Além de não repetir senha, ele não preenche credencial em site de domínio errado, o que sozinho barra boa parte do phishing.
• Nunca clique, digite. Para banco e serviço financeiro, acesse pelo endereço que você digitou ou pelo app oficial.
• Desconfie do canal, não só da mensagem. Recebeu cobrança? Ligue para o número que está no site oficial, nunca no que veio na mensagem.
• Mantenha sistema e navegador atualizados.

Quando o phishing vira algo pior

Phishing costuma ser a primeira etapa. Com o acesso, o criminoso aplica outros golpes, usa sua identidade para atingir seus contatos ou vende os dados.

Se seus dados vazaram, o caminho está em vazamento de dados: o que fazer. E se a abordagem foi por manipulação em vez de link, o tema é engenharia social.

Onde denunciar

• Boletim de ocorrência, presencial ou pela Delegacia Virtual.
• Banco, se houver prejuízo financeiro.
• Plataforma onde a mensagem chegou.
• 190, se houver ameaça ou risco imediato.

Spear phishing: quando é feito sob medida para você

O phishing comum é disparado para milhares de pessoas com a mesma mensagem. O spear phishing é personalizado: usa seu nome, sua empresa, o nome do seu chefe, uma compra que você realmente fez.

Ele funciona porque os dados vieram de algum lugar: vazamento, rede social pública, ou de uma conversa anterior que o criminoso teve com você fingindo ser outra coisa.

Por isso o cuidado com o que você publica importa. Nome completo, empresa, cargo, rotina e viagens em tempo real são matéria-prima de um golpe personalizado. Não é paranoia reduzir a exposição, é reduzir a superfície.

O phishing dentro da empresa

Uma variação cara é o golpe do falso e-mail do chefe, em que o criminoso pede transferência urgente e confidencial ao setor financeiro. Ele costuma ocorrer em véspera de feriado, quando a checagem é mais difícil.

A defesa é processual, não tecnológica: toda transferência acima de um valor exige confirmação por um segundo canal, com uma pessoa diferente, e ninguém é punido por checar. Empresa em que o funcionário tem medo de questionar o chefe é a empresa que perde dinheiro nesse golpe.

O que fazer com a mensagem depois

Não apenas apague. Antes de excluir, tire print mostrando o remetente completo e o endereço do link, e encaminhe para o canal de denúncia da instituição imitada, porque a maioria dos bancos mantém um endereço para isso e usa esses relatos para derrubar os sites falsos.

Denunciar leva dois minutos e reduz o número de próximas vítimas.

Quem é alvo preferencial

Não é só quem entende pouco de tecnologia. Os disparos em massa miram volume, e os personalizados miram quem tem acesso a dinheiro ou a sistemas: setor financeiro de empresas, pessoas com cargo visível no LinkedIn, e quem acabou de anunciar publicamente uma compra, uma viagem ou uma mudança de emprego.

Reduzir o que você publica sobre rotina, empresa e cargo diminui bastante o material disponível para um golpe feito sob medida.