Phishing: como identificar e-mails falsos e se proteger

Você provavelmente já recebeu um e-mail estranho pedindo para "confirmar seus dados" ou uma mensagem avisando sobre uma "compra não autorizada" que você não reconhece. Esse tipo de contato é o que especialistas em segurança chamam de phishing, e ele está entre as ameaças digitais mais comuns do Brasil e do mundo. Aprender a identificar esses golpes é uma habilidade essencial, tanto para quem usa a internet no cotidiano quanto para empresas que lidam com dados de clientes.

Este conteúdo tem caráter informativo. Decisões técnicas e estratégias corporativas devem ser tomadas com profissional especializado em segurança da informação.

O que é phishing

Phishing é uma técnica de fraude digital usada para enganar pessoas e levá-las a revelar informações sensíveis, como senhas, números de cartão, códigos de acesso ou dados pessoais. O nome vem do inglês "fishing", que significa pescar, porque o golpista "fisga" a vítima com uma isca que normalmente se parece com um e-mail, uma mensagem ou uma ligação de uma fonte aparentemente confiável.

A ideia central do phishing é simples: o atacante se passa por uma marca conhecida, como banco, loja, rede social ou órgão do governo, e cria um senso de urgência para que a vítima reaja rápido, sem pensar com calma. Em vez de invadir sistemas por força, o golpista convence a pessoa a entregar a chave da porta.

Phishing é diferente de ataques puramente técnicos contra servidores e softwares. No phishing, a chamada engenharia social, isto é, a manipulação psicológica, é a principal arma do criminoso. O atacante não precisa explorar uma falha sofisticada, basta usar confiança, medo ou pressa da vítima como atalho.

Esse tipo de golpe está em alta há décadas e segue eficiente porque explora algo humano: a tendência de reagir quando achamos que algo está errado com nossa conta, com nosso dinheiro ou com um pacote que deveria ter chegado.

Os principais tipos de phishing

Os golpistas adaptam a mesma estratégia para diferentes canais. Conhecer as variações ajuda a ficar atento em cada situação do cotidiano.

Phishing por e-mail

É a forma mais conhecida e antiga do golpe. O e-mail falso imita a identidade visual de uma empresa conhecida e leva a vítima para uma página falsa, onde ela digita login e senha. É o tipo que mais circula hoje em dia, sendo responsável pela maior parte das tentativas registradas no Brasil.

Smishing (phishing por SMS)

A isca vem por mensagem de texto no celular. Geralmente traz um link curto que leva a uma página falsa na internet. Exemplos comuns incluem mensagens do tipo "seu pedido foi retido na alfândega, clique aqui para liberar" ou "detectamos acesso estranho à sua conta&quot.

Vishing (phishing por voz)

Acontece por ligação telefônica. Uma pessoa se passa por funcionário de banco, da Receita Federal ou de uma empresa de tecnologia e tenta obter códigos, senhas ou instalar programas de acesso remoto no computador da vítima. O fraudador costuma agir com tom autoritário, reforçando a urgência da suposta fraude.

Quishing (phishing por QR code)

É a variação mais recente e tem ganhado espaço nos últimos anos. O golpista coloca um QR code falso em locais físicos, como estacionamentos, mesas de restaurante e cartazes em muros, ou mesmo dentro de e-mails e documentos PDF. Quando a vítima escaneia, é levada para uma página que coleta dados ou baixa malware.

Spear phishing e whaling

São variações mais sofisticadas e direcionadas. O spear phishing mira pessoas específicas dentro de uma empresa, usando dados reais como nome, cargo e projetos em andamento para tornar a mensagem crível. O whaling é o spear phishing direcionado a executivos de alto escalão, normalmente com objetivo de fraude financeira, roubo de dados estratégicos ou mesmo chantagem.

Como identificar e-mails falsos: os sinais clássicos

Existem pistas quase sempre presentes em e-mails de phishing. Aprender a ler essas pistas reduz muito o risco de cair em um golpe. A seguir estão os sinais mais importantes que qualquer pessoa pode observar.

Analise o remetente com atenção

Muitos golpistas registram domínios parecidos com os da empresa real. Um e-mail "do Banco X" pode vir de um endereço "@banc0-seguro.com" ou "@suporte-bancox.com" em vez do domínio oficial. Sempre passe o olho pelo endereço completo depois do "@", e não apenas pelo nome exibido.

Em alguns casos, o nome exibido parece confiável, mas o endereço real é estranho. Por isso vale a pena conferir o cabeçalho do e-mail ou clicar com o botão direito no nome do remetente para ver o endereço verdadeiro antes de qualquer interação.

Desconfie da urgência excessiva

Frases como "você tem 24 horas", "sua conta será bloqueada hoje", "sua compra foi confirmada, cancele agora se você não reconhece" são gatilhos emocionais clássicos. Empresas legítimas quase nunca usam esse tipo de pressão extrema em uma comunicação de rotina.

Quando sentir urgência no corpo da mensagem, pare. Abra uma nova aba no navegador, vá direto ao site oficial ou ao aplicativo da empresa e verifique a suposta situação. Nunca use o próprio link do e-mail.

Passe o mouse sobre os links antes de clicar

Antes de clicar, passe o cursor sobre o link para ver a URL real, que aparece na parte inferior do navegador ou do cliente de e-mail. Se o endereço não tiver relação direta com a marca que supostamente envia a mensagem, vier de um domínio estranho, cheio de letras embaralhadas ou terminar em extensões frequentemente usadas em golpes, desconfie.

Em links encurtados comuns na internet, é possível expandir e verificar o destino antes de clicar. Existem também extensões de navegador que mostram o destino real de forma automática.

Cuidados com anexos e arquivos recebidos

Anexos inesperados, especialmente arquivos com extensões como .zip.rar.html.exe.scr, ou ainda planilhas e PDFs com macros, são vetores comuns de malware. Bancos e órgãos públicos quase nunca enviam anexos não solicitados.

Quando receber um anexo, confirme com a pessoa que supostamente enviou usando outro canal, como telefone ou mensagem em rede social, antes de abrir o arquivo.

Erros de português e formatação estranha

Embora golpistas estejam cada vez mais cuidadosos com a escrita, ainda é comum encontrar e-mails de phishing com erros de ortografia, frases truncadas, formatação quebrada, imagens desfocadas ou mistura de idiomas. Qualquer combinação desses sinais é motivo para desconfiar.

Pedidos de dados sensíveis no corpo do e-mail

Bancos, órgãos do governo e plataformas digitais têm política de nunca pedir senha completa, código de autenticação, PIN do cartão ou cópia de documentos por e-mail, SMS ou WhatsApp. Quem pede esse tipo de dado, mesmo parecendo ser de uma marca conhecida, deve ser tratado como golpista.

Cuidado com imagens e logotipos copiados

Logos podem ser copiados com facilidade a partir do site oficial de qualquer empresa. Só porque um e-mail tem o logo do seu banco, isso não garante que veio do banco. A confiança precisa vir de outras evidências, como o domínio de envio, o destino do link e o tom da mensagem.

Tabela: sinais de alerta e como verificar

A tabela abaixo resume os principais sinais de phishing em e-mail e como cada um pode ser checado pelo leitor em poucos segundos.

Casos reais e golpes comuns no Brasil

Para entender como o phishing aparece na prática, vale conhecer alguns golpes recorrentes no país. Os exemplos abaixo são variações comuns relatadas por órgãos de defesa do consumidor e pela imprensa especializada em segurança.

Falsa cobrança do PIX

A vítima recebe mensagem ou e-mail avisando que houve uma transferência via PIX para uma conta dela e pedindo para clicar em um link para contestar. O link leva a uma página falsa que rouba login e senha do banco. Em algumas variações, o golpista induz a vítima a devolver o valor para uma conta controlada pelo próprio criminoso.

Falso suporte de banco

Ligação de alguém se passando por funcionário do banco, dizendo que houve "movimentação suspeita" na conta. O golpista pede para a vítima instalar um aplicativo de acesso remoto ou informar códigos recebidos por SMS. Com isso, ele consegue operar o aplicativo bancário como se fosse o titular e esvaziar a conta em poucos minutos.

Falsa promoção ou entrega de produto

Mensagem avisando que um produto foi entregue ou que está aguardando retirada, com link para confirmar dados. O texto mistura a linguagem de grandes empresas de e-commerce, dos Correios ou de transportadoras conhecidas. O objetivo é coletar dados pessoais e de cartão de crédito para uso posterior em fraudes.

Esses golpes mudam de tema com frequência, explorando datas sazonais, como Black Friday e Natal, ou notícias em alta, como lançamentos de filmes, jogos ou eventos esportivos. Por isso, em vez de tentar decorar cada golpe específico, vale a pena aprender a reconhecer o padrão de comportamento.

O que fazer se você caiu em um phishing

Mesmo tomando cuidado, é possível cair em um golpe. Saber o que fazer agiliza a resposta e reduz o estrago. Os passos abaixo são recomendações gerais alinhadas a entidades como o CERT.br.

1. Interrompa o uso da conta afetada o mais rápido possível
2. Troque a senha do serviço envolvido e de qualquer outra conta que use senha semelhante
3. Ative autenticação em duas etapas em todos os serviços que oferecem essa opção
4. Entre em contato com o banco ou com a empresa envolvida pelos canais oficiais
5. Registre um Boletim de Ocorrência, seja online ou presencialmente
6. Se houver vazamento de dados financeiros, peça o bloqueio cautelar e acompanhe extratos
7. Monitore e-mails, contas correntes e cartões por movimentações suspeitas nas semanas seguintes

Reagir rápido reduz a janela de ação do golpista. A maioria dos esquemas depende da vítima demorar para perceber o problema.

Boas práticas de prevenção para empresas

Empresas que recebem tentativas de phishing precisam tratar o tema em duas frentes: treinamento de pessoas e configuração de tecnologia. As duas frentes juntas funcionam melhor do que qualquer uma delas isolada.

Filtre mensagens na entrada do e-mail

Configure o servidor de e-mail corporativo para bloquear domínios conhecidos de phishing, anexos perigosos como executáveis e scripts, e URLs maliciosas. Existem gateways de e-mail e provedores especializados que aplicam essas regras automaticamente e atualizam listas de bloqueio em tempo real.

Treine usuários com simulações controladas

Programas de treinamento que enviam e-mails falsos de teste para os próprios funcionários ajudam a manter a equipe atenta. Os índices de clique tendem a cair à medida que a cultura de segurança avança dentro da empresa, mas é preciso manter o programa ativo para evitar retrocesso.

Adote autenticação forte em todos os acessos

Imponha autenticação multifator em todos os acessos a sistemas internos e aplicações corporativas. Mesmo que um e-mail de phishing capture a senha de um colaborador, o segundo fator dificulta o acesso do golpista e gera alerta em tempo real para o time de TI.

Defina procedimentos claros de reporte

É fundamental que cada colaborador saiba como reportar um e-mail suspeito ao time de TI. Um canal único e conhecido, que pode ser um simples botão no cliente de e-mail, acelera a resposta e ajuda a construir um banco de dados interno de tentativas, útil para ajustar as defesas ao longo do tempo.

Boas práticas de prevenção para uso pessoal

Para o usuário comum, alguns hábitos simples fazem diferença enorme no dia a dia.

Verifique sempre o remetente e o link

Antes de clicar em qualquer link, observe o endereço do remetente e a URL real do destino. Se houver qualquer dúvida, não clique. Acesse o site oficial digitando o endereço diretamente no navegador ou usando o aplicativo oficial da empresa.

Use autenticação em duas etapas em tudo que puder

Ativar o segundo fator, seja por SMS, aplicativo autenticador ou chave física, reduz drasticamente o efeito de uma senha vazada. A maioria dos serviços populares, como bancos, redes sociais, e-mails e plataformas de streaming, oferece essa opção em algum lugar das configurações de conta.

Mantenha o sistema operacional e os aplicativos atualizados

Atualizações de sistema operacional, navegador e antivírus corrigem falhas que poderiam ser exploradas caso a vítima acessasse uma página maliciosa. Deixar o celular, o computador e o navegador desatualizados é abrir uma porta que não precisava estar aberta.

Desconfie de promoções boas demais

Promoções com descontos agressivos, prêmios altos ou supostos benefícios exclusivos são iscas clássicas de phishing. Quando a oferta parece boa demais para ser verdade, vale a pena conferir no site oficial da marca antes de tomar qualquer ação.

Prefira canais oficiais para resolver dúvidas

Em caso de dúvida sobre uma cobrança, uma entrega ou um comunicado, vá direto ao aplicativo ou ao site oficial da empresa. Evite usar links recebidos por mensagem, mesmo que pareçam legítimos, e nunca ligue para números fornecidos no corpo de um e-mail suspeito.

Perguntas Frequentes (FAQ)

Phishing é considerado crime no Brasil?

Sim. Praticar phishing pode configurar crimes previstos no Código Penal brasileiro, com pena de reclusão que pode chegar a oito anos em casos mais graves, além de enquadramentos na Lei Geral de Proteção de Dados (LGPD) e no Código de Defesa do Consumidor, a depender da conduta e do impacto.

Como denunciar um e-mail de phishing recebidos por mim?

Você pode encaminhar o e-mail suspeito para o endereço abuse@cert.br, mantido pelo CERT.br, que é referência nacional no tratamento de incidentes de segurança. Também é possível registrar um Boletim de Ocorrência online ou presencialmente para formalizar a denúncia e facilitar investigações.

Qual a diferença entre phishing e spam?

Spam é qualquer mensagem não solicitada, geralmente com conteúdo publicitário ou tentativas de venda em massa. Phishing é um tipo específico de mensagem fraudulenta criada para enganar o destinatário e obter dados, senhas ou dinheiro. Todo phishing pode ser classificado como spam, mas nem todo spam é phishing.

Um antivírus protege sozinho contra phishing?

Antivírus modernos ajudam a bloquear sites fraudulentos e anexos maliciosos, mas não substituem a atenção do usuário. Muitos golpes são detectados primeiro pelo filtro do serviço de e-mail, e outros passam e dependem do cuidado humano na hora de decidir se clica ou não em um link.

Celulares também recebem tentativas de phishing?

Sim. Smishing, que é phishing por SMS, e mensagens em aplicativos como WhatsApp e Telegram são vetores comuns. O mesmo vale para e-mails lidos diretamente no celular. As dicas de verificação se aplicam a qualquer tela, qualquer sistema operacional e qualquer tamanho de dispositivo.

Conclusão

Identificar um e-mail falso é, em grande parte, uma questão de hábito construído aos poucos. Com o tempo, os sinais clássicos, como urgência exagerada, domínio estranho, pedido de senha ou anexo inesperado, ficam fáceis de reconhecer. Nenhuma tecnologia substitui a leitura crítica da mensagem, mas a tecnologia ajuda a evitar que a maioria dos golpes sequer chegue até a sua tela.

Para empresas, investir em cultura de segurança, filtros inteligentes e autenticação forte reduz drasticamente o risco de incidentes. Para usuários comuns, adotar autenticação em duas etapas e desconfiar de pressa exagerada já coloca a pessoa em um nível de proteção bem acima da média. A internet segue oferecendo conveniência enorme, e não faz sentido abrir mão dela por medo. Com informação de qualidade e rotina de atenção, dá para usar tudo com tranquilidade.

Se você precisa de ajuda para colocar isso em prática em um site, e-commerce ou sistema da sua empresa, a Baita Site tem uma equipe especializada em sites, e-commerce, sistemas e inteligência artificial, com domínio total de WordPress. Fale com a gente e veja como podemos acelerar o seu projeto.

Referências consultadas

CERT.br. Cartilha de Segurança para Internet e guia de phishing. Disponível em: https://www.cert.br/, Governo Federal. Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018. Disponível em: https://www.gov.br/cftic/pt-br/composicao/cgeld/redacao/lei-geral-de-protecao-de-dados-pessoais-lgpd, Federação Brasileira de Bancos (Febraban). Cartilha de Segurança Bancária e materiais educativos. Disponível em: https://www2.febraban.org.br/, Kaspersky. Conteúdo educativo sobre phishing e como reconhecer ataques. Disponível em: https://www.kaspersky.com.br/resource-center/threats/how-to-recognize-phishing, Consumidor.gov.br. Portal oficial de reclamações e denúncias do consumidor no Brasil. Disponível em: https://www.consumidor.gov.br/