Como identificar um email de phishing: 12 sinais de alerta (com exemplos bem realistas)

O que é afinal o phishing (num minuto)

Phishing é uma mensagem que finge vir de alguém em quem você confia, como o seu banco, uma transportadora, a Netflix, o seu chefe ou até um amigo, para que você entregue algo valioso. Normalmente é uma palavra-passe, um código de uso único, os dados do cartão ou simplesmente um clique num link que instala algo malicioso.

Funciona porque é barato. Um burlão consegue enviar um milhão de emails quase sem custos, e basta que meia dúzia de pessoas caiam para compensar. Por isso, estes emails são feitos para a rapidez: querem que você reaja antes de pensar. Abrandar dez segundos é, sinceramente, a melhor defesa que tem, e os sinais de alerta abaixo dizem-lhe para onde olhar durante esses dez segundos.

Os 12 sinais de alerta

1. O endereço do remetente não corresponde à empresa

O nome apresentado pode dizer qualquer coisa. "Suporte PayPal" é só texto. O que interessa é o endereço real que vem a seguir. Toque no nome ou passe o rato por cima para o ver.

• Parece correto: [email protected]
• Sinal de alerta: [email protected]
• Sinal de alerta: [email protected]

As grandes empresas enviam a partir do seu próprio domínio. Não lhe escrevem de uma conta gratuita do Gmail ou do Outlook, nem acrescentam ao nome palavras como "secure", "verify" ou "account".

2. Um domínio escrito quase igual

Os burlões registam domínios que, à primeira vista, parecem certos: arnazon.com (o r e o n juntos parecem um m), paypa1.com (o número 1 em vez da letra l) ou micros0ft.com (um zero em vez de um o). No ecrã pequeno do telemóvel são muito difíceis de detetar, e é precisamente por isso que são usados. Leia o domínio devagar, letra a letra.

3. Pressa e ameaças

"A sua conta será encerrada em 24 horas." "Último aviso." "Serão tomadas medidas legais." As empresas a sério raramente lhe fazem uma contagem decrescente por email. A urgência está lá para não o deixar pensar. Sempre que um email o deixar com pressa ou com medo, trate esse próprio sentimento como um sinal de alerta.

4. O link leva a outro sítio

O botão pode dizer "Inicie sessão na sua conta", mas para onde vai realmente? No computador, passe o rato por cima do link e veja o endereço que aparece no canto inferior do navegador. No telemóvel, mantenha o dedo em cima do link para ver uma pré-visualização sem o abrir.

• O email diz que vem do seu banco, mas o link vai para secure-login-bank.xyz
• O link começa com o nome certo, mas o domínio verdadeiro só aparece depois: https://netflix.com.account-update.info/login (aqui o site real é account-update.info, não a Netflix)

5. Uma saudação genérica

"Caro cliente", "Caro utilizador" ou "Olá, estimado membro". Uma empresa onde você tem conta normalmente sabe o seu nome. Uma saudação genérica não prova que o email é falso, mas, junto com qualquer outro sinal desta lista, é uma pista forte.

6. Pede a sua palavra-passe, um código ou os dados do cartão

Esta é simples: nenhum banco, loja ou fornecedor de email verdadeiro lhe vai pedir para responder com a sua palavra-passe, o número completo do cartão ou o código de uso único que acabaram de lhe enviar por SMS. Esse código existe precisamente para que só você o possa usar. Se alguém lho pedir, por email, chat ou telefone, é burla. Sempre.

7. Um anexo que você não esperava

"Fatura_0423.zip", "Dados_de_pagamento.html", "Documento_digitalizado.pdf.exe". Anexos inesperados, sobretudo ficheiros ZIP, ficheiros HTML ou qualquer coisa que lhe peça para "ativar a edição" ou "ativar macros", são uma forma clássica de instalar malware. Se não estava à espera de uma fatura, não abra a fatura.

8. Uma oferta boa demais para ser verdade

"Ganhou um iPhone 16." "Resgate o seu cartão-presente de 500 $." "O seu reembolso de impostos de 1240 $ está à sua espera." Você não participou em nenhum concurso, por isso não ganhou nenhum. Estes emails costumam levar a um formulário que pede os dados do cartão "para pagar os portes de envio".

9. Gramática e formatação estranhas (mas não confie só nisso)

Frases esquisitas, maiúsculas ao calhas e logótipos desfocados costumavam ser a forma mais fácil de apanhar um email falso. Hoje muitos emails de phishing são escritos com ferramentas de IA e parecem impecáveis. Por isso, trate os erros de gramática como uma pista extra, nunca como o teste principal. Um email bem escrito também pode ser falso.

10. Um endereço de resposta diferente do remetente

Alguns emails de phishing chegam de um endereço com ar verdadeiro, mas definem discretamente um "responder para" diferente. Você carrega em Responder e a sua resposta vai parar ao burlão. Se estiver prestes a responder com algo sensível, confirme primeiro o endereço no campo "Para" da sua resposta.

11. Algo que você nunca pediu

Um aviso de envio de uma transportadora que nunca usou, uma reposição de palavra-passe que não pediu ou um recibo de uma compra que não fez. Os burlões enviam isto na esperança de que você clique para "cancelar" ou "contestar" a encomenda. Não use o link do email. Se estiver preocupado, abra a app da empresa ou escreva você mesmo o endereço do site.

12. Avisos de autenticação da sua app de email

O Gmail, o Outlook e o Apple Mail verificam nos bastidores se um email veio mesmo do domínio que diz. Quando essas verificações falham, pode ver um aviso como "Esta mensagem pode não ser de quem diz ser", ou um ponto de interrogação no lugar da foto do remetente. Leve esses avisos a sério. Se tem curiosidade em saber como funcionam essas verificações, explico tudo em linguagem simples em SPF, DKIM e DMARC explicados.

Um exemplo bem realista, desmontado

Este é o tipo de email que chega às caixas de entrada todos os dias:

De: Amazon Customer Service <[email protected]>
Assunto: Ação necessária: a sua encomenda #112-8842 foi suspensa

Caro cliente,
Não foi possível verificar as suas informações de pagamento. A sua encomenda e a sua conta serão canceladas dentro de 24 horas, a menos que confirme os seus dados.

[Verificar a minha conta]

Vamos contar os sinais:

1. O domínio é amaz0n-orders-support.com, com um zero e palavras a mais. A Amazon não envia emails dali.
2. "Caro cliente" em vez do seu nome.
3. Uma ameaça com prazo de 24 horas.
4. Uma encomenda que provavelmente não reconhece.
5. Um botão que, se mantivesse o dedo em cima dele, mostraria um site sem qualquer relação.

Cinco sinais em poucas linhas. O que fazer: apague-o, ou abra você mesmo a app da Amazon e veja as suas encomendas. Se houver mesmo um problema, vai vê-lo lá.

O que fazer se já clicou

Primeiro: não entre em pânico e não se sinta tolo. Estes emails são feitos por pessoas cujo trabalho a tempo inteiro é enganar os outros. O que importa agora é agir depressa:

1. Se só abriu o email: quase de certeza que está tudo bem. Basta apagá-lo.
2. Se clicou no link mas não escreveu nada: feche a página. Faça uma análise de segurança ao seu dispositivo, se tiver essa opção.
3. Se introduziu uma palavra-passe: mude-a imediatamente no site verdadeiro (escreva você o endereço) e mude-a também em qualquer outro sítio onde usou a mesma.
4. Se introduziu os dados do cartão: ligue para o banco, para o número que está no verso do cartão, e peça para o bloquearem.
5. Se partilhou um código de uso único: entre nessa conta imediatamente, mude a palavra-passe e termine todas as outras sessões.
6. Ative a autenticação de dois fatores no seu email, no banco e nas contas de compras, se ainda não o fez.

Denuncie, ajuda toda a gente

Use a opção "Denunciar phishing" ou "Denunciar spam" da sua app de email. No Gmail está no menu dos três pontos e no Outlook em "Denunciar". Isto treina os filtros que protegem milhões de outras pessoas. Muitas empresas têm também um endereço próprio para isto; por exemplo, pode reencaminhar emails falsos do PayPal para [email protected]. Nos EUA também pode denunciar à FTC em reportfraud.ftc.gov e, no Reino Unido, para [email protected].

Menos phishing logo à partida

Nunca vai conseguir acabar de vez com o phishing, mas pode tornar a sua caixa de entrada um alvo muito mais pequeno:

• Não dê o seu endereço de email principal a todos os sites, passatempos e downloads gratuitos. Quanto menos sítios o tiverem, em menos listas ele vai parar.
• Para registos pontuais, use um endereço de email temporário. Se mais tarde esse site sofrer uma fuga de dados ou vender a sua lista, o lixo vai para uma caixa de entrada que desaparece sozinha.
• Use um gestor de palavras-passe. Ele não vai preencher automaticamente a sua palavra-passe em paypa1.com, o que faz dele um detetor de phishing surpreendentemente bom.
• Mantenha o telemóvel e o navegador atualizados, porque as atualizações fecham as falhas que os links maliciosos tentam aproveitar.

Se o seu endereço já apareceu numa fuga de dados, veja o que fazer quando o seu email aparece numa fuga de dados e, para os hábitos do dia a dia, estas boas práticas de privacidade no email.

O hábito dos dez segundos

Se só guardar uma coisa deste artigo, que seja esta: quando um email quer que aja depressa, abrande dez segundos. Veja quem o enviou realmente, mantenha o dedo no link para ver para onde vai e, se algo lhe parecer estranho, vá você mesmo ao site em vez de clicar. Essa pequena pausa trava a grande maioria dos emails de phishing que andam por aí.

Fique seguro e, se já apanhou algum truque de phishing engenhoso que não esteja nesta lista, gostava mesmo muito de saber. Encontra os meus contactos logo aqui em baixo.