Links fazem parte da rotina de quem usa internet, seja para acessar uma conta, acompanhar uma entrega, participar de uma promoção ou conversar por aplicativos de mensagens. O problema é que criminosos também utilizam links para conduzir vítimas a páginas falsas, solicitar informações confidenciais ou iniciar downloads maliciosos.
Esse tipo de fraude é conhecido como phishing. O golpe pode aparecer em e-mails, SMS, WhatsApp, redes sociais, páginas falsas e até QR Codes. O Ministério das Comunicações alerta que essas mensagens podem tentar obter senhas, códigos de autenticação, dados bancários e outras informações pessoais.
A boa notícia é que alguns cuidados simples ajudam a identificar sinais de risco antes de abrir um endereço.
O que é um link malicioso?
Um link malicioso é um endereço criado ou utilizado para conduzir o usuário a uma ação prejudicial, como acessar uma página de phishing, baixar um arquivo perigoso ou fornecer informações a um criminoso.
Nem todo golpe depende de um domínio obviamente estranho. Algumas campanhas utilizam endereços visualmente semelhantes aos verdadeiros ou mensagens que imitam empresas, bancos e órgãos públicos.
Por isso, não basta olhar rapidamente para o nome que aparece na mensagem. É necessário verificar o endereço completo e considerar o contexto em que o link foi recebido.
Principais sinais de que um link pode ser suspeito
1. O endereço não corresponde ao site oficial
Esse é um dos primeiros pontos que devem ser verificados.
Imagine que uma mensagem diga ser do seu banco, mas o link leve para um domínio que não pertence à instituição. Mesmo que a página tenha o mesmo logotipo e aparência do banco, o endereço é um forte sinal de alerta.
Criminosos podem registrar domínios semelhantes aos legítimos, utilizando pequenas alterações em letras, palavras ou extensões.
Por exemplo, um endereço como:
bancodobrasii.com.br
pode tentar se passar por um domínio legítimo, dependendo da instituição.
O mais importante não é apenas procurar o nome da empresa em qualquer parte da URL. Observe qual é o domínio efetivamente registrado e confirme se ele pertence à organização mencionada.
2. O link utiliza encurtadores sem contexto claro
Links encurtados não são necessariamente maliciosos. Serviços de encurtamento possuem usos legítimos.
O problema é que eles escondem o endereço de destino. O usuário pode receber algo como um endereço curto e não conseguir identificar imediatamente para onde será levado.
Órgãos de segurança do governo já alertaram para campanhas de phishing que utilizam links encurtados como parte da estratégia de engenharia social.
Quando um link encurtado chega inesperadamente por SMS, e-mail ou aplicativo de mensagens, vale confirmar a origem antes de acessá-lo.
3. A mensagem tenta criar urgência
A pressão psicológica é um recurso frequente em golpes.
Alguns exemplos:
- “Sua conta será bloqueada hoje.”
- “Você precisa atualizar seus dados imediatamente.”
- “Última oportunidade para receber seu reembolso.”
- “Detectamos uma atividade suspeita. Confirme agora.”
- “Seu pedido está aguardando pagamento.”
O Ministério das Comunicações lista ameaças de bloqueio, solicitações urgentes de atualização e promessas inesperadas de benefícios entre os sinais comuns de phishing.
Quando existe pressão para agir rapidamente, pare e confirme a informação por outro canal.
4. O endereço contém alterações sutis
Golpistas podem tentar imitar visualmente um domínio conhecido.
Observe com atenção:
- Letras trocadas;
- Palavras adicionadas;
- Hífens inesperados;
- Subdomínios confusos;
- Extensões diferentes;
- Caracteres que podem ser confundidos visualmente.
Não existe uma regra segundo a qual um link com muitos números ou caracteres seja automaticamente malicioso. O que importa é verificar se o endereço faz sentido e pertence realmente ao serviço apresentado na mensagem.
5. A mensagem contém erros ou parece mal traduzida
Erros de ortografia e gramática podem ser um sinal de alerta, especialmente quando aparecem junto de outros indícios.
Porém, esse não deve ser o único critério.
Um golpe pode ser escrito corretamente, enquanto uma comunicação legítima pode conter erros. Por isso, analise também o remetente, o contexto e o endereço do site.
6. O remetente não combina com a empresa
Antes de clicar em um link recebido por e-mail, confira o endereço completo do remetente.
O nome exibido pode dizer “Banco”, “Correios”, “Receita Federal” ou outra instituição, mas o endereço real pode utilizar um domínio completamente diferente.
O próprio Google recomenda verificar se o endereço de e-mail corresponde ao nome do remetente e passar o cursor sobre os links antes de clicar.
HTTPS significa que o site é seguro?
Não necessariamente.
O HTTPS indica que a conexão entre o navegador e o site está protegida por criptografia. Isso é importante, mas não comprova que o site pertence à empresa que afirma representar.
Um site de phishing também pode utilizar HTTPS.
O Google explica que, mesmo quando o navegador mostra uma conexão segura, o usuário ainda deve conferir o nome do site na barra de endereço antes de fornecer informações pessoais.
Portanto:
HTTPS = conexão protegida
HTTPS ≠ site necessariamente legítimo
Como verificar um link sem abri-lo
No computador
Se você estiver usando um navegador no computador, coloque o cursor sobre o link sem clicar.
O endereço de destino normalmente aparecerá na parte inferior da janela.
Compare esse endereço com o site que você esperava acessar.
O Google recomenda justamente esse procedimento para verificar se o URL corresponde ao destino esperado.
No celular
Em muitos aplicativos, é possível pressionar o link por alguns segundos para visualizar o endereço completo ou abrir opções relacionadas ao link.
O procedimento varia de acordo com o aplicativo, mas a lógica é a mesma: verifique o destino antes de abrir.
Em vez de clicar, procure o site oficial
Essa é uma das formas mais simples de reduzir o risco.
Se você receber uma mensagem dizendo que precisa acessar sua conta, por exemplo, não é necessário utilizar o link recebido.
Abra o navegador ou o aplicativo oficial e acesse o serviço diretamente.
Isso é especialmente importante para:
- Bancos;
- Carteiras digitais;
- Serviços governamentais;
- Redes sociais;
- Lojas virtuais;
- Serviços de entrega;
- Plataformas de pagamento.
O Ministério das Comunicações recomenda digitar diretamente o endereço do site sempre que possível, em vez de utilizar links recebidos em mensagens.
E os links recebidos de amigos?
Mesmo que a mensagem venha de alguém conhecido, não significa que o link seja automaticamente seguro.
Uma conta de WhatsApp, e-mail ou rede social pode ter sido comprometida, fazendo com que mensagens maliciosas sejam enviadas para os contatos da vítima.
O material de segurança disponibilizado pelo Governo Digital também recomenda cuidado com links enviados por conhecidos, justamente porque a conta ou o dispositivo da pessoa pode estar comprometido.
Se a mensagem parecer estranha, confirme com a pessoa por outro meio antes de abrir.
O navegador também pode ajudar
Os navegadores modernos possuem mecanismos próprios de proteção.
No Google Chrome, por exemplo, a Navegação Segura verifica sites, downloads e extensões em busca de ameaças conhecidas, incluindo phishing e malware. Dependendo da configuração, o navegador pode apresentar um alerta antes de o usuário acessar uma página considerada perigosa.
Se aparecer uma tela de alerta indicando que o site é perigoso, não ignore a mensagem automaticamente.
O Chrome recomenda não prosseguir quando uma página é identificada como perigosa.
Como ativar uma proteção maior no Chrome
No computador, o caminho atual é:
Chrome → Configurações → Privacidade e segurança → Segurança → Navegação segura
O navegador oferece diferentes níveis de proteção, incluindo a Proteção reforçada.
Essa modalidade utiliza informações adicionais para identificar sites, downloads e extensões potencialmente perigosos, inclusive ameaças que podem ainda não estar presentes nas listas conhecidas.
O que fazer se você clicou em um link suspeito?
Clicar em um link suspeito não significa automaticamente que sua conta ou dispositivo foi comprometido. O que acontece depois depende do conteúdo acessado e das ações realizadas.
Se você apenas abriu a página e não forneceu informações nem baixou arquivos, feche-a e evite interagir com ela.
Se você digitou uma senha, troque-a imediatamente, preferencialmente usando o site ou aplicativo oficial.
Se a mesma senha era utilizada em outros serviços, altere-a nesses serviços também.
Se você informou dados bancários ou realizou alguma operação financeira, entre em contato com a instituição financeira pelos canais oficiais e monitore movimentações.
Se você informou códigos de autenticação, considere a conta potencialmente comprometida e faça a recuperação pelos canais oficiais do serviço.
Se você baixou ou instalou um arquivo, não o execute novamente. Faça uma verificação de segurança no dispositivo e procure orientação específica caso o arquivo tenha sido executado.
O Ministério das Comunicações recomenda, em caso de fornecimento de informações pessoais ou identificação de movimentações suspeitas, alterar as senhas afetadas, entrar em contato com instituições financeiras e preservar mensagens, links e capturas de tela que possam ajudar na investigação.
O que não fazer depois de cair em um golpe
Evite tentar resolver o problema acessando novamente o mesmo link.
Também não:
- Forneça mais informações ao remetente;
- Envie códigos recebidos por SMS;
- Instale programas indicados pela página;
- Pague supostas taxas para “liberar” uma conta;
- Confie em contatos que apareçam oferecendo suporte depois do golpe.
Utilize sempre os canais oficiais da empresa ou instituição envolvida.
Checklist rápido antes de clicar
Antes de abrir um link inesperado, faça estas perguntas:
1. Eu estava esperando essa mensagem?
Se não, aumente a atenção.
2. Quem realmente enviou?
Confira o endereço completo do remetente.
3. Para qual domínio o link leva?
Não confie apenas no texto ou no logotipo exibido.
4. A mensagem está tentando me apressar?
Urgência artificial é um recurso comum em golpes.
5. Está pedindo senha, código ou dados bancários?
Pare e procure o serviço diretamente pelo aplicativo ou site oficial.
6. O navegador apresentou um alerta?
Se houver um aviso de segurança, não ignore sem verificar o motivo.
Conclusão
Identificar links suspeitos não depende de um único sinal. Um endereço estranho, uma mensagem urgente, um remetente desconhecido ou um pedido inesperado de informações são elementos que devem ser analisados em conjunto.
Também é importante lembrar que HTTPS, boa aparência da página ou ausência de erros de português não garantem que um site seja legítimo.
Quando houver dúvida, a opção mais segura costuma ser não utilizar o link recebido. Abra o aplicativo oficial ou digite manualmente o endereço do serviço no navegador.
Alguns segundos de verificação podem evitar o fornecimento de senhas, dados bancários e outras informações importantes a criminosos.
Fontes consultadas: Ministério das Comunicações, Governo Digital/CTIR Gov, Google Chrome e Google Gmail.
