Phishing: como reconhecer e-mails falsos antes de clicar

Por que o phishing funciona

O golpe explora pressa, medo ou curiosidade. Mensagens falando de boleto vencido, caixa de e-mail cheia, nota fiscal pendente, entrega retida ou bloqueio de conta pedem uma ação imediata justamente para que a pessoa não pare para conferir.

Os e-mails falsos também ficaram mais convincentes: usam logotipos corretos, assinaturas copiadas de mensagens reais e textos sem erros de português. Por isso, a aparência da mensagem não é mais um bom critério. O que importa é conferir remetente, link e pedido.

Sinais de alerta em um e-mail

Nenhum sinal sozinho prova que a mensagem é falsa, mas dois ou mais juntos merecem atenção redobrada:

• Remetente com domínio parecido, mas diferente (ex.: empresa-pagamentos.com no lugar de empresa.com.br).
• Nome de exibição conhecido com endereço de e-mail estranho por trás.
• Urgência ou ameaça: “sua conta será bloqueada hoje”, “último aviso”.
• Link cujo endereço real, ao passar o mouse, não corresponde ao texto mostrado.
• Anexos inesperados, principalmente .zip, .html, .iso, .exe ou documentos que pedem para “habilitar conteúdo”.
• Pedido de senha, código de verificação, dados bancários ou troca de conta para pagamento.
• Página de login que abre a partir do e-mail em vez de você digitar o endereço do serviço.

Golpes mais comuns contra empresas

O falso boleto ou a falsa nota fiscal continua sendo um dos mais frequentes. Outro golpe muito comum é a fraude do “fornecedor que mudou de banco”: alguém se passa por um fornecedor real e pede que o próximo pagamento vá para outra conta.

Também são comuns as mensagens que imitam o próprio provedor de e-mail (“sua caixa está cheia, confirme sua senha”) e as que se passam por um diretor pedindo uma transferência ou a compra de cartões-presente com urgência.

Regra prática: confira por outro canal

Sempre que um e-mail pedir senha, pagamento ou mudança de dados bancários, confirme por um canal que você já conhece: telefone cadastrado, sistema interno ou contato pessoal. Nunca use o telefone ou o link que vieram na própria mensagem.

Para acessar um serviço, digite o endereço no navegador ou use o favorito salvo. Seu provedor de e-mail não pede a sua senha por e-mail.

Clicou ou digitou a senha? Aja rápido

Errar acontece. O que reduz o dano é a velocidade da reação e a ausência de medo de avisar:

• Troque imediatamente a senha da conta afetada, a partir de um computador confiável.
• Se a mesma senha é usada em outros serviços, troque em todos eles.
• Avise o suporte de TI: ele pode verificar regras de encaminhamento criadas pelo invasor, sessões abertas e envios suspeitos.
• Se abriu um anexo, desconecte o computador da rede e aguarde orientação.
• Se houve pagamento, contate o banco na hora; quanto antes, maior a chance de bloqueio.

Como a empresa reduz o risco

Treinamento curto e frequente funciona melhor que uma palestra por ano. Do lado técnico, filtro antispam e antivírus no servidor de e-mail, registros SPF, DKIM e DMARC configurados no domínio e autenticação em dois fatores nas contas diminuem muito a chance de um golpe dar certo.

Também ajuda ter um canal simples para os colaboradores encaminharem mensagens suspeitas. Cada alerta recebido permite bloquear o golpe para toda a empresa.

Conclusão

Phishing é um problema de pessoas e de tecnologia ao mesmo tempo. Filtros bem configurados barram a maior parte das mensagens, e uma equipe que confere antes de clicar barra o restante. Na dúvida, não clique: pergunte ao suporte.