Recebi um link suspeito: como saber se é golpe, phishing ou site falso antes de clicar

1. Primeiro veja o que a mensagem quer que você faça

Antes de analisar logo, cor ou escrita, identifique a ação solicitada.

Pergunte:

• quer sua senha?
• quer código MFA ou de recuperação?
• quer pagamento?
• quer instalação?
• quer confirmação de dados?
• quer que você ligue para alguém?
• quer apenas que você abra uma página?

Quanto mais sensível a ação, maior deve ser a exigência de verificação independente.

Mensagens de phishing e engenharia social costumam criar uma história para induzir uma ação:

• “sua conta será bloqueada”;
• “há uma compra pendente”;
• “seu pacote está retido”;
• “você ganhou”;
• “confirme agora”;
• “pague a taxa”;
• “troque sua senha aqui”.

Essas histórias são pistas.

Não são prova automática de golpe.

2. Nome, logo e foto do remetente não provam identidade

Uma mensagem pode parecer vir de:

• banco;
• loja;
• transportadora;
• governo;
• rede social;
• amigo;
• familiar;
• colega de trabalho.

Nome de exibição, foto e logo podem ser copiados ou falsificados.

Até uma mensagem que realmente vem da conta de alguém conhecido pode ser perigosa se essa conta foi comprometida.

O Gmail, por exemplo, alerta para mensagens suspeitas vindas de contatos conhecidos quando o conteúdo foge do normal.

Se um contato conhecido envia algo inesperado:

• não responda pelo mesmo canal assumindo que é ele;
• confirme por telefone, presencialmente ou por outro meio já conhecido.

3. Confira o domínio, não apenas o texto do link

O texto que aparece na mensagem pode ser diferente do endereço real para onde o link aponta.

A Microsoft e a Apple recomendam observar o destino do link quando o sistema consegue mostrá-lo sem abrir.

Ao ler uma URL, concentre-se no host/domínio que realmente será acessado.

Exemplos fictícios:

• https://conta.exemplo.com/...
• https://exemplo-conta-segura.test/...
• https://exemplo.com.seguro-login.test/...

Os nomes podem parecer semelhantes, mas não são o mesmo domínio.

Preste atenção a:

• trocas discretas de letras;
• domínio sem relação com a empresa;
• palavras extras;
• subdomínios usados para “empurrar” a marca para o começo do endereço.

Não é necessário decorar anatomia avançada de URL.

A pergunta prática é:

o domínio real pertence de fato ao serviço que a mensagem diz representar?

4. Cadeado e HTTPS não significam “site verdadeiro”

HTTPS é importante.

Ele usa TLS para proteger a comunicação entre navegador e servidor contra leitura e alteração durante o transporte.

Mas isso não responde outra pergunta:

quem criou esse site e com que intenção?

Um site de phishing pode usar HTTPS normalmente.

Nesse caso, a conexão pode estar criptografada enquanto você entrega sua senha diretamente ao golpista.

Portanto:

• HTTPS é necessário para segurança da conexão;
• HTTPS não é certificado de honestidade da página;
• o cadeado não substitui a conferência do domínio e da origem da solicitação.

5. Link encurtado e QR code escondem parte do destino

Um link encurtado substitui um endereço longo por outro menor que redireciona depois.

Isso não torna o link automaticamente malicioso.

O problema é que você enxerga menos informação antes de abrir.

Se o contexto envolve:

• banco;
• login;
• pagamento;
• recuperação de conta;
• documento sensível;

é mais seguro abrir o serviço por um canal oficial independente.

QR code funciona de forma semelhante como mecanismo de entrega de URL ou ação.

O QR code em si não é “vírus”.

Mas ele pode apontar para:

• página falsa;
• pagamento;
• download;
• site de coleta de dados.

A FTC tem alertas atuais sobre QR codes usados para redirecionar a páginas falsas.

Quando o aparelho mostra o endereço de destino antes de abrir, use essa informação como pista.

Ainda assim, preview não prova legitimidade.

6. Urgência, medo e recompensa são pistas, não provas

Golpes frequentemente tentam tirar tempo de reflexão.

Exemplos:

• “última chance”;
• “conta bloqueada hoje”;
• “taxa pendente”;
• “pacote será devolvido”;
• “compra suspeita”;
• “prêmio liberado”;
• “confirme em 10 minutos”.

CISA, FTC, Microsoft e Apple destacam urgência, pressão e solicitações inesperadas como sinais comuns de engenharia social.

Mas uma empresa legítima também pode enviar mensagem urgente.

Por isso:

urgência aumenta a suspeita; confirmação independente resolve a dúvida.

Não use apenas erro de português como critério.

Golpes modernos podem ter escrita e design excelentes.

7. Banco, entrega ou conta: confirme no aplicativo ou site oficial

Esta é a etapa mais importante.

Se a mensagem diz que existe:

• compra no banco;
• cartão bloqueado;
• pacote parado;
• cobrança;
• senha expirada;
• login suspeito;
• multa;
• conta bloqueada;

não confirme clicando no próprio link.

Faça o contrário:

• abra o app oficial já instalado;
• acesse um endereço oficial que você conhece;
• use um favorito confiável;
• consulte uma fatura/documento anterior;
• use o telefone no verso do cartão, quando aplicável;
• entre em contato com a empresa por canal oficial obtido fora da mensagem.

A FTC alerta inclusive para não confiar automaticamente no primeiro resultado de busca ao procurar telefone de suporte, porque anúncios maliciosos podem aparecer em posições de destaque.

O objetivo é criar um segundo caminho independente.

8. Senha, código, pagamento e download elevam o risco

Algumas solicitações merecem cautela especial.

Senha

Não envie senha por mensagem.

Se for necessário autenticar, entre pelo aplicativo/site oficial aberto por você.

MFA ou código de recuperação

Não forneça código a alguém que diga ser suporte.

Códigos de verificação servem para provar que você está autorizando uma ação.

Pagamento

Antes de Pix, boleto, cartão ou transferência, confirme:

• destinatário;
• valor;
• motivo;
• origem da cobrança.

Download ou instalação

Não instale por link inesperado:

• APK;
• executável;
• extensão;
• perfil de configuração;
• software de acesso remoto.

Apple, Microsoft, Google e FTC tratam downloads inesperados como vetor relevante de fraude ou malware.

9. Não use scanner de URL como certificado de segurança

Serviços de reputação e ferramentas automáticas podem ser úteis como evidência secundária.

Mas não devem ser o teste principal.

Um resultado “limpo” não prova que o site seja legítimo.

Motivos:

• páginas novas podem ainda não estar classificadas;
• conteúdo pode mudar;
• o site pode parecer benigno para um scanner e mostrar outra coisa para você;
• uma página pode ser maliciosa apenas em determinado fluxo;
• enviar URLs pode expor endereços privados ou tokens presentes no link.

A Navegação Segura do Google, por exemplo, alerta quando identifica páginas conhecidas ou detectadas como perigosas.

Ausência de alerta não equivale a garantia.

Não encaminhe links privados de redefinição de senha, documentos internos ou URLs com dados sensíveis para scanners públicos.

10. Se já clicou, descubra o que você fez depois

Clicar não produz sempre o mesmo risco.

Classifique o que aconteceu.

A. Abriu e fechou, sem digitar nada

Isso não prova que houve comprometimento.

Mantenha sistema e navegador atualizados e observe alertas reais.

B. Digitou senha

Trate a senha como potencialmente exposta.

Entre no serviço por canal oficial, troque a senha e revise sessões e MFA.

C. Informou código MFA ou recuperação

Trate como evento de alto risco para a conta.

Revise imediatamente o acesso pelo provedor oficial.

D. Fez pagamento

Contate o banco ou provedor de pagamento prontamente pelo canal oficial.

A FTC recomenda agir rápido quando houve pagamento a golpista.

E. Baixou arquivo, instalou app ou concedeu permissão

A investigação passa também para o dispositivo.

Não tente fazer análise de malware por conta própria neste artigo.

Se precisar, veja [Celular ou computador foi hackeado? Como identificar sinais reais antes de entrar em pânico](/br/35/software-it/cybersecurity-vpn-privacy/celular-ou-computador-foi-hackeado).

Se você digitou credenciais ou perdeu controle de uma conta, veja [Conta invadida: o que fazer quando alguém acessa seu e-mail, Google, Microsoft ou rede social](/br/35/software-it/cybersecurity-vpn-privacy/conta-invadida-o-que-fazer).

11. O que não usar como prova de que um link é seguro

Nenhum destes itens, sozinho, prova segurança:

• logo conhecido;
• aparência profissional;
• nome do remetente;
• foto do contato;
• informações pessoais corretas;
• ausência de erros de português;
• cadeado;
• HTTPS;
• QR code;
• link curto;
• resultado “limpo” de scanner;
• página bem desenhada;
• telefone que aparece com nome de empresa.

Golpistas podem:

• copiar identidade visual;
• conhecer dados seus;
• falsificar identificação de chamadas;
• registrar domínios parecidos;
• usar HTTPS;
• comprometer contas reais de contatos.

A evidência mais forte continua sendo:

a solicitação também existe quando você consulta o serviço por um canal oficial e independente?

12. Quando proteger a conta, o aparelho ou o pagamento

A resposta depende do que aconteceu.

Proteja a conta quando:

• digitou senha;
• forneceu MFA;
• recebeu alerta de acesso;
• percebeu sessão desconhecida.

Proteja o dispositivo quando:

• instalou software;
• executou arquivo;
• concedeu permissão incomum;
• surgiu detecção de segurança;
• comportamento suspeito começou após instalação.

Proteja o pagamento quando:

• fez Pix;
• pagou boleto;
• usou cartão;
• fez transferência;
• informou dados financeiros.

Preserve evidências quando necessário:

• mensagem;
• remetente;
• horário;
• URL;
• comprovante;
• domínio;
• captura da conversa.

Não preserve ou compartilhe:

• senha;
• código MFA;
• código de recuperação;
• token privado presente em link sensível.

Conclusão

Quando receber um link suspeito, siga:

ação solicitada → remetente → domínio → HTTPS com contexto → link curto/QR → urgência → verificação oficial independente → resposta conforme o que aconteceu.

Não abra só para “ver se é golpe”.

Se a mensagem é legítima, a mesma informação importante normalmente pode ser confirmada por um canal oficial que você acessou por conta própria.

Fontes públicas

• CISA — Secure Our World e orientações de phishing.
• FTC — How To Recognize and Avoid Phishing Scams.
• FTC — alertas sobre golpes com QR code.
• FTC — What To Do if You Were Scammed.
• Microsoft Support — Protect yourself from phishing.
• Apple Support — Reconhecer e evitar esquemas de engenharia social....
• Google Account Help — orientações contra phishing e solicitações suspeitas.
• Google Chrome Help — avisos sobre sites não seguros.
• MDN — Transport Layer Security (TLS) e referência de URL.host.