Como identificar um e-mail de phishing: 12 sinais de alerta

Um e-mail de phishing é uma mensagem que finge vir de alguém de confiança para que você clique em um link, abra um arquivo, entregue uma senha ou envie dinheiro. Você consegue identificar a maioria deles verificando quem realmente enviou a mensagem, para onde seus links apontam de fato e se ela está pressionando você a agir rápido em algo que você não esperava.

O phishing se aproveita da confiança: o logotipo de um banco, o nome de um colega, o tom de uma transportadora. Os hábitos abaixo levam segundos e funcionam em qualquer aplicativo de e-mail.

Os 12 sinais de alerta de um e-mail de phishing

1. O nome de exibição e o endereço não combinam. "Suporte PayPal" pode estar ligado a qualquer endereço. Toque no nome ou passe o mouse sobre ele para ver o endereço completo. Uma marca que escreve de uma conta de webmail gratuita ou de um domínio sem relação com ela é um forte sinal de alerta.
2. Um domínio parecido ou disfarçado. Os golpistas registram domínios que diferem por um único caractere (rnicrosoft.com com "r n" no lugar de "m"), acrescentam palavras (paypal-secure-login.com) ou usam o nome verdadeiro como subdomínio (paypal.com.account-check.net, que pertence a account-check.net). Os nomes de domínio internacionalizados permitem letras de outros alfabetos que parecem idênticas às latinas, como um "а" cirílico no lugar de "a". A forma interna desses nomes começa com xn-- (punycode); se você vir esse prefixo em um link ou endereço inesperado, trate-o como suspeito.
3. Urgência, medo ou pressão. "Sua conta será encerrada em 24 horas", "fatura em aberto", "ação judicial". Prazos artificiais existem para impedir que você verifique.
4. Links cujo texto e destino são diferentes. O texto visível de um link pode dizer qualquer coisa. O destino real aparece quando você passa o mouse, na barra de status ou em uma dica flutuante. Se o texto indica um site e o destino é outro, não clique.
5. Anexos inesperados. Desconfie de qualquer arquivo que você não esperava e, principalmente, de arquivos HTML (eles podem abrir uma página de login falsa muito convincente guardada no seu próprio computador), ZIP ou outros arquivos compactados, imagens de disco ISO e IMG, arquivos compactados protegidos por senha com a senha no corpo do e-mail e documentos do Office que pedem para "habilitar conteúdo" ou macros. Arquivos compactados e imagens de disco são populares porque podem esconder o tipo real do arquivo dos filtros de e-mail.
6. Um pedido de credenciais ou dados pessoais. Empresas legítimas não pedem que você confirme sua senha, PIN, número completo do cartão ou código de uso único por e-mail nem por um link em um e-mail.
7. Um QR code que você é convidado a escanear. O phishing por QR code ("quishing") coloca o link dentro de uma imagem para que os filtros não consigam lê-lo e para que você o abra no celular, que costuma ser menos protegido que um computador de trabalho. Desconfie de QR codes em e-mails sobre configuração de MFA, assinatura de documentos ou problemas na conta.
8. Um endereço de resposta (Reply-To) diferente. A linha De pode parecer correta enquanto as respostas vão para outro lugar. Ao clicar em responder, confira o endereço que aparece no campo Para. Essa divergência é comum em fraudes de fatura.
9. Uma saudação genérica ou dados errados. "Prezado cliente", "Caro usuário" ou o seu endereço de e-mail usado como nome indicam uma campanha em massa. Um nome correto, porém, não prova nada.
10. Uma oferta boa demais para ser verdade. Reembolsos inesperados, prêmios, heranças, retornos em criptomoedas ou uma vaga para a qual você nunca se candidatou são iscas. O mesmo vale para uma pequena taxa exigida para liberar um pagamento grande.
11. Uma mudança nos dados de pagamento ou bancários. No comprometimento de e-mail corporativo (business email compromise), um fornecedor, colega ou executivo "atualiza" sua conta bancária ou pede uma transferência urgente ou cartões-presente. O e-mail pode vir de uma conta realmente invadida e, por isso, passar em todas as verificações técnicas.
12. Pedidos de MFA ou códigos que você não solicitou. Uma enxurrada de pedidos de aprovação no celular, ou um e-mail pedindo que você informe um código, significa que alguém pode já ter a sua senha e estar tentando passar pelo segundo fator. Negue o pedido e troque a sua senha.

Referência rápida: onde olhar

Como verificar um link sem abri-lo

1. No computador, passe o mouse sobre o link e espere o endereço real aparecer na parte de baixo da janela ou em uma dica flutuante.
2. No celular, mantenha o link pressionado para ver o endereço. Alguns celulares mostram uma prévia ao vivo da página, então é mais seguro copiar o link e colá-lo em um aplicativo de notas.
3. Encontre o domínio registrado: leia o nome do host da direita para a esquerda, até a primeira barra isolada. Em https://login.example.com.secure-verify.io/account, o domínio é secure-verify.io, e não example.com.
4. Se precisar acessar o serviço, digite você mesmo o endereço ou use um favorito ou o aplicativo oficial em vez do link.

Nosso Analisador de e-mails de phishing verifica o texto ou os cabeçalhos colados em busca de links enganosos, remetentes falsificados e outros sinais de alerta, sem que você precise abrir nada.

Como ler os cabeçalhos de e-mail com segurança

Todo e-mail carrega cabeçalhos ocultos que registram quais servidores o processaram e se ele passou na autenticação. Vê-los é seguro, porque você está apenas lendo texto. Onde encontrá-los:

• Gmail: abra a mensagem, escolha o menu de três pontos e depois Mostrar original.
• Outlook na web e novo Outlook: abra a mensagem, escolha o menu de três pontos, depois Exibir e Exibir detalhes da mensagem.
• Outlook clássico para Windows: abra a mensagem, depois Arquivo, Propriedades, e procure em Cabeçalhos de Internet.
• Apple Mail: Visualizar, Mensagem, Todos os Cabeçalhos ou Fonte Bruta.

A linha mais útil costuma ser Authentication-Results, adicionada pelo seu próprio provedor de e-mail:

Authentication-Results: mx.example.net;
  spf=pass smtp.mailfrom=bounce.example-shop.com;
  dkim=pass header.d=example-shop.com;
  dmarc=pass header.from=example-shop.com

Confira se os domínios aqui correspondem à marca que você espera. Compare também os endereços de From, Reply-To e Return-Path, e leia as linhas Received de baixo para cima para ver onde a mensagem começou. Ao colar os cabeçalhos no nosso Analisador de cabeçalhos de e-mail, você vê cada salto e cada resultado de autenticação de forma legível.

O que SPF, DKIM e DMARC podem e não podem dizer

Esses três padrões permitem que um servidor receptor verifique se uma mensagem realmente veio do domínio que ela afirma:

• O SPF lista os servidores autorizados a enviar e-mails de um domínio, e é verificado com base no remetente do envelope (o Return-Path).
• O DKIM adiciona uma assinatura criptográfica que prova que um domínio assumiu a responsabilidade pela mensagem e que as partes assinadas não foram alteradas.
• O DMARC exige que o SPF ou o DKIM passe para um domínio alinhado com o endereço De visível, e diz aos receptores o que fazer quando isso não ocorre: nada, quarentena ou rejeição.

Quando uma marca publica uma política DMARC rígida, os criminosos não conseguem colocar esse domínio exato na linha De com facilidade. É por isso que o phishing costuma usar domínios parecidos, truques com o nome de exibição ou contas invadidas. Uma mensagem de paypa1-billing.com pode passar perfeitamente em SPF, DKIM e DMARC para o seu próprio domínio. Uma aprovação prova quem enviou o e-mail, não que o remetente é honesto. Já uma falha em uma mensagem que diz ser de uma grande marca é um forte motivo de suspeita.

Se você administra um domínio, confira se os seus próprios registros estão configurados com nosso Verificador de SPF e DMARC e leia SPF, DKIM e DMARC explicados para ver os detalhes da configuração.

O que fazer com um e-mail suspeito

1. Não clique em links, não abra anexos, não escaneie QR codes e não responda.
2. Confirme por outro canal: ligue para a pessoa em um número que você já tem ou entre no serviço digitando o endereço dele.
3. Denuncie. No trabalho, use o botão "Denunciar phishing" ou encaminhe o e-mail como sua equipe de TI pedir. No Gmail e no Outlook, use a opção integrada Denunciar phishing (no Outlook, "Relatar phishing"). No Reino Unido, você pode encaminhar e-mails suspeitos ao NCSC, o centro nacional de segurança cibernética, em report@phishing.gov.uk; nos EUA, você pode denunciar fraudes à FTC, a comissão federal de comércio, em reportfraud.ftc.gov.

O que fazer se você já clicou

O que importa é o que aconteceu depois do clique. Aja rápido:

1. Se você digitou uma senha, troque-a imediatamente no site verdadeiro, digitando o endereço à mão, e em qualquer outra conta que use a mesma senha. Depois saia de todas as outras sessões, o que a maioria dos grandes serviços oferece nas configurações de segurança.
2. Ative ou revise o MFA. Remova dispositivos, senhas de aplicativo ou registros de autenticador que você não reconhece. Passkeys e chaves de segurança físicas resistem ao phishing porque só funcionam no site verdadeiro.
3. Verifique as configurações da sua caixa de entrada. Invasores que entram em uma conta de e-mail costumam adicionar regras de encaminhamento ou filtros que escondem as respostas. Procure regras que você não criou.
4. Se você abriu um anexo ou executou um arquivo, desconecte o dispositivo da rede e fale com a sua equipe de TI ou, se for um dispositivo pessoal, faça uma verificação completa com um software de segurança atualizado.
5. Se você enviou dinheiro ou dados do cartão, ligue imediatamente para o seu banco ou emissor do cartão, usando o número que está no cartão ou no site oficial. A rapidez aumenta a chance de interromper um pagamento.
6. Avise as pessoas que podem ser alvo em seguida, como colegas ou contatos, se a sua conta foi usada para enviar mensagens.

Perguntas frequentes

Dá para ser hackeado apenas abrindo um e-mail de phishing?

Para usuários comuns com aplicativos de e-mail atualizados, apenas abrir um e-mail raramente é suficiente. O perigo vem de clicar em links, abrir anexos, informar dados ou responder. Carregar imagens remotas pode confirmar ao remetente que o seu endereço está ativo.

Qual é a diferença entre phishing e spear phishing?

O phishing é enviado a um grande número de pessoas com uma isca genérica. O spear phishing tem como alvo uma pessoa ou organização específica e usa nomes, cargos, projetos ou fornecedores reais para parecer crível, o que o torna mais difícil de identificar.

Se um e-mail passa em SPF, DKIM e DMARC, ele é seguro?

Não. Uma aprovação só mostra que o domínio do endereço De autorizou a mensagem. Criminosos podem registrar seus próprios domínios parecidos com registros válidos, e contas reais invadidas também passam. Avalie sempre o próprio domínio e o que a mensagem pede que você faça.

Como saber se um link em um e-mail é seguro?

Passe o mouse sobre ele ou copie-o sem abrir, identifique o domínio registrado lendo da direita para a esquerda e compare-o com o domínio real da organização. Na dúvida, acesse o site diretamente em vez de usar o link.

Por que os e-mails de phishing usam QR codes?

Um QR code esconde o link dentro de uma imagem que muitos filtros não decodificam e leva você para o celular, que pode não ter as proteções de um computador de trabalho gerenciado e dificulta a inspeção do endereço completo.