Phishing: como identificar um e-mail falso antes do clique
O phishing é o golpe mais comum da internet por um motivo simples: ele não ataca o sistema, ataca a sua pressa. A mensagem imita um banco, um provedor ou uma loja, inventa uma urgência e tenta fazer você entregar a senha num site falso. A defesa não exige tecnologia — exige 30 segundos de checagem nos pontos certos. Este guia mostra quais são.
A anatomia de um e-mail de phishing
Quase todo phishing combina os mesmos ingredientes. O remetente usa um nome de exibição familiar ("Suporte Google", "Banco Central") mas um endereço de verdade estranho — domínio trocado por uma letra, subdomínio esquisito ou serviço gratuito. O texto cria urgência artificial: "sua conta será encerrada em 24 horas", "compra não reconhecida", "confirme agora". E há sempre um botão ou link que leva para uma página de login falsa, visualmente idêntica à verdadeira, feita para capturar o que você digitar.
Detalhes de acabamento denunciam a pressa do golpista: saudação genérica ("Prezado cliente") em vez do seu nome, erros de português, formatação desalinhada e anexos que você não pediu. Nenhum sinal isolado prova o golpe — mas dois ou três juntos são praticamente uma confissão.
- Nome bonito + endereço feio = suspeito número um
- Urgência e ameaça são ferramentas do golpe, não do atendimento real
- Empresas sérias não pedem senha, código 2FA ou dados de cartão por e-mail
A checagem de 30 segundos
Antes de clicar, faça três verificações. Primeira: abra os detalhes do remetente e leia o domínio depois do @ — é ele, e não o nome de exibição, que identifica quem mandou. Segunda: sem clicar, passe o mouse sobre o link (ou toque e segure, no celular) e veja o endereço real de destino; se não for o domínio oficial do serviço, é falso. Terceira: ignore o link da mensagem e abra o serviço pelo aplicativo ou digitando o endereço oficial no navegador — se houver mesmo um problema na sua conta, ele estará avisado lá dentro.
Essa terceira verificação é a que nunca falha: ela dispensa adivinhar se a mensagem é falsa. Problema real aparece no canal oficial; problema inventado só existe dentro do e-mail do golpista.
Recebeu, clicou, digitou: o que fazer agora
Se você só recebeu: não responda, não clique e use o botão de denunciar phishing/spam do seu provedor — isso treina o filtro anti-spam para você e para todo mundo. Se clicou mas não digitou nada, feche a página; o risco de um site falso é quase todo concentrado no que você entrega a ele. Se digitou sua senha, trate como emergência: troque a senha imediatamente pelo site oficial, ative o 2FA e siga o roteiro completo de conta invadida, porque o golpista pode tentar usar a senha na mesma hora.
Golpe com pagamento envolvido (Pix, boleto, cartão) exige também contato imediato com o banco pelos canais oficiais — contestação rápida aumenta a chance de bloquear a transferência.
Troca de senha, sessões abertas e portas de volta: o passo a passo de contenção está no guia de conta invadida.
Perguntas frequentes
Phishing também chega por SMS e WhatsApp?
Sim, e com os mesmos ingredientes: urgência, link encurtado e página falsa. A checagem é idêntica — não use o link da mensagem; abra o serviço pelo aplicativo oficial. Entregas, bancos e o próprio governo são os disfarces mais usados nesses canais.
O Google ou o meu banco podem me pedir a senha por e-mail?
Não. Nenhum provedor ou banco legítimo pede senha, código de verificação ou dados completos de cartão por e-mail ou mensagem. Qualquer pedido assim é, por definição, golpe — mesmo que a mensagem pareça perfeita.
O antivírus não deveria bloquear isso?
Ele ajuda com sites já conhecidos como fraudulentos, mas páginas de phishing são criadas aos milhares e vivem poucas horas. A barreira que funciona em todos os casos é comportamental: conferir o remetente e nunca entrar por links de mensagens de alerta.
Como denuncio um e-mail de phishing?
Use a opção "denunciar phishing" ou "spam" do seu provedor de e-mail, geralmente no menu da própria mensagem. Não reencaminhe o golpe para amigos "como alerta" sem contexto claro — você pode acabar espalhando o link para quem não reconheceria o disfarce.