Recebes um SMS dos CTT sobre uma encomenda parada, um email do banco a pedir uma validação urgente ou uma mensagem no WhatsApp de um contacto que parece ter mudado de número. O objectivo é quase sempre o mesmo: levar-te a agir antes de pensares. Saber como reconhecer mensagens de phishing tornou-se uma competência tão útil como activar a autenticação de dois factores ou manter o telemóvel actualizado.
O phishing já não vive apenas no email mal escrito, cheio de erros e com logótipos desfocados. As campanhas actuais imitam bancos, operadores, serviços de streaming, plataformas de entregas, Finanças e até colegas de trabalho com um nível de detalhe convincente. Algumas recorrem a dados reais, obtidos em fugas de informação ou nas redes sociais, para parecerem pessoais.
O phishing não tenta convencer-te, tenta apressar-te
A urgência é o sinal mais repetido. «A tua conta será bloqueada hoje», «pagamento pendente», «último aviso», «a encomenda será devolvida» ou «detectámos actividade suspeita» são frases pensadas para interromper a tua rotina. Quando há pressão, é mais provável que cliques no link, abras o anexo ou partilhes um código recebido por SMS.
Uma empresa legítima pode, claro, alertar para um pagamento em atraso ou para uma tentativa de acesso. A diferença está no que te pede a seguir. Um banco sério não te vai solicitar por email, SMS ou chamada o código de acesso, o PIN, os dados completos do cartão ou o código temporário de confirmação. Também não precisa de te levar para uma página desconhecida para resolver uma questão da conta.
A regra prática é simples: quanto maior for a urgência e mais sensível for o dado pedido, mais devagar deves avançar.
Como reconhecer mensagens de phishing antes de clicar
Não existe um único sinal infalível. O que interessa é o conjunto de detalhes. Uma mensagem pode ter português correcto e um logótipo oficial, mas continuar a ser fraudulenta se o remetente, o endereço do site ou o pedido não fizerem sentido.
Confirma o remetente, não apenas o nome apresentado
No email, o nome que aparece na caixa de entrada pode ser facilmente falsificado. Carrega ou passa o cursor sobre o remetente para ver o endereço completo. Um domínio como `apoio-banco-seguro.com` pode parecer credível, mas não é o mesmo que o domínio oficial do banco.
Procura letras trocadas, hífenes estranhos, extensões inesperadas ou domínios muito longos. É comum ver variações que exploram uma leitura rápida, como trocar um «o» por um «0» ou acrescentar uma palavra antes da marca. Num telemóvel, onde o endereço pode estar escondido, vale a pena abrir os detalhes da mensagem antes de fazer seja o que for.
Nos SMS, o nome do remetente também não garante autenticidade. Os criminosos conseguem, por vezes, fazer a mensagem surgir na mesma conversa onde tens alertas verdadeiros de uma marca. Trata o conteúdo como suspeito se incluir um link e pedir dados, pagamento ou uma acção imediata.
Lê o endereço do link, mas não o abras
Um botão com «Confirmar agora» pode esconder qualquer destino. Num computador, passa o cursor por cima sem clicar e observa o endereço que surge. Num telemóvel, mantém o dedo pressionado, quando o sistema permitir, para pré-visualizar o destino.
Desconfia de endereços encurtados, de páginas com muitos termos separados por hífen e de domínios que colocam a marca no início, mas terminam noutro nome. Por exemplo, `empresa.validacao-segura.net` pertence ao domínio `validacao-segura.net`, não à empresa mencionada antes do primeiro ponto.
O cadeado no browser não prova que uma página é legítima. Só indica que a ligação entre o teu equipamento e aquele site está cifrada. Um site fraudulento também pode usar HTTPS.
Repara no pedido, não só no aspecto
Uma mensagem de phishing pode copiar cores, tipografia e assinaturas quase na perfeição. Por isso, a pergunta mais útil é: esta organização pedir-me-ia isto por este canal?
Há pedidos que devem acender logo um alerta: introduzir credenciais através de um link recebido, pagar uma pequena taxa para desbloquear uma encomenda, instalar uma aplicação fora da loja oficial, abrir um ficheiro inesperado ou partilhar um código de autenticação. Este último é particularmente crítico. Se alguém te pede um código que acabaste de receber, está provavelmente a tentar entrar numa conta tua.
Atenção a anexos inesperados e ficheiros invulgares
Uma falsa factura, uma suposta multa ou um currículo podem chegar com um anexo aparentemente normal. Antes de abrir, confirma se esperavas aquele documento e se conheces o remetente. Ficheiros com extensões como `.exe`, `.js`, `.zip` ou documentos que pedem para activar macros merecem prudência acrescida.
Nem todos os anexos são perigosos, sobretudo num contexto profissional. Mas, se um fornecedor envia uma factura fora do padrão habitual, confirma o pedido através de um contacto conhecido e independente da mensagem. Não respondas simplesmente ao mesmo email, porque podes estar a falar com o atacante.
As fraudes que mais aparecem no telemóvel
O smishing, phishing por SMS, continua eficaz porque o telemóvel é um dispositivo de resposta rápida. Vês uma notificação, carregas no link e tens poucos segundos para avaliar se o endereço é legítimo. As falsas mensagens dos CTT, de transportadoras e de portagens exploram precisamente este hábito.
No WhatsApp e noutras aplicações de conversa, o esquema costuma assumir uma forma mais pessoal. Alguém diz ser um familiar com número novo, pede dinheiro com urgência ou envia um código para «confirmar» uma conta. Mesmo que a fotografia e o nome te sejam familiares, faz uma chamada para o número antigo ou confirma por outro canal.
Também há anúncios em redes sociais que conduzem a lojas falsas, campanhas de falsos passatempos e páginas que imitam o login da Meta, Google ou Microsoft. O princípio mantém-se: nunca uses um link recebido num anúncio ou mensagem para aceder a uma conta importante. Abre a aplicação oficial ou escreve tu próprio o endereço no browser.
O que fazer se receberes uma mensagem suspeita
Não cliques, não respondas e não reencaminhes. Apaga ou denuncia a mensagem na plataforma, depois de guardares uma captura de ecrã se precisares de reportar o caso. Se a alegada entidade for o teu banco, operadora ou serviço de entregas, entra directamente na aplicação oficial ou usa um contacto publicado no site legítimo.
Se já carregaste num link, não assumes automaticamente que houve dano. Fecha a página sem introduzir dados. Se escreveste uma palavra-passe, altera-a imediatamente no serviço verdadeiro e em todos os outros onde a reutilizaste. Activa a autenticação de dois factores, de preferência através de uma aplicação autenticadora ou chave de segurança, e revê as sessões com início de sessão activo.
Se partilhaste dados bancários, códigos de confirmação ou aprovastes uma operação na aplicação do banco, contacta a instituição de imediato através do número oficial. O tempo conta, sobretudo quando há transferências, cartões virtuais ou alterações de limites envolvidas. Em Portugal, podes também reportar o incidente às autoridades competentes, mas o primeiro passo deve ser sempre travar o acesso ou movimento de dinheiro.
A melhor defesa é mudar o caminho de acesso
O hábito que reduz mais risco não exige uma aplicação nova nem conhecimentos técnicos: evita entrar em contas por links recebidos. Se uma mensagem diz que existe um problema com a Netflix, as Finanças ou a tua conta de email, abre o serviço pelo atalho habitual. Se o alerta for verdadeiro, estará normalmente visível na área de cliente.
Vale também a pena usar palavras-passe diferentes, guardadas num gestor de palavras-passe. Assim, mesmo que uma credencial seja exposta, o dano fica limitado a uma única conta. E há uma vantagem extra: estes gestores não costumam preencher automaticamente dados em domínios falsos, o que pode denunciar uma página fraudulenta antes de ser tarde.
As mensagens de phishing evoluem porque exploram a parte mais previsível da tecnologia: nós. Uma pausa de dez segundos para verificar o remetente, o link e o pedido pode evitar semanas a recuperar contas, cartões e contactos. Quando uma mensagem parece urgente demais, trata essa urgência como o primeiro aviso.
