O que é phishing e como identificar golpes

Chega um e-mail do "RH" pedindo que você confirme seus dados bancários num novo portal antes das 18h, senão o pagamento atrasa. O domínio do remetente é rh-empresa-pagamentos.com em vez do domínio da sua empresa, mas você está com pressa e o botão é grande e azul. É exatamente assim que a maioria dos vazamentos começa: não com um zero-day sofisticado, mas com uma pessoa cansada clicando num link sob pressão. Phishing não invade o sistema; invade você.

Este artigo é sobre reconhecer os sinais antes do clique e sobre o que fazer se já clicou. A defesa também é técnica: entender como hashing de senhas funciona ajuda a perceber por que reusar senha é o que transforma um phishing isolado num desastre em cascata.

Phishing é engenharia social, não exploit

A confusão mais comum é tratar phishing como problema de tecnologia. Não é. O atacante não quebra criptografia nem explora bug — ele convence você a entregar a credencial de bom grado. A "vulnerabilidade" explorada é humana: urgência, autoridade, medo, curiosidade. Por isso firewall e antivírus não resolvem sozinhos; eles não veem nada de anômalo num login que você fez voluntariamente num site que parece legítimo.

Entender isso muda a postura: a defesa não é só técnica, é hábito de desconfiar de pedidos que criam pressa.

Os sinais que entregam o golpe

Nenhum sinal isolado prova fraude, mas a combinação acende o alerta:

• Domínio do remetente. O nome de exibição pode ser "Banco X", mas olhe o endereço real. suporte@banco-x-seguranca.net não é o banco-x.com.
• Urgência artificial. "Sua conta será bloqueada em 24h", "pague agora ou perde o desconto". Pressa é a ferramenta principal do golpista — ela impede você de pensar.
• Link que não bate com o texto. O texto diz banco-x.com mas o destino real é outro. Passe o mouse (sem clicar) e leia a URL na barra de status.
• Domínio sósia (look-alike). paypa1.com com o "L" virando "1", ou arnazon.com com "rn" imitando "m". A pressa esconde isso.
• Punycode. Domínios com caracteres Unicode que renderizam idênticos a letras latinas. аpple.com com um "а" cirílico não é apple.com, mas parece igual no olho.

Inspecionar a URL antes de clicar

Quando o link vem encurtado ou com um monte de parâmetros codificados, vale decodificar antes de seguir. Atacantes usam encoding de URL para esconder o destino real ou parâmetros maliciosos dentro de um link que, à primeira vista, parece inofensivo. Um link tipo https://login.exemplo.com/?next=%68%74%74%70%3a%2f%2fevil%2e... esconde o redirecionamento no next.

Copie o link (botão direito → copiar endereço, sem clicar) e jogue num decodificador de URL para ler o que realmente está ali. Decodificar o percent-encoding revela o domínio final e quaisquer parâmetros de redirecionamento embutidos. Se o destino decodificado for diferente do que o e-mail prometia, você acabou de pegar o golpe antes de cair nele.

Regra prática: nunca confie no texto visível do link, confie só na URL final decodificada — e, em caso de dúvida, digite o endereço do banco/serviço você mesmo no navegador em vez de clicar.

Spear phishing: o ataque sob medida

O phishing em massa é grosseiro e fácil de pegar. Já o spear phishing é personalizado: o atacante pesquisou seu nome, seu cargo, com quem você fala. O e-mail vem "do seu gestor" pedindo uma transferência urgente, citando um projeto real que ele descobriu no LinkedIn. Contra esse, os sinais genéricos ajudam menos — a defesa é verificar por um canal separado. Recebeu um pedido financeiro incomum por e-mail? Ligue para a pessoa. Nunca aprove transferência com base só na mensagem que chegou.

Por que 2FA e gerenciador de senhas atrapalham o golpista

Duas defesas técnicas reduzem drasticamente o estrago:

• 2FA (autenticação de dois fatores). Mesmo que o atacante capture sua senha no site falso, sem o segundo fator ele não entra. Prefira app autenticador ou chave física (FIDO2) — SMS é melhor que nada, mas é interceptável.
• Gerenciador de senhas. Além de permitir senha única por site (impedindo o efeito cascata), ele só preenche credencial no domínio exato salvo. Num site sósia paypa1.com, o gerenciador simplesmente não oferece o autofill — e essa ausência é um alerta poderoso que seus olhos cansados ignorariam.

Repare como isso conecta com hashing: senhas reusadas significam que um único phishing bem-sucedido vira chave-mestra de dezenas de contas suas.

Cliquei. E agora?

Pânico não ajuda, velocidade ajuda. Em ordem:

1. Não digite mais nada no site suspeito. Se já digitou a senha, ela está comprometida.
2. Troque a senha do serviço afetado imediatamente — e de qualquer outro site onde você reusou a mesma.
3. Ative ou verifique o 2FA na conta afetada.
4. Avise quem precisa saber: TI da empresa, banco, ou o serviço, dependendo do caso.
5. Monitore acessos recentes e sessões ativas; encerre sessões que não reconhece.

Quanto mais rápido você gira a credencial, menor a janela que o atacante tem para usá-la.

Perguntas frequentes

Como sei se um link é seguro antes de clicar?

Passe o mouse sobre ele sem clicar e leia a URL real na barra de status. Se vier encurtado ou cheio de parâmetros codificados, copie o endereço e decodifique num decodificador de URL para ver o destino final. Em caso de dúvida, digite o endereço oficial você mesmo no navegador.

2FA me deixa imune a phishing?

Reduz muito o risco, mas não é imunidade total. 2FA por app autenticador ou chave física derruba a maioria dos ataques, porque a senha sozinha não basta. Ataques mais avançados de proxy reverso em tempo real conseguem contornar alguns métodos, e por isso chave física FIDO2 é o padrão mais resistente.

O que é punycode e por que importa em phishing?

Punycode permite registrar domínios com caracteres Unicode que renderizam visualmente idênticos a letras latinas, como um "а" cirílico no lugar do "a" latino. O domínio parece apple.com no olho, mas é outro endereço por baixo. Por isso conferir o domínio decodificado, e não só o que aparece, importa tanto.

Cliquei num link de phishing mas não digitei nada. Estou comprometido?

Provavelmente não, se você só abriu a página e não inseriu credencial nem baixou/abriu arquivo. O maior risco do clique sozinho é confirmar ao atacante que seu endereço é ativo. Ainda assim, rode um antivírus atualizado e fique atento a downloads automáticos que possam ter sido disparados.

O que carregar dessa leitura

Phishing ganha pela pressa, então a defesa começa por desacelerar: nenhum pedido urgente merece clique imediato. Olhe o domínio real do remetente, desconfie de urgência fabricada, e decodifique qualquer link suspeito antes de seguir — o destino real raramente bate com o texto. No nível técnico, 2FA e gerenciador de senhas transformam um clique errado de catástrofe em incidente contornável, e senha única por site impede o efeito cascata. Se já clicou e digitou, gire a credencial imediatamente. O atacante aposta que você está com pressa demais para olhar; provar que ele está errado é a defesa inteira.