O que é Phishing? Como identificar e se proteger de e-mails falsos

O cinema popularizou a imagem do hacker como alguém de capuz digitando telas verdes de código e quebrando firewalls por força bruta. Na vida real, hackear um sistema complexo dessa forma é difícil demais. Em vez de atacar as máquinas, o cibercrime ataca o elo mais fraco da corrente: você.

O termo "Phishing" (pescaria, em inglês) se refere a criar iscas falsas (e-mails, mensagens, sites) tentando "pescar" vítimas inocentes para que entreguem voluntariamente suas senhas e cartões de crédito.

Como o Phishing moderno ataca

As táticas evoluíram do antigo e-mail mal escrito do "Príncipe da Nigéria" para clones impecáveis de serviços reais. Hoje, você recebe um e-mail do "Seu Banco", com o layout idêntico ao do banco, alegando que "Sua conta foi suspensa temporariamente. Clique aqui para verificar sua identidade".

Ao clicar no link, você é levado para um site visualmente idêntico ao site verdadeiro. O cadeado verde de segurança está lá, a tela de login é perfeita. Mas é um servidor falso. Ao digitar sua senha e apertar "Entrar", você acabou de mandá-la em texto puro para os servidores do golpista.

Atenção ao Cadeado (E por que ele engana)

Historicamente, nos disseram para olhar o "cadeadinho de segurança" ao lado da barra de endereço e procurar por "HTTPS". Atenção: o cadeado não significa que o site é seguro ou oficial. O cadeado indica apenas que a conexão entre o seu computador e o servidor está criptografada. Um atacante pode criar um site falso e emitir um certificado SSL gratuito para ele em segundos, ativando o cadeado e passando uma falsa sensação de segurança.

As 3 regras de ouro para não cair em Phishing

• Leia o Remetente Real: O "Nome de Exibição" do e-mail pode ser "Netflix Support", mas ao clicar no endereço de e-mail ao lado dele, ele revelará algo como support-id44@netflx-suporte.com. Instituições legítimas só enviam e-mails do seu domínio oficial raiz (ex: @netflix.com).
• A Regra da Aba Nova: Se o banco mandar um SMS ou e-mail dizendo que algo está errado com sua fatura, nunca clique no link do e-mail. Feche o e-mail, abra o navegador do zero, digite você mesmo o endereço do banco e confira pelo painel de avisos interno.
• Cuidado com o Senso de Urgência: E-mails de phishing sempre tentam causar pânico ou excitação ("Sua conta será deletada em 2h", "Alguém acabou de comprar R$ 4000 no seu cartão", "Você ganhou um bônus"). Essa tática de estresse é projetada para o seu cérebro pular as etapas lógicas de verificação e clicar imediatamente.

Spear Phishing: ataques direcionados

O phishing convencional é um ataque em massa — envia-se milhões de e-mails esperando que uma pequena porcentagem caia. O spear phishing é diferente: o atacante pesquisa a vítima no LinkedIn, redes sociais e sites da empresa, e cria um e-mail altamente personalizado e convincente. Assuntos como "Sobre sua candidatura à vaga de desenvolvedor" ou "Nota fiscal da reunião de ontem" têm taxa de sucesso muito mais alta.

Como verificar links suspeitos sem clicar

Antes de clicar em qualquer link suspeito, você pode verificá-lo com segurança:

• Passe o mouse sobre o link sem clicar: o URL real aparece na barra de status do navegador
• VirusTotal.com: cole o URL e ele é verificado por mais de 70 antivírus
• URLVoid.com: verifica a reputação do domínio em múltiplos bancos de dados de ameaças
• Google Safe Browsing: https://safebrowsing.google.com/safebrowsing/report_phish/