Uma falsificação convincente não custa nada para montar. Logotipos, fontes, diagramação e até o cadeado na barra de endereço podem ser copiados numa tarde. A única coisa que um golpista não consegue copiar é o nome de domínio, e é por isso que toda verificação confiável termina em ler a URL direito.
Assinaturas adultas atraem esse ataque por um motivo específico: dificilmente a vítima vai ligar para o suporte, encaminhar o e-mail para um colega ou fazer barulho depois. A discrição é a alavanca. Perceber que o constrangimento faz parte do projeto do ataque já é, em si, uma defesa.
Como ler uma URL corretamente?
Leia da direita para a esquerda, não o contrário. O domínio que importa é o rótulo imediatamente antes do domínio de topo.
Tudo o que estiver à esquerda dele pode ser escolhido livremente por quem controla o domínio, inclusive palavras de aparência tranquilizadora:
| URL como aparece | Domínio registrado | Veredito |
|---|---|---|
account.example.com/billing |
example.com |
Pertence a example.com |
example.com.billing-secure.xyz |
billing-secure.xyz |
Domínio do golpista |
example-billing.com |
example-billing.com |
Outro domínio, completamente diferente |
examp1e.com |
examp1e.com |
Homóglifo — o dígito um no lugar da letra l |
example.com@evil.tld/pay |
evil.tld |
Tudo antes do @ é ignorado |
Mais duas armadilhas. Domínios internacionalizados podem exibir caracteres
cirílicos ou gregos visualmente idênticos aos latinos; os navegadores em geral
mostram esses endereços em punycode, com xn--, então uma barra de endereço com
xn-- numa marca conhecida é falsificação certa. E no celular a barra de
endereço corta o texto — toque nela para abrir a URL inteira antes de julgar
qualquer coisa.
Onde o formulário do cartão deveria estar, afinal?
Numa página em que você não entrou por conta própria, ele não deveria existir.
A maioria dos comerciantes legítimos não quer encostar no número do seu cartão, porque lidar com ele diretamente impõe uma carga de conformidade muito mais pesada. Ou eles te redirecionam para o domínio da própria processadora de pagamento, ou embutem os campos do cartão num iframe entregue pela processadora. De um jeito ou de outro, o número é digitado na página da processadora, não na do comerciante.
As verificações práticas:
- Foi você que começou isso? Uma página de cobrança à qual você chegou clicando num link de e-mail é uma coisa bem diferente daquela à qual você chegou digitando o endereço do site e fazendo login. Só a segunda é verificável.
- O site já tem o seu cartão? Assinantes ativos quase nunca precisam redigitar o número completo do cartão. "Confirme novamente seus dados de pagamento" é um dos indícios isolados mais fortes de falsificação.
- O formulário pede mais do que um pagamento exige? Número do cartão, validade, CVC e CEP são um pagamento. Acrescentar data de nascimento, número de documento, senha da conta, nome de solteira da mãe ou foto do cartão é colheita de credenciais.
- O pedido do CVC se repete? Um fluxo verdadeiro pergunta uma vez.
Quais sinais separam uma página falsa de uma página de cobrança real?
Compare com o que a versão legítima faz, em vez de procurar erros — as falsificações modernas têm pouquíssimos.
| Sinal | Página de phishing | Página legítima |
|---|---|---|
| Como você chegou | Link em e-mail, mensagem direta ou anúncio | Você digitou o endereço e entrou na conta |
| Domínio | Parecido, com hífen ou sem relação nenhuma | O domínio registrado do próprio site |
| Tom | Prazo, ameaça de suspensão, "aviso final" | Neutro, sem contagem regressiva |
| Dados pedidos | Cartão mais senha mais documentos de identidade | Só os campos do cartão |
| Digitação do cartão | Campos hospedados na mesma página | Domínio da processadora ou iframe da processadora |
| Canal de suporte | Telefone ou link de chat na própria página | Canal de contato dentro da sua conta logada |
| Estado do login | Pede que você entre de novo para "verificar" | Você já está logado |
| Idioma | Pequenos deslizes de gramática, moeda inconsistente | Coerente com o resto do site |
E os e-mails que dizem ter vídeos seus?
Trate a sextorsão como spam com uma ameaça acoplada. A versão padrão cita uma senha que você reconhece — tirada de uma lista de vazamento antiga, não do seu aparelho — e afirma ter gravações da webcam.
O detalhe revelador é que essas mensagens nunca trazem o material, porque ele não existe. Elas trazem uma senha, um prazo e um endereço de carteira. Se um golpista tivesse mesmo as imagens, a primeira mensagem viria com um quadro delas.
A resposta certa é não pagar nada, não responder nada e trocar a senha citada em qualquer conta que ainda a use. Pagar te identifica como alguém que paga e produz, sem falta, uma segunda cobrança.
E se você já digitou seus dados?
Aqui a ordem importa mais do que a pressa, ainda que as duas coisas ajudem.
| Passo | Por que ele vem nessa posição |
|---|---|
| 1. Ligue para o emissor do cartão pelo número impresso nele | Bloquear o número interrompe o prejuízo; nunca use um número que esteja na página ou no e-mail suspeito |
| 2. Troque a senha que você digitou, no site verdadeiro | Parta do princípio de que as credenciais foram capturadas no instante do envio |
| 3. Troque essa senha em todo lugar onde você a reaproveitou | O teste automatizado dessas credenciais em outros serviços vem em poucas horas |
| 4. Encerre todas as sessões na conta verdadeira | Um token de sessão roubado sobrevive à troca de senha em algumas plataformas |
| 5. Confira as opções de recuperação da conta | Golpistas adicionam um e-mail ou telefone de recuperação para manter o acesso |
| 6. Revise a fatura em busca de cobranças pequenas de teste | O teste do cartão vem antes da cobrança de verdade |
Uma omissão proposital: não reaja instalando a ferramenta de "segurança" que a página ou o e-mail recomenda. Essa é uma segunda etapa conhecida do mesmo ataque, e ela transforma um problema de cartão num problema de aparelho.