Como reconhecer phishing: como ler um link e um remetente
Phishing é uma mensagem que se faz passar por um remetente de confiança, para que faça algo que normalmente não faria: iniciar sessão numa página falsificada, abrir um anexo, transmitir um código ou efetuar um pagamento. Os erros ortográficos já não são uma boa característica de deteção: com IA, os burlões escrevem português sem erros. Por isso, observe três coisas: para onde o link realmente leva, quem é o verdadeiro remetente e o que a mensagem lhe pede.
Parece que o email é da WebOké? Leia então Este email é mesmo da WebOké? Reconhecer phishing e utilizar o código de ação. Nos exemplos abaixo utilizamos nomes fictícios que terminam em .example.
Ler um link
Passe o rato sobre o link sem clicar; o endereço real aparece na parte inferior da janela. Num telemóvel, mantenha o link premido. Só esse endereço conta, não o texto do botão.
- Procure a parte entre
https://e a primeira/. Essa é a anfitrião (host): o servidor para onde vai. Tudo depois da primeira/é escolhido pelo próprio proprietário desse anfitrião. - Há um
@nessa parte? Então o anfitrião só começa depois do@. - Leia o anfitrião da direita para a esquerda. O domínio registável é a extensão mais uma palavra antes dela, por exemplo
meubanco.example. Esse é o nome que alguém registou e, por isso, o proprietário. Tudo à esquerda disso são subdomínios, que o proprietário inventa livremente. Atenção às extensões de duas partes, comoco.uk: emwww.loja.exemplo.co.uk, o domínio registável éexemplo.co.uk.
| Link | Proprietário real | O que se passa? |
|---|---|---|
https://login.meubanco.example/cliente | meubanco.example | Em ordem: um subdomínio do próprio banco |
https://meubanco.example.verificacao-login.example/login | verificacao-login.example | Truque do subdomínio: o nome real está à frente |
https://login.example/meubanco.example/login | login.example | Truque do caminho: o nome vem depois da primeira / |
https://meubanco.example@atacante.example/ | atacante.example | Truque do @: tudo antes do @ não conta |
https://rneubanco.example/ | rneubanco.example | Lookalike: rn parece-se com m |
https://meubanco-seguro.example/ | meubanco-seguro.example | Mais uma palavra: um domínio completamente diferente |
https://xn--meubnc-6fg.example/ | xn--meubnc-6fg.example | Punycode: uma letra de outro alfabeto |
Um lookalike parece-se com o domínio real: letras trocadas, uma palavra ou hífen adicionado, ou uma letra de outro alfabeto (um а cirílico parece um a normal). Esse tipo de nome com carateres estranhos aparece tecnicamente como punycode, que começa por xn--. Num nome que, de resto, parece normal em português, isso é suspeito.
Links encurtados, redirecionamentos e códigos QR
- Um link encurtado não mostra o destino. Se um banco ou fornecedor lhe pedir para iniciar sessão através de um link desse tipo, não o faça.
- Um link pode começar num site real e redirecioná-lo. Depois de clicar, verifique novamente a barra de endereço antes de preencher o que quer que seja.
- Um código QR é um link que não consegue ler. Deixe primeiro a câmara mostrar o endereço e leia-o. Tenha atenção a autocolantes colocados sobre um código real, por exemplo num parquímetro.
- O cadeado apenas indica que a ligação está encriptada. Sites falsos também têm um cadeado.
Ler o remetente
- O nome não diz nada. Qualquer pessoa pode preencher como nome "Apoio ao Cliente Meubanco", o nome do seu diretor ou até um endereço de email. Clique ou toque no nome para ver o endereço real e leia o domínio da mesma forma que faria com um link.
- Preste atenção ao endereço de resposta. Com um Reply-To, a sua resposta vai para um endereço diferente do remetente. Antes de premir Enviar, verifique para quem a sua resposta realmente vai, especialmente se envolver dinheiro ou dados.
- Um remetente pode ser falsificado, e um remetente real pode ter sido pirateado. Nos cabeçalhos de um email pode ver se o domínio enviou mesmo a mensagem. Mas mesmo uma verificação bem sucedida apenas prova que o email veio desse domínio, não que esse domínio seja de confiança. Como ler isso encontra em Visualizar e ler os cabeçalhos (headers) de um email.
SMS, WhatsApp e telefone
Um nome de remetente ou número de telefone no seu ecrã pode ser falsificado, mesmo que a mensagem apareça entre mensagens reais do seu banco. Se receber uma mensagem de "um colega com um número novo" que pede com urgência um pagamento, ligue para o número antigo e conhecido. Se alguém ligar em nome do banco ou de uma linha de apoio e pedir um código, um pagamento ou acesso remoto ao seu computador, desligue e ligue você próprio para um número que já tinha. Se receber um código de início de sessão ou uma notificação que não pediu, não aprove nada e altere essa palavra passe.
Se se tratar de uma fatura ou de uma alteração de número de conta, leia Reconhecer faturas falsas, alterações de número de conta ou fraude do CEO.
Tem dúvidas? Pare, verifique, pergunte
- Pare. A pressa, o susto ou uma recompensa são exatamente o momento para não clicar.
- Verifique pelo seu próprio caminho. Não continue através da mensagem. Digite o endereço você próprio ou utilize o seu marcador, e ligue para um número que já tinha.
- Pergunte a um colega, ou ao remetente através de outro canal.
Comunique um email de phishing ao Fraudehelpdesk: de preferência, reencaminhe-o como anexo para valse-email@fraudehelpdesk.nl e coloque a empresa imitada em cc. Uma mensagem SMS ou WhatsApp comunica-se através do formulário de denúncia. Veja Comunicar um email falso.
Mais exemplos são dados pelo NCSC em Como reconheço um email de phishing?, Phishing por SMS e Como reconheço uma chamada telefónica falsa?.