Como Checar se um Link é Seguro

Passo 1, Revele o destino real antes de tocar

As palavras em um link são apenas um rótulo; podem dizer qualquer coisa. O que importa é para onde o link realmente aponta. No computador, passe o cursor do mouse sobre o link sem clicar e leia o endereço verdadeiro que aparece no canto da tela. No celular, pressione e segure o link até um menu de prévia surgir mostrando a URL completa, depois feche-o sem abrir.

Compare o que você vê com o que o link afirma ser. Se um link rotulado com o nome do seu banco resolve para um domínio aleatório, um com erro de grafia ou um encurtador de link que você não consegue enxergar através dele, essa discrepância é a sua resposta. Nunca confie apenas no texto exibido.

• Como identificar um e-mail de phishing
• Phishing

Passo 2, Leia o domínio, não a URL inteira

URLs podem ser longas e confusas, e golpistas as recheiam de palavras familiares para tranquilizar você. A única parte que determina para onde você realmente vai é o domínio central, o nome imediatamente à esquerda da primeira barra simples. Em um endereço como conta-verificar.paypa1-suporte.example/login, o domínio central é paypa1-suporte.com, não "paypal", "conta" ou "login" espremidos em outro ponto da sequência.

Então encontre o domínio e julgue-o. Palavras antes dele (subdomínios como login.seguro.) e tudo depois da barra (caminhos e parâmetros) podem ser definidos como qualquer coisa e não provam nada. Se o domínio central não é o real e oficial da empresa, o resto da URL não importa.

• Como identificar uma mensagem de texto golpista
• Sinais de um golpe

Passo 3, Fique atento a imitações e typosquatting

Depois que você estiver lendo o domínio, olhe de perto para pequenos truques. O typosquatting troca ou adiciona caracteres que passam à primeira vista, um zero no lugar da letra O, um um no lugar de um L minúsculo, uma letra a mais, um hífen ou uma terminação diferente, como .co em vez de .com. Outros anexam a marca real como um subdomínio de um domínio que eles possuem, de modo que o nome familiar aparece, mas o domínio verdadeiro é algo totalmente diferente.

Leia o domínio devagar, caractere por caractere, especialmente em uma tela pequena. Se qualquer coisa estiver estranha, uma letra trocada, uma terminação inesperada, o nome da marca na posição errada, trate o link como inseguro. Golpistas contam com você lendo por cima.

Alguns padrões concretos aparecem repetidamente. Palavras extras unidas por hifens em torno do nome de uma marca (paypal-seguro-login) são um truque clássico de disfarce; o domínio real quase nunca precisa delas. Terminações incomuns.info, .top, .xyz ou um código de país, anexadas a uma marca famosa devem levantar uma sobrancelha. E um nome que é tecnicamente a marca, mas fica como subdomínio de algo desconhecido (paypal.verificar-conta.com resolve para verificar-conta.com), é feito para tranquilizar você enquanto o envia para um lugar totalmente diferente. Nenhum desses é prova por si só, mas qualquer um deles já é motivo para parar e chegar à empresa pela porta da frente.

• Typosquatting
• Recrutador falso com domínio parecido

Passo 4, Fique atento às pistas de contexto ao redor do link

Um link nunca chega sozinho, ele vem embrulhado em uma mensagem, e o embrulho diz muito. Pergunte quem enviou e se você esperava por isso. Um link em um SMS não solicitado, um e-mail surpresa ou uma DM de alguém que você acabou de conhecer merece muito mais desconfiança do que um que você pediu especificamente, como uma redefinição de senha que você mesmo acabou de disparar momentos atrás.

Depois leia a pressão. Links maliciosos quase sempre vêm acompanhados de urgência e de um motivo pelo qual você precisa clicar agora mesmo: uma conta será suspensa, uma encomenda será devolvida, um pagamento falhou, uma oferta limitada expira. Serviços legítimos raramente forçam um clique instantâneo por um link desconhecido para evitar uma penalidade. Se a mensagem ao redor está apressando você ou o link é o único jeito de "resolver" um problema repentino, trate o próprio link como suspeito não importa como o domínio pareça.

Também tenha cautela com links encurtados (bit.ly e similares) que escondem o destino verdadeiro por completo. Quando você não consegue ver para onde um link encurtado leva, não consegue inspecioná-lo, e essa opacidade é, por si só, motivo para ficar em alerta, especialmente em uma mensagem inesperada.

• Como identificar uma mensagem de texto golpista
• Engenharia social

Passo 5, Na dúvida, não clique, vá direto

Você não precisa clicar em um link para chegar aonde ele afirma levar. Se uma mensagem diz que há um problema com a sua conta, uma encomenda ou uma fatura, chegue à coisa real você mesmo: abra o app oficial da empresa ou digite o site dela diretamente no seu navegador. Qualquer aviso genuíno estará esperando por você dentro da sua conta por esse caminho confiável e, se não estiver lá, a mensagem não era real.

Esse único hábito desarma a maioria dos golpes baseados em link, porque remove o link do golpista da equação por completo. Quando você está em dúvida, o padrão seguro é não clicar, um link que você nunca abre não pode lhe causar dano. Não há desvantagem em chegar a uma empresa pela porta da frente em vez de por um link que alguém enviou, e isso transforma uma decisão arriscada em uma rotina segura e automática.

• Cliquei em um link de phishing
• Proteja suas contas

Passo 6, Obtenha uma segunda opinião, e uma nota sobre QR codes

Se você inspecionou um link e ainda não tem certeza, peça ajuda antes de se comprometer. Você pode colar o link no Hunch, que sinaliza as categorias de sinais que reconhece, um domínio parecido, um tom urgente ou um pedido de credencial ou pagamento, para que você tenha mais do que uma intuição em que se basear.

Mais uma coisa: um QR code é apenas um link que você não consegue ler com os olhos. Quando você escaneia um, o seu celular geralmente mostra a URL de destino antes de abri-la, faça uma pausa e aplique a essa URL os passos anteriores exatamente como faria com qualquer outro link. Tenha atenção redobrada a QR codes em adesivos colados por cima de outros verdadeiros, em e-mails inesperados ou em placas de estacionamento e pagamento, já que um golpista pode cobrir um código legítimo com o dele.

Vale lembrar por que tudo isso importa: o objetivo de checar um link é manter você longe de uma página que parece real mas não é. A maior parte do roubo de credenciais e das fraudes de cartão começa com um único toque em uma imitação convincente, então os segundos que você gasta inspecionando um link estão entre os de maior valor da sua vida online. Transforme esses passos em hábito e eles deixam de parecer esforço, viram a pausa automática que, silenciosamente, protege você todos os dias.

• Como o Hunch funciona
• Escaneei um QR code golpista
• Quishing

FAQ