Quase todo golpe digital passa por um único vetor: um link. O SMS, o e-mail ou a mensagem de WhatsApp é só a embalagem — o roubo acontece no site para onde o link te leva. Saber ler um link e identificar um domínio armadilha é, portanto, a habilidade de proteção número um hoje. Veja como fazer isso — e como verificar qualquer link de graça, em segundos, sem nunca clicar nele.
O que importa numa URL é o domínio — a parte entre "//" e a primeira "/" seguinte. Em https://seguro.itau.com.br/login, o domínio é itau.com.br: legítimo. Mas em https://itau.verificacao-segura.com/login, o domínio real é verificacao-segura.com — "itau" é só um prefixo para enganar. Os golpistas apostam que a maioria só lê o começo do endereço.
• Um erro proposital no domínio: itaú-seguro.com com caractere trocado, correios-entrega.net, nubank-app.xyz • Um domínio longo com o nome da marca no começo: correios.rastreio-seguro.xyz • Um link encurtado (bit.ly, tinyurl, encurtador…) numa mensagem que pede pagamento ou dados — o encurtador esconde o destino • Uma extensão incomum para uma empresa brasileira: .xyz, .top, .icu • http:// sem "s" — conexão não criptografada. Atenção, porém: o cadeado https não garante que o site é honesto, só que a conexão é criptografada. A maioria dos sites de phishing hoje usa https.
Muita gente clica "para ver aonde leva". É um erro: a simples visita a uma página maliciosa pode bastar para identificar seu aparelho, exibir uma falsa tela de login do seu banco ou disparar um download. A verificação tem de ser feita de fora: o verificador Phishy segue o link encurtado num ambiente isolado, no nosso lado, e revela o destino final — sem que seu celular encoste nele.
1. Toque e segure na mensagem ou no link → Copiar (não abra!) 2. Cole no verificador gratuito Phishy nesta página 3. Em segundos: seguro / suspeito / phishing — com a explicação A ferramenta compara o link com bases mundiais de fraude (Google Safe Browsing, VirusTotal e outras), segue redirecionamentos e disfarces, e analisa também o texto da mensagem ao redor do link. Sem cadastro, sem instalação.
Um golpista caprichado pode registrar um domínio de aparência inocente. Cruze sempre com o contexto: quem enviou? Você esperava essa mensagem? Há pressão de tempo ou pedido de pagamento? Mensagem inesperada + link + urgência = verificação obrigatória. E se a mensagem diz vir de um órgão oficial (banco, Correios, Receita, INSS), entre você mesmo digitando o endereço oficial — nunca pelo link.
• Não digitou nada: feche a página. O risco é baixo na maioria dos casos; observe qualquer comportamento estranho do aparelho. • Senha digitada: troque imediatamente no serviço real — e onde quer que usasse a mesma. Ative a verificação em duas etapas. • Cartão digitado: bloqueio imediato e contestação das compras junto ao banco. • Arquivo ou app baixado: apague sem abrir, rode uma verificação de segurança. • Registre boletim de ocorrência se houve prejuízo.
Sim: cole o link no verificador gratuito desta página — sem cadastro nem instalação, resposta em segundos.
Não. O cadeado significa que a conexão é criptografada, não que o site é honesto. A maioria dos sites de phishing hoje usa um https perfeitamente válido.
Cole no Phishy: a ferramenta segue o encurtador num ambiente isolado e mostra o destino final, além do nível de perigo.
Na maioria dos casos, não. O perigo real vem ao digitar dados ou baixar um arquivo. Por precaução, verifique o link na ferramenta para saber com o que lidou.
Não necessariamente: contas clonadas enviam links a todos os contatos. Se o link é inesperado ou o estilo é incomum, verifique-o e confirme com quem enviou por outro canal.