Como reconhecer phishing e não entregar a senha a golpistas

O phishing ataca a pessoa, e o servidor nem entra na história: convencem você a digitar por conta própria a senha, um código SMS ou os dados do cartão em uma página falsa. Continua sendo o tipo de invasão mais comum por um motivo: é barato. Enviar milhares de e-mails quase não custa nada, e uma vítima paga tudo. A boa notícia é que a proteção também é barata: atenção e alguns hábitos.

Como é o phishing hoje

O clássico é um e-mail do "banco" ou do "serviço de e-mail" pedindo para confirmar a conta com urgência. A ele se juntaram mensageiros e SMS com links de "rastreamento de encomenda", páginas de login falsas atrás de anúncios na busca, códigos QR em panfletos e e-mails de "colegas" com anexos. As redes neurais eliminaram o grande sinal de outros anos: o idioma ruim. Agora o texto é correto e os logotipos são exatos, então observe os sinais técnicos e ignore o estilo.

Dez regras que cobrem quase tudo

1. Entre nos serviços importantes por um favorito ou digitando o endereço, sem usar links de e-mails.
2. Confira letra por letra o domínio na barra de endereço antes de digitar a senha.
3. Ative a verificação em duas etapas onde houver: uma senha roubada sem o segundo fator quase não serve. Explicamos como funciona no artigo sobre autenticação de dois fatores.
4. Onde for possível, passe para as chaves de acesso: a chave fica ligada ao domínio e em um site falso simplesmente não funciona.
5. Use um gerenciador de senhas. Ele preenche a senha só no domínio real, então o silêncio do preenchimento automático em um site conhecido já é um sinal.
6. Não abra anexos inesperados, mesmo de endereços conhecidos: o remetente pode ter sido invadido.
7. Leia por inteiro os códigos SMS e as confirmações push: eles dizem qual ação você está confirmando.
8. Crie uma caixa separada para cadastros pontuais e newsletters, e deixe a principal para bancos e documentos.
9. Atualize o navegador: as listas embutidas de sites perigosos pegam boa parte das falsificações antes de a página carregar.
10. Conte esses truques à família: a vítima costuma ser um parente de quem lê artigos como este.

O phishing não chega só por e-mail

O e-mail é apenas o canal mais antigo. Os mesmos esquemas funcionam em mensageiros: "vote na minha sobrinha", "há uma encomenda, pague o frete", a conta invadida de um amigo pedindo dinheiro. A versão telefônica é uma ligação da "segurança do banco" que apressa você a ditar um código SMS. Códigos QR em mesas e cartazes levam às mesmas páginas falsas, só que você nem vê o endereço. À parte estão os anúncios pagos na busca, em que a falsificação aparece acima do site real. A regra vale para todos os canais: o canal não comprova quem fala com você, só o domínio na barra de endereço e o segundo fator fazem isso.

Isso também funciona com gente experiente, porque atinge seu estado de espírito, não seu conhecimento: cansaço, pressa, medo de perder dinheiro. O golpista cria uma falta de tempo em que verificar parece desnecessário. Por isso as regras acima foram pensadas para funcionar no automático, sem reflexão.

Se o e-mail parece suspeito, mas não há certeza

Analise-o tecnicamente. Abra o código-fonte do e-mail e veja os cabeçalhos de serviço: de onde ele realmente saiu e se passou nas verificações de autenticidade do remetente. Nosso analisador de cabeçalhos de e-mail mostra a cadeia de servidores e os resultados de SPF, DKIM e DMARC sem leitura manual. O domínio do link pode passar pela consulta DNS: domínios descartáveis recém-registrados quase não têm histórico.

Senha já digitada: a primeira meia hora

1. Troque a senha no site real. Se ela era usada em outro lugar, troque lá também.
2. Encerre todas as sessões nas configurações de segurança da conta: uma senha roubada costuma ser usada nos primeiros minutos.
3. Verifique o e-mail e o telefone vinculados, as regras de encaminhamento e os códigos de backup: invasores gostam de deixar uma entrada reserva.
4. Se digitou dados do cartão, bloqueie-o pelo banco. Isso basta, e a reemissão resolve o resto.
5. Observe a conta por alguns dias. A lista completa de sinais de acesso alheio e os passos de recuperação estão no artigo sobre contas invadidas.

O que o phishing não consegue

Vale conhecer também os limites do ataque para não temer demais. Abrir um e-mail não rouba a senha por si só: o perigo começa na página falsa ou no anexo executado. Navegar em um site por HTTPS não entrega ao golpista suas senhas de outros serviços. E uma chave de acesso ou chave física não dá para "digitar no lugar errado" nem de propósito, porque o navegador não a apresenta a um domínio alheio. Quanto mais contas você proteger assim, menos sentido faz para você toda a indústria de páginas falsas.

O phishing conta com seu piloto automático: o e-mail pressiona com urgência e a mão vai ao link. Uma pausa de dez segundos com a pergunta "esse é o domínio certo?" derruba todo o esquema. O hábito sai mais barato do que recuperar o acesso.