Como verificar se um link é seguro antes de clicar

Golpes de phishing continuam entre as formas mais comuns de invasão, justamente porque dependem de uma coisa simples: alguém clicar num link. A boa notícia é que dá para checar um endereço com bastante segurança antes de abri-lo. Este guia reúne os sinais de alerta e um método rápido de verificação.

1. Leia o endereço com calma

O primeiro filtro é o seu próprio olhar. No computador, passe o mouse sobre o link (sem clicar) para ver o endereço real no canto da tela. No celular, pressione e segure o link para ver o endereço sem abri-lo. Desconfie quando:

• O domínio principal não é o esperado. Em www.banco.com.seguranca-login.net, o domínio verdadeiro é seguranca-login.net, não o banco. O domínio é sempre o que vem imediatamente antes da primeira barra / depois do https://.
• Há letras trocadas ou parecidas. rnercadolivre (com “rn” imitando “m”), paypa1 (com o número 1) ou caracteres de outros alfabetos que parecem letras latinas.
• O link é encurtado. Encurtadores (como bit.ly) escondem o destino. Use a função de pré-visualização do próprio encurtador ou consulte a URL antes.
• A extensão é estranha para o contexto. Um “boleto” que termina em .exe, .scr, .js ou .zip não é um boleto.

2. Desconfie da mensagem, não só do link

Os golpes seguem um roteiro. Fique atento a:

• Urgência: “sua conta será bloqueada em 24 horas”.
• Prêmios e vantagens: “você ganhou um cupom”, “reembolso disponível”.
• Pedidos de dados: senha, código recebido por SMS, dados do cartão.
• Remetente estranho: um banco que escreve de um Gmail, um “suporte” com nome de domínio esquisito.

3. Consulte a reputação da URL sem abri-la

Copie o link (sem abrir) e cole na Consulta de reputação de URL. A ferramenta pergunta ao VirusTotal e ao MetaDefender se aquele endereço já foi identificado como phishing ou malware. Nem o seu navegador nem o nosso servidor acessam o site consultado.

Como ler o resultado:

• Várias detecções: é golpe. Apague a mensagem e, se for no trabalho, avise a equipe de segurança.
• Uma ou duas detecções: investigue mais. Pode ser um falso positivo, principalmente em sites grandes e encurtadores.
• Sem registros: a base nunca viu o link. Golpes novos começam sem histórico, então isso não prova que é seguro. Volte aos passos 1 e 2.

4. Na dúvida, vá pelo caminho oficial

Recebeu um aviso do banco, da loja ou de um órgão público? Não use o link da mensagem. Abra o aplicativo oficial ou digite o endereço do site você mesmo e veja se o aviso aparece lá. Esse hábito, sozinho, evita a maioria dos golpes.

5. Já cliquei. E agora?

Não entre em pânico; aja rápido:

1. Não digite nada na página que abriu. Feche a aba.
2. Se você digitou uma senha, troque-a imediatamente no site oficial e em todos os lugares onde usa a mesma senha. Ative a verificação em duas etapas.
3. Se você informou dados do cartão, ligue para o banco e peça o bloqueio.
4. Se algum arquivo foi baixado, não o abra. Apague-o e rode uma verificação completa do antivírus. Você pode consultar o hash do arquivo na Consulta de hash para saber se ele é conhecido.
5. No ambiente corporativo, avise a equipe de TI ou de segurança. Quanto antes, menor o estrago.

Cuidados ao consultar URLs

Bases públicas como o VirusTotal podem compartilhar as URLs consultadas com pesquisadores. Evite consultar links que contenham dados pessoais ou tokens de acesso, como links de redefinição de senha, de documentos compartilhados ou de reuniões privadas.

Resumo

Leia o endereço com atenção, desconfie de mensagens urgentes, consulte a reputação da URL sem abri-la e, na dúvida, acesse o serviço pelo caminho oficial. Se já clicou, troque as senhas e avise quem precisa saber.