Neste post
URL encode e decode
Codifique e decodifique URLs e parâmetros (%20, %C3%A7) e veja cada parte da URL.
A regra que resolve a maioria dos casos
Não use links de mensagens para acessar banco, gov.br, lojas ou serviços com senha. Abra o app oficial ou digite o endereço você mesmo. Assim, mesmo que a mensagem seja falsa, você não chega ao site falso.
Mesmo assim, saber ler um endereço ajuda a perceber golpes e a decidir se vale abrir um link desconhecido.
Como ler um endereço: olhe o domínio
O que importa num endereço é o domínio: a parte que vem logo antes da primeira barra / depois do https://. E ele se lê da direita para a esquerda:
https://www.gov.br/receitafederal: o domínio é gov.br. Legítimo.https://gov.br.regularize-cpf.com/receita: o domínio é regularize-cpf.com. O "gov.br" no começo é só enfeite. Falso.https://www.bancoexemplo.com.br.atualizacao.net: domínio atualizacao.net. Falso.
Tudo que vem depois da barra (caminhos, parâmetros) pode ter qualquer palavra e não indica nada sobre a segurança do site.
Truques comuns dos links falsos
- Letras trocadas: "rn" no lugar de "m", "0" no lugar de "o", letras duplicadas, hífens a mais.
- Terminações diferentes: .com no lugar de .com.br, ou terminações pouco comuns.
- Encurtadores: links curtos escondem o destino. Desconfie quando vêm de remetentes desconhecidos.
- Endereços codificados: sequências como
%2Fe%40podem esconder o destino real. O URL encode e decode decodifica o endereço e mostra cada parte (domínio, caminho e parâmetros) separada, para você ler com clareza. - Cadeado (https): só indica que a conexão é criptografada. Sites falsos também têm cadeado. Não é prova de que o site é legítimo.
Sinais na mensagem
- Urgência e ameaça: "sua conta será bloqueada hoje", "última chance".
- Prêmios, restituições e descontos inesperados.
- Pedido de senha, código de SMS, dados de cartão ou selfie.
- Remetente estranho: número desconhecido, e-mail com domínio diferente do da empresa.
- Mensagem genérica ("Prezado cliente") ou com seu nome e CPF, que podem ter vindo de vazamentos.
QR Codes são links disfarçados. Para ver o endereço de um QR numa imagem antes de abrir, use o Ler QR Code de imagem. Mais detalhes em QR Code falso: como conferir.
Ferramentas para checar um link
- Pré-visualização: no computador, passe o mouse sobre o link sem clicar e veja o endereço no canto da tela. No celular, toque e segure o link para ver o endereço sem abrir.
- Verificação de sites do Google: o relatório de transparência do Google permite consultar se um endereço está marcado como perigoso (Navegação segura).
- Navegador atualizado: Chrome, Edge, Firefox e Safari mostram avisos em páginas conhecidas por golpes. Não ignore esses avisos.
Nenhuma verificação é perfeita: sites falsos novos ainda não estão nas listas. Por isso a regra principal continua sendo abrir serviços importantes pelo app ou pelo endereço digitado.
Já cliquei. E agora?
- Só abriu a página e você não digitou nada: feche. O risco é baixo em navegadores atualizados.
- Digitou senha: troque a senha imediatamente, a partir do site ou app oficial, e ative a verificação em duas etapas. Se a senha era usada em outros lugares, troque lá também.
- Digitou dados de cartão: ligue para o banco e bloqueie o cartão.
- Instalou um app ou arquivo: desinstale, rode a verificação de segurança do sistema e troque senhas a partir de outro aparelho.
- Fez pagamento: avise o banco imediatamente e registre boletim de ocorrência.
Perguntas frequentes
Link com https é sempre seguro?
Não. O https protege a conexão contra espionagem, mas qualquer site, inclusive falso, pode ter. O que identifica o site é o domínio.
Links encurtados são sempre golpe?
Não. Empresas e pessoas usam encurtadores legitimamente. O problema é quando vêm de remetentes desconhecidos e levam a páginas que pedem dados.
O banco manda link por SMS?
Alguns bancos enviam SMS informativos, mas a orientação geral é nunca usar links de mensagens para acessar a conta. Use o app.
Como denunciar um site falso?
Você pode denunciar pelo navegador (a maioria tem opção de relatar site enganoso) e avisar a empresa imitada pelos canais oficiais dela.
Abrir o link no celular é mais seguro que no computador?
O risco é parecido. No celular, a barra de endereço é menor e esconde parte do domínio; toque nela para ver o endereço completo.
Um amigo me mandou o link. Posso confiar?
Contas de amigos podem estar invadidas, e a pessoa pode ter repassado sem conferir. Se a mensagem fugir do jeito habitual dela ou pedir dados, confirme por outro canal antes de abrir.
