Engenharia social no phishing: como o golpe funciona no Brasil

Phishing usa mensagens, páginas ou contatos falsos para induzir uma pessoa a entregar dados, autorizar uma ação ou instalar algo. Engenharia social é a manipulação do contexto dessa decisão: urgência, autoridade e familiaridade podem tornar um pedido convincente. A defesa prática é confirmar a solicitação por um caminho conhecido antes de agir.

Sinais de alerta não são um veredito

Erros de escrita, links inesperados e pressão por rapidez merecem atenção. Uma mensagem bem escrita, com seu nome ou com um cadeado no navegador também pode ser falsa. Dados de vazamentos e contas comprometidas permitem imitar contatos legítimos; personalize a verificação, não a confiança automática.

Exemplos fictícios incluem cobrança urgente atribuída ao banco, um colega pedindo transferência por um novo número e um aviso de entrega que exige pagamento. O ponto comum é uma ação solicitada antes de você confirmar a origem. Nenhum desses cenários prova que toda mensagem parecida é fraude.

Confirme fora da mensagem recebida

Pare antes de abrir anexos, instalar aplicativos ou enviar dados.
Acesse o aplicativo já instalado ou digite um endereço conhecido.
Procure a pendência dentro do serviço, sem usar o link recebido.
Para pedidos de pessoas, confirme por contato previamente conhecido.
Se o canal usual também pode estar comprometido, procure outro caminho verificado.

Uma resposta na própria conversa não é confirmação independente. Tampouco um telefone informado na mensagem suspeita é uma fonte confiável por si. Em equipes, combine um procedimento para alterações de dados bancários, pagamentos e concessão de acessos; registre quem confirmou e como.

Se você já clicou ou forneceu dados

Registre o que ocorreu e não conclua que limpar o cache resolve o incidente. A resposta depende de ter apenas aberto uma página, informado uma senha, autorizado acesso ou instalado um arquivo. Use os canais oficiais do serviço e, em equipamentos de trabalho, avise a equipe responsável.

Se uma credencial foi exposta, troque-a pelo serviço legítimo, revise sessões e confira outras contas nas quais ela foi reutilizada. Se há suspeita de comprometimento do aparelho, procure assistência para avaliar o dispositivo e faça a recuperação a partir de um equipamento confiável. Não compartilhe senhas ou códigos com quem oferece remover o problema por mensagem.

MFA, passkeys e seus limites

Autenticação adicional ajuda a proteger contas, mas métodos diferentes enfrentam ameaças diferentes. Códigos digitados podem ser retransmitidos por um intermediário. Consulte o guia de passkeys e o procedimento do serviço para avaliar uma opção resistente a phishing e a recuperação correspondente.

Checklist para uma equipe

Definir um canal simples para relatar mensagens suspeitas.
Guardar evidências com acesso limitado, sem reenviar anexos a colegas.
Orientar a confirmação independente de pedidos sensíveis.
Revisar acessos e notificações quando uma conta for comprometida.
Usar cenários simulados identificados como exercícios de aprendizagem.

Não é necessário culpar quem recebeu a mensagem para entender a falha. Registre o pedido, o canal, a ação tomada e a medida que pode reduzir a repetição. Consulte a Cartilha do CERT.br para aprofundar a proteção de contas e os cuidados com golpes.