Phishing é um golpe em que alguém se passa por um banco, uma loja ou um órgão público para convencer você a entregar senhas, dados de cartão ou dinheiro por vontade própria. O criminoso não invade o seu celular: ele faz você abrir a porta. A palavra vem do inglês fishing (pescaria), porque a mensagem é a isca e o seu clique é o peixe mordendo.
Neste guia, você vê como o golpe funciona, quais são os formatos mais comuns, os sinais que entregam uma mensagem falsa e o que fazer se já clicou ou já passou algum dado. Também falamos de um ângulo que quase ninguém cobre: como o phishing mira quem está com dívida ou com o nome sujo.
O que é phishing e como funciona
O phishing é uma técnica de engenharia social: em vez de quebrar um sistema, o golpista engana uma pessoa. Ele cria uma mensagem que parece vir de alguém confiável e que pede uma ação rápida, como clicar em um link, baixar um arquivo, confirmar um cadastro ou fazer um pagamento. O link leva a uma página falsa, muito parecida com a verdadeira, que captura o que você digitar.
A isca quase sempre mexe com uma emoção. Pode ser medo (sua conta será bloqueada), urgência (você tem duas horas), ganância (você ganhou um prêmio) ou alívio (aqui está o desconto para quitar sua dívida). Quando a emoção entra, o cuidado sai, e é exatamente esse o ponto que o golpe explora.
Phishing é vírus?
Não. Phishing é o golpe em si, a tentativa de enganar você. Vírus é um tipo de programa malicioso. Os dois podem se encontrar: uma mensagem de phishing pode trazer um anexo com vírus, e o clique no link pode baixar um programa espião. Mas o phishing também funciona sem nenhum programa, só com uma página falsa e a sua distração.
Quais são os tipos de phishing
O golpe muda de canal, mas a lógica é a mesma. Os formatos mais comuns hoje são estes.
Phishing por e-mail
É o formato original. O e-mail imita um banco, uma loja, um serviço de streaming ou um órgão público, com logotipo, assinatura e tudo. O texto pede que você “atualize seus dados” ou “regularize uma pendência” por meio de um link ou de um anexo.
Phishing por SMS (smishing)
Smishing é o phishing que chega por mensagem de texto. O SMS costuma avisar sobre uma compra que você não fez, uma encomenda retida ou uma conta suspensa, sempre com um link curto no final. Como o texto é curto e vem no celular, a chance de clicar sem pensar aumenta.
Phishing por ligação (vishing)
No vishing, a isca é a voz. Alguém liga dizendo ser da central de segurança do seu banco, avisa de uma movimentação suspeita e pede que você confirme dados ou “instale um aplicativo de proteção”. O tom é calmo e profissional, e a pessoa sabe parte das suas informações, o que dá credibilidade à história.
Phishing por WhatsApp e redes sociais
Aqui, o golpe chega como mensagem de um número desconhecido, de um perfil falso de empresa ou até do contato de um amigo que teve a conta clonada. Os pedidos mais comuns são um código de verificação, um Pix emprestado ou o clique em um link com promoção. Se esse é o seu caso, vale ler também o que fazer num golpe pelo WhatsApp.
Spear phishing: o golpe feito sob medida
No spear phishing, o criminoso pesquisa a vítima antes de atacar e usa informações reais, como o nome do chefe, o banco em que você tem conta ou uma compra recente. A mensagem parece ter sido escrita só para você, e justamente por isso é a mais difícil de desconfiar.
Como identificar uma mensagem de phishing
Nenhum sinal sozinho prova que a mensagem é falsa, mas vários juntos formam um alerta confiável. Antes de clicar em qualquer coisa, passe a mensagem por esta checagem.
- Urgência exagerada. Prazos de poucas horas, ameaça de bloqueio ou de cobrança imediata. Empresa séria dá tempo para você resolver.
- Link estranho. Passe o dedo (ou o mouse) sobre o link sem clicar e veja o endereço completo. Letras trocadas, hífens a mais ou terminações incomuns são sinal de página falsa.
- Remetente que não bate. O nome na tela diz “Banco”, mas o e-mail ou o número vem de um endereço sem relação com a empresa.
- Pedido de dado sensível. Banco não pede senha completa, código de segurança do cartão ou código recebido por SMS por mensagem ou por telefone.
- Erros de português e imagens borradas. Nem sempre aparecem, mas quando aparecem, ajudam a desconfiar.
- Oferta boa demais. Prêmio que você não pediu, desconto gigantesco, crédito liberado sem consulta.
- Anexo inesperado. Arquivos com nome de boleto, comprovante ou nota fiscal que você não esperava.
Na dúvida, não responda e não clique. Entre direto no aplicativo ou no site oficial da empresa digitando o endereço você mesmo, ou ligue para o telefone que está no verso do cartão.
Exemplos de mensagens de phishing
Ver o golpe escrito ajuda a reconhecer quando ele chega. Os textos abaixo são ilustrativos e mostram os padrões mais repetidos.
| Canal | Como a mensagem costuma aparecer | O que denuncia |
|---|---|---|
| SMS | “Sua conta será bloqueada hoje. Atualize seus dados: (link curto)” | Prazo curto e link encurtado |
| “Identificamos um acesso estranho. Confirme sua senha para continuar” | Banco não pede senha por e-mail | |
| “Oi, troquei de número. Pode fazer um Pix urgente para mim?” | Pedido de dinheiro com pressa por número novo | |
| Ligação | “Aqui é da central de segurança. Instale este aplicativo para proteger sua conta” | Pedido de instalar programa por telefone |
| Anúncio ou site | “Quite sua dívida com 90% de desconto só hoje” | Desconto exagerado e pressão de tempo |
Quais são as etapas de um ataque de phishing
O desenho varia de golpe para golpe, mas a maioria segue um caminho parecido, e conhecê-lo ajuda a interromper o ataque em algum ponto.
- Preparação. O golpista escolhe quem imitar (banco, loja, órgão público) e monta a mensagem e a página falsa. Em ataques direcionados, ele também pesquisa dados da vítima.
- Envio da isca. A mensagem sai em massa ou para um alvo específico, por e-mail, SMS, WhatsApp ou ligação.
- O clique ou a resposta. A vítima abre o link, baixa o anexo ou responde com informações.
- A captura. A página falsa registra o que foi digitado, como login, senha, número do cartão ou código de verificação.
- O uso do dado. O criminoso entra na conta, faz compras, pede empréstimo em nome da vítima ou transfere dinheiro por Pix.
A boa notícia é que você pode quebrar a corrente nas etapas 3 e 4: sem o clique e sem a digitação, o golpe não se completa.
Phishing e dívida: o golpe que mira quem está negativado
Quem está com o nome sujo é um alvo preferido, e por um motivo simples: a pessoa quer resolver a dívida e está aberta a ofertas de desconto. O golpista aproveita esse desejo legítimo e envia uma “proposta de negociação” com boleto falso, link de um suposto feirão ou um contato dizendo representar o credor.
Os sinais de alerta são parecidos com os de qualquer phishing, com alguns detalhes próprios. A oferta chega sem você ter procurado ninguém. O boleto tem o beneficiário diferente da empresa com quem você tem a dívida. O desconto é alto demais e só vale hoje. E o pagamento é pedido por Pix para uma conta de pessoa física. Para esse último caso, entenda como funciona o golpe da dívida falsa e aprenda a conferir se um boleto é falso antes de pagar.
Outro cuidado: se alguém cobrar uma dívida que você não reconhece, não pague nem passe dados para “confirmar”. Primeiro, descubra se a cobrança é legítima. Esse caminho está explicado no conteúdo sobre cobrança indevida. E, para negociar com segurança, entre sempre pelos canais oficiais do credor ou de empresas que você mesmo procurou, conferindo o endereço do site antes de digitar qualquer dado.
Caí no golpe de phishing: o que fazer
Se você percebeu tarde, a pressa é aliada. Quanto antes você agir, menores os estragos. Siga a ordem que se aplica ao seu caso.
Se você só clicou no link
Feche a página sem digitar nada. Se o link veio do celular, apague a mensagem e, se algum arquivo foi baixado, não abra. Rode o antivírus do aparelho e, por precaução, troque as senhas das contas mais importantes, começando pelo e-mail, que costuma ser a chave para redefinir todas as outras.
Se você digitou senha ou dados do cartão
Troque imediatamente a senha da conta envolvida e de qualquer outra que use a mesma senha. Ative a verificação em duas etapas onde estiver disponível. Se informou dados do cartão, ligue para o banco pelo telefone do verso do cartão e peça o bloqueio e a troca. Acompanhe o extrato nos dias seguintes.
Se você fez um Pix ou uma transferência
Avise o banco na hora, pelo canal oficial do aplicativo, e peça a contestação da transferência informando que foi golpe. As regras e os prazos para devolução de Pix em caso de fraude são definidos pelo Banco Central, então consulte o site da instituição para ver as condições atuais. Guarde comprovantes, prints das conversas e o número de quem enviou a mensagem.
Registre o boletim de ocorrência
Registre o golpe na polícia. Muitos estados aceitam o registro online de fraudes eletrônicas, e o documento costuma ser pedido pelo banco para analisar a contestação. Se o seu CPF foi usado, veja também como proteger o seu CPF depois do vazamento de dados.
O que a lei diz sobre phishing
Não existe, no Código Penal, um crime chamado “phishing”, mas o golpe se encaixa na fraude eletrônica. A Lei 14.155/2021 acrescentou ao art. 171 do Código Penal o § 2º-A, que prevê reclusão de 4 a 8 anos e multa quando a fraude é cometida com informações fornecidas pela vítima, ou por terceiro induzido a erro, por meio de redes sociais, contatos telefônicos ou envio de correio eletrônico fraudulento, ou por qualquer outro meio fraudulento análogo.
O § 2º-B prevê aumento de um terço a dois terços na pena quando o crime é praticado com o uso de servidor mantido fora do território nacional. Ou seja, quem monta uma página falsa para capturar dados responde por crime com pena alta, e você, como vítima, tem base legal para registrar a ocorrência.
Como se proteger do phishing no dia a dia
Proteção contra phishing é mais hábito do que tecnologia. Alguns cuidados simples cortam a maior parte do risco.
- Digite você mesmo o endereço do banco ou da loja, em vez de seguir links recebidos.
- Ative a verificação em duas etapas no e-mail, no WhatsApp e nos aplicativos de banco.
- Nunca compartilhe códigos recebidos por SMS ou aplicativo. Eles servem só para você.
- Use senhas diferentes para cada serviço e um gerenciador de senhas, se puder.
- Mantenha o sistema e os aplicativos atualizados.
- Desconfie de quem cria pressa. Pare, respire e confirme por outro canal.
- Combine uma “palavra de segurança” com a família para confirmar pedidos de dinheiro feitos por mensagem.
- Confira sempre o nome do destinatário antes de confirmar um Pix. Para entender os golpes mais comuns nessa modalidade, leia sobre os golpes com Pix.
Resolver a dívida sem cair em golpe
Quem entende o phishing negocia com mais segurança, porque sabe que oferta boa demais merece conferência. Se você está com dívidas e quer organizar a saída, comece conhecendo as opções em um ambiente confiável e confira sempre o endereço antes de digitar seus dados. Você pode conhecer como a Acerto funciona e seguir os conteúdos do blog para entender o passo seguinte com calma.
