Primeiro princípio: o domínio manda, o resto é maquiagem

Um site pode ter o logo perfeito, as cores idênticas e até um texto “profissional”. O que define se você está no lugar certo é o domínio. Em termos simples, domínio é a parte central do endereço do site (como exemplo.com). Golpistas apostam que você vai olhar rápido e confiar no visual.

Por isso, o hábito nº 1 é: antes de clicar, identifique qual é o domínio real. Se você aprender a “enxergar” o domínio, você corta boa parte dos golpes logo na raiz.

Entendendo a estrutura de um link (sem complicação)

Um link tem várias partes, mas você não precisa decorar nomes técnicos. O ponto é entender onde está o “nome verdadeiro” do site. Pense assim:

• https:// é o protocolo (como o site é acessado).
• subdominio.exemplo.com é a parte do domínio (com subdomínio e domínio principal).
• /caminho é o restante (páginas internas, parâmetros etc.).

O que mais importa para evitar phishing é o trecho exemplo.com. O subdomínio pode enganar: banco.exemplo.com é uma coisa, mas banco-exemplo.com é outra. E pior: banco.exemplo.com.golpe.site não é do banco — o domínio real aí é golpe.site.

Checklist rápido antes de clicar (30 segundos que valem ouro)

1) Passe o mouse (no PC) ou pressione (no celular) para ver o endereço

No computador, antes de clicar, passe o mouse por cima e olhe a barra de status (ou o preview do link). No celular, pressione e segure para abrir a prévia. Isso já evita clicar “no escuro”.

2) Verifique o domínio principal, não o texto

Em e-mails e mensagens, o texto pode dizer “Acesse sua conta”, mas o link pode apontar para outro lugar. Sempre confira o domínio real do endereço.

3) Procure por pequenas trocas de letras

Golpes comuns usam trocas quase imperceptíveis: letra “l” no lugar de “i”, “0” no lugar de “o”, duplicação de letras ou variações com hífen. Se você precisa “forçar a vista” para ter certeza, já é um sinal ruim.

4) Desconfie de domínios longos demais e “cheios de coisas”

Domínios com muitos termos, números e combinações estranhas (principalmente quando tentam parecer uma marca famosa) merecem suspeita. Golpista adora jogar palavras de confiança no endereço para parecer legítimo.

5) Observe o final do domínio (TLD) com senso crítico

O final do domínio (como .com, .com.br, .net) não é prova de nada, mas pode ajudar. Se você esperava um site brasileiro e aparece uma terminação inesperada, pare e confirme. Golpe não escolhe TLD: ele escolhe a sua pressa.

HTTPS ajuda, mas não é “selo de honestidade”

Muita gente ainda acha que “tem cadeado, então é seguro”. O cadeado (HTTPS) significa que a conexão é criptografada, ou seja, seus dados trafegam de forma protegida até o site. Mas não garante que o site é legítimo. Hoje, qualquer golpista consegue colocar HTTPS no ar.

Use o HTTPS como requisito mínimo, não como garantia. O que valida mesmo é: domínio correto + contexto correto.

Redirecionamentos: o truque do “link inocente”

Um golpe bem comum usa redirecionamento: o link parece apontar para um lugar “ok”, mas te joga para outro domínio depois. Isso acontece muito com:

• encurtadores (links curtos e misteriosos),
• links de rastreamento (cheios de parâmetros),
• páginas intermediárias que “repassam” você para um destino final.

Quando possível, prefira abrir sites digitando o endereço diretamente ou usando favoritos confiáveis. Se o link for inevitável, preste atenção se, ao abrir, o endereço muda rapidamente para outro domínio.

Encurtadores de link: não são vilões, mas exigem cuidado

Encurtadores são úteis, principalmente em redes sociais. O problema é que eles escondem o domínio final. Isso facilita golpes, porque você clica sem saber para onde está indo.

Boas práticas:

• Se vier de fonte desconhecida, trate como suspeito.
• Se a mensagem tiver urgência (“última chance”, “conta bloqueada”), pare e valide por outro canal.
• Se for link de cobrança, entrega ou banco, não clique: abra o app oficial ou digite o site manualmente.

Como validar um link “na prática” em situações comuns

E-mail “do banco” pedindo confirmação

Bancos quase sempre empurram ações sensíveis para o aplicativo. Se o e-mail pedir login, senha, token, ou “regularização” via link, encare como suspeito. O caminho mais seguro é: fechar o e-mail, abrir o app do banco e verificar notificações lá.

SMS de entrega com “taxa” para liberar pacote

Golpe clássico. Se você está esperando encomenda, vá direto ao app/portal oficial da transportadora ou marketplace. Link em SMS é um dos vetores mais usados, porque chega com senso de urgência e pega a pessoa no automático.

WhatsApp com “comprovante”, “boleto” ou “foto”

Se alguém manda um link dizendo “abre isso aqui rapidinho”, a chance de golpe é real — inclusive quando a pessoa foi invadida e está repassando sem querer. Confirme por mensagem/ligação antes. Se for arquivo, desconfie principalmente de formatos estranhos e páginas pedindo login.

Anúncio com desconto absurdo

Promoção existe. Desconto absurdo e pressão para comprar “agora” é outra história. Verifique o domínio, procure a marca por canais oficiais e evite clicar em anúncios suspeitos principalmente em redes sociais.

Sinais de phishing além do domínio

Domínio é a peça central, mas alguns sinais reforçam a suspeita:

• urgência (“sua conta será bloqueada hoje”),
• ameaça (“último aviso”, “multa”, “processo”),
• vantagem exagerada (“você ganhou”, “reembolso alto”),
• pedido de dados sensíveis (senha, token, cartão, documento),
• erros de linguagem ou traduções estranhas,
• página pedindo login do nada quando deveria ser só uma confirmação simples.

Golpe bom não parece golpe. Mas ele costuma ter pressa e costuma pedir coisa demais.

Verificação rápida em 2 passos (quando você está com pressa)

Se você só tem alguns segundos, faça isso:

1. Qual é o domínio principal? Ele é exatamente o que você espera?
2. Eu posso chegar a essa página sem esse link? (digitando o site ou abrindo o app oficial)

Se qualquer resposta der “não tenho certeza”, não clique. A maioria das ações legítimas pode ser feita pelo caminho oficial.

Segurança no celular: o ponto fraco do “clique rápido”

No celular, a gente clica mais no impulso, e o navegador mostra menos informações do endereço. Por isso, dois hábitos ajudam muito:

• pressão longa para ver a prévia do link antes de abrir;
• checar a barra de endereço assim que a página carregar, antes de digitar qualquer coisa.

E um cuidado extra: alguns golpes abrem páginas “leves” que parecem formulário oficial e tentam capturar dados rápido. Se apareceu campo de senha, CPF, cartão ou token, pare e valide o domínio com calma.

Se você clicou sem querer: o que fazer

Acontece. O importante é reduzir danos:

• Se não digitou nada, feche a aba e limpe dados do navegador (principalmente em celular compartilhado).
• Se digitou senha, troque imediatamente a senha no canal oficial (digitando o site manualmente ou pelo app).
• Ative autenticação em duas etapas sempre que possível.
• Se envolveu banco/cartão, contate suporte oficial e monitore transações.

O objetivo não é viver com medo; é ter um plano simples para quando o dedo vai mais rápido que o cérebro.

Boas práticas que valem para qualquer pessoa

• Use favoritos para sites importantes (banco, e-mail, serviços de pagamento).
• Não confie em urgência: golpes adoram prazo curto e ameaça.
• Evite logar por links: abra o app/site e navegue por dentro.
• Mantenha navegador e sistema atualizados: correções de segurança fazem diferença.
• Separe e-mails (principal para contas críticas, e um endereço secundário para cadastros).