Como reconhecer um e-mail de phishing antes de clicar

Alguns sinais bastam para distinguir um e-mail fraudulento de um legítimo. Aqui ficam os que mais vezes vemos.

O phishing continua a ser a porta de entrada mais habitual para roubos de palavras-passe, fraudes económicas e ataques a empresas. Não é preciso ser perito em segurança para o detetar: basta reparar em alguns detalhes para que a maioria das tentativas seja descoberta antes de causar dano.

O remetente quase nunca é quem diz ser

Repara no endereço completo, não só no nome que aparece. Um e-mail que diz vir de um banco mas chega de um domínio estranho, com letras trocadas ou extensões esquisitas, já é suspeito. Os atacantes costumam usar variações muito parecidas ao domínio real: uma letra a mais, um hífen, uma terminação diferente.

A mensagem quer que ajas depressa

"A tua conta será bloqueada em 24 horas", "pagamento pendente urgente", "verifica os teus dados agora". A urgência é uma ferramenta clássica para que não pares para pensar. Quando um e-mail mete pressa de forma desproporcionada, convém desconfiar.

Os links não levam onde dizem

Antes de clicares, passa o rato por cima do link (sem clicar) e vê o URL real que aparece em baixo, no navegador ou no cliente de e-mail. Se o texto diz "banco.com" mas o link aponta para outra coisa, é phishing.

Pede algo que uma empresa séria não pediria por e-mail

Palavras-passe, códigos de verificação, dados completos de cartão: nenhuma entidade legítima os pede por e-mail. Se uma mensagem o pede, é um sinal claro.

Os anexos inesperados são um risco

Faturas, currículos ou documentos que não esperavas, sobretudo em formatos executáveis ou comprimidos, são uma via habitual para instalar malware. Se não esperas esse ficheiro, não o abras mesmo que o remetente pareça conhecido: contas comprometidas também enviam anexos maliciosos.

O que fazer em caso de dúvida

• Não cliques nem descarregues nada até confirmares a origem.
• Contacta a entidade ou pessoa por outro canal (telefone, site oficial) em vez de responderes ao e-mail.
• Se for um e-mail dirigido à tua empresa, avisa quem gere a segurança informática antes de o reencaminhares ou eliminares.
• Quando tiveres dúvidas, elimina. É preferível perder um e-mail legítimo mal identificado do que abrir um fraudulento.

Nenhum filtro automático deteta cem por cento das tentativas de phishing. A combinação de ferramentas técnicas e de pessoas que sabem o que procurar é o que reduz o risco de verdade.