Em resumo

O que é?

Phishing é qualquer mensagem — e-mail, SMS, chamada telefónica, WhatsApp, até mesmo um código QR — que finge ser de alguém ou algo em quem confias, para te fazer fazer algo que de outra forma não farias.

O "algo" é geralmente um destes:

Chama-se phishing (de "fishing", pesca em inglês) porque o atacante lança um anzol num vasto lago. Não sabe se tu vais morder. Só precisa de uma pequena fração dos destinatários, e o envio do e-mail não lhe custou nada.

Alguns termos que podes ouvir:

A técnica é a mesma. Só muda o canal.

Como reconhecê-lo?

O velho conselho era procurar erros ortográficos e gramática estranha. Esse conselho está agora desatualizado — a IA pode escrever um e-mail impecável em qualquer idioma em dois segundos. Tens de olhar para o que a mensagem te pede para fazer, não para o quão amavelmente pede.

O padrão é quase sempre uma versão de três coisas juntas: urgência, autoridade, uma ação.

  1. Urgência. "A tua conta será encerrada em 24 horas." "O teu pacote será devolvido." "Início de sessão suspeito detetado — confirma agora." As instituições reais quase nunca te dão um prazo de uma hora ou um dia por e-mail. Enviam uma carta. Telefonam de volta através da sua aplicação normal. Esperam.
  2. Autoridade. A mensagem parece vir do teu banco, das tuas finanças, do teu governo, de uma grande empresa de entregas, de um serviço de streaming, da equipa de TI do teu empregador, do teu chefe. O logótipo familiar, as cores certas, o tom certo. Qualquer pessoa pode copiar um logótipo.
  3. A ação. Clica neste link. Confirma este código. Responde com este documento. Paga esta pequena taxa para libertar o pacote. É aqui que podes parar o ataque. Seja qual for a mensagem, pergunta-te: se não fizer nada, o que acontece realmente? A resposta honesta é quase sempre "nada de grave".

Outros sinais a conhecer:

O que fazer?

Se ainda não agiste:

  1. Para. Não cliques. Não respondas. Não ligues para nenhum número impresso na mensagem.
  2. Verifica por um canal separado. Se "o teu banco" te enviar um e-mail, abre a tua aplicação bancária ou o site que usas normalmente — digitando o endereço tu mesmo, não a partir do e-mail — e verifica lá. Se "as finanças" ligarem, desliga e liga de volta para o número oficial do seu site público. Se "o teu chefe" enviar um pedido urgente, vai ter com ele pessoalmente ou liga para o número que já tens.
  3. Reporta a mensagem e apaga-a. A maioria dos clientes de e-mail (Gmail, Outlook, Apple Mail, ProtonMail) têm um botão "reportar phishing". Usa-o. Os SMS em muitos países podem ser reencaminhados para o 7726 (os algarismos formam SPAM em inglês) para serem analisados pelo teu operador. Depois apaga o original.
  4. Avisa a família. Se os teus pais, parceiro/a ou filhos partilham um apelido de e-mail ou uma morada de casa, provavelmente receberão a mesma campanha no mesmo dia. Uma mensagem de duas linhas "cuidado com este" em casa previne mais danos do que qualquer filtro.

Se já clicaste ou escreveste a tua palavra-passe — os próximos trinta minutos são os que contam. Mantém a calma. Segue esta lista por ordem.

  1. Noutro dispositivo (não aquele em que clicaste, se conseguires evitar) — muda a palavra-passe da conta cuja palavra-passe acabaste de introduzir. Usa uma palavra-passe forte e única.
  2. Ativa a autenticação de dois fatores nessa conta se ainda não estiver ativa.
  3. Termina sessão em todos os outros dispositivos. A maioria das contas principais (Google, Microsoft, Apple, Facebook, o teu banco) têm um botão "terminar sessão em todos os dispositivos" escondido nas definições de segurança. Prime-o.
  4. Verifica a atividade recente da conta. Localizações de início de sessão, e-mails recentes enviados, métodos de pagamento adicionados, regras de reencaminhamento configuradas. Os phishers costumam configurar uma regra na caixa de entrada para cobrir os seus rastos — elimina qualquer regra que não tenhas criado.
  5. Se introduziste dados bancários — liga agora para o número oficial do teu banco. Bloqueio de cartão, redefinição de palavra-passe, revisão de transações. O banco prefere muito mais um aviso de cinco minutos do que uma surpresa de cinco dias.
  6. Se introduziste um documento de identidade ou dados pessoais — consulta o tema Recuperação de Roubo de Identidade; a resposta é diferente e mais lenta.
  7. Desconecta o dispositivo da internet se abriste um anexo ou transferiste algo. Executa a análise de segurança integrada do teu sistema operativo. Se depois algo parecer errado, trata o dispositivo como comprometido e pede ajuda.
  8. Avisa as pessoas nos teus contactos. Uma conta de e-mail comprometida é frequentemente usada para fazer phishing às pessoas que confiam em ti. Uma breve mensagem de aviso — enviada por outro canal como WhatsApp ou SMS — evita a segunda vaga.

O que NÃO fazer

Usar a IA para te ajudar

Dois prompts para copiar. Cola a mensagem suspeita na íntegra — incluindo os cabeçalhos se conseguires — e deixa a IA explicar-te. Não coles palavras-passe nem códigos de dois fatores.

Esta mensagem é phishing?

"Recebi a mensagem abaixo. Não tenho a certeza se é uma tentativa de phishing. Por favor, analisa-a na perspetiva de um profissional de segurança experiente e diz-me: (a) que sinais de alerta vês, (b) como é realmente o domínio do remetente e como difere da organização real, (c) o que especificamente a mensagem me pede para fazer, e (d) numa escala de 1 a 10, qual a probabilidade de isto ser uma tentativa de phishing, com o teu raciocínio. Se devo fazer algo agora, lista os primeiros três passos em ordem.

Mensagem: [colar aqui]"

Já cliquei — e agora?

"Cliquei num link no que agora acredito ter sido um e-mail de phishing. Na página para onde fui, introduzi [o meu e-mail e palavra-passe / o número do meu cartão de crédito / o meu documento de identidade / um código de dois fatores]. Por favor, cria-me um plano de recuperação calmo passo a passo para os próximos 30 minutos, por ordem de prioridade. Depois diz-me o que devo monitorizar durante as próximas duas semanas."

Um lembrete: a IA pode estar seguramente errada sobre aspetos legais, números de contacto ou direitos de recuperação no teu país específico. Usa a IA para pensar, não para substituir uma verificação rápida com o banco ou autoridade real.

A quem ligar?

A ordem é quase sempre a mesma:

  1. O teu banco — se houver dinheiro ou dados de cartão envolvidos. O número oficial no verso do teu cartão ou na aplicação do teu banco, nunca o da mensagem.
  2. A organização real que está a ser imitada. Encontra tu mesmo a sua página de contacto oficial e reporta o phishing — guardam registos e usam-nos para retirar sites falsos.
  3. A plataforma de onde a mensagem veio (fornecedor de e-mail, operador de SMS, mensageiro). A maioria tem uma função de um clique "reportar phishing" ou "reportar burla".
  4. A autoridade antifraude do teu país.

Encontrar os contactos mais recentes para o teu país com IA:

"Estou em/no [teu país]. Lista os organismos oficiais governamentais e policiais a quem devo reportar uma tentativa de phishing ou fraude online — autoridade antifraude, centro nacional de cibersegurança, unidade de cibercrime da polícia, ouvidoria bancária, eventual short-code SMS antispam telecom. Para cada um, dá o URL oficial e o telefone público, e diz-me qual contactar primeiro consoante (a) tenha saído dinheiro, (b) apenas uma palavra-passe tenha sido dada, ou (c) um documento de identidade tenha sido entregue. Cita a fonte oficial para cada. Se algo puder estar desatualizado, diz isso explicitamente."

Uma breve lista para o espaço lusófono (para os dados mais atualizados, prefere o prompt IA acima):

Se o teu país não estiver na lista, usa o prompt IA acima ou procura "[teu país] centro nacional de cibersegurança" ou "[teu país] denúncia antifraude". A maioria tem um único portal oficial.

Quando escalar para além do chat

Fontes e leitura adicional