Phishing é uma mensagem que finge vir de alguém em quem você confia, como um banco, uma transportadora, seu empregador ou um amigo, para que você clique em um link, abra um arquivo ou entregue uma senha. Ela chega por e-mail, SMS, aplicativos de mensagens e ligações. As mensagens costumam ser convincentes, mas têm alguns hábitos em comum.
O que uma mensagem de phishing costuma querer?
Quase toda mensagem de phishing quer uma de três coisas: que você entre em uma página controlada pelo remetente, que abra um anexo que instala algo nocivo, ou que envie dinheiro ou informações por causa de um problema inventado. A história em torno do pedido muda, mas o objetivo continua o mesmo.
Entre as histórias comuns estão uma conta bloqueada, uma entrega perdida, uma fatura em aberto, um reembolso inesperado, um prêmio ou um parente em apuros que precisa de ajuda imediata. Trate qualquer mensagem que peça uma senha, um código de verificação, um pagamento ou uma cópia de documento de identidade como algo a verificar antes de agir.
Quais sinais denunciam uma mensagem de phishing?
Nenhum sinal isolado prova que uma mensagem é falsa, e boas falsificações conseguem evitar todos eles. Mesmo assim, vale conferir estes pontos todas as vezes:
Pressão. A mensagem diz que você tem poucas horas, que sua conta será encerrada ou que algo ruim acontecerá se você esperar.
Um endereço de remetente parecido, mas errado, com uma letra trocada ou uma palavra a mais no domínio.
Um link cujo texto visível não corresponde ao destino. No computador, você pode passar o cursor sobre ele; no celular, pode manter o dedo pressionado para ver o endereço.
Um anexo inesperado, sobretudo um arquivo zip, uma fatura que você não pediu ou um arquivo que pede para ativar macros.
Um pedido de pagamento com cartões-presente, criptomoedas ou transferência bancária para uma conta nova.
O que fazer antes de clicar?
Pare e vá mais devagar. A pressão é a ferramenta da qual o remetente depende, então reservar alguns minutos tira boa parte da vantagem dele. Não responda, não ligue para um número da mensagem e não abra o link nem o anexo.
Depois, confira a informação por um caminho em que você já confia. Abra o aplicativo da empresa ou digite o endereço dela você mesmo no navegador, e procure o mesmo aviso na sua conta. Ligue para o número impresso no seu cartão ou no site oficial da empresa. Se a mensagem parecer vir de um colega ou parente, entre em contato de outra forma, como uma ligação, e pergunte se foi ele que enviou.
Por que SMS e ligações também fazem parte do phishing?
O phishing não se limita ao e-mail. São comuns SMS sobre encomendas, pedágios ou alertas do banco, assim como ligações de alguém que diz trabalhar no seu banco ou em uma equipe de suporte. Quem liga pode fazer o número na sua tela parecer quase qualquer um, então o número exibido não prova nada.
Um banco de verdade não pede que você transfira dinheiro para uma “conta segura”, e uma equipe de suporte de verdade não pede um código que acabou de ser enviado ao seu celular. Se quem liga criar urgência, desligue e retorne usando um número que você mesmo encontrou. O mesmo vale para mensagens de voz e para mensagens da conta invadida de um amigo pedindo dinheiro.
E se você já clicou ou digitou uma senha?
Isso acontece com pessoas cuidadosas, e agir rápido faz uma diferença real. Siga estes passos em ordem:
Afaste-se do problema. Se você abriu um arquivo e acha que ele executou algo, desligue a conexão de rede desse dispositivo e mantenha-a desligada até que ele seja verificado.
Troque a senha da conta envolvida, de preferência em outro dispositivo. Se você usava essa senha em outros lugares, troque-a lá também.
Ative a verificação em duas etapas, de preferência com uma chave de acesso ou um aplicativo autenticador, e encerre as outras sessões nas configurações da conta.
Entre em contato com seu banco imediatamente se tiver compartilhado dados do cartão ou bancários. Peça que bloqueiem o cartão ou fiquem atentos a atividades incomuns.
Procure alterações que você não fez, como novas regras de encaminhamento no seu e-mail, novos endereços de recuperação ou acessos desconhecidos.
Denuncie a mensagem ao serviço que ela imitava e avise seus contatos se a conta enviou mensagens em seu nome.
Como tornar o phishing menos prejudicial desde o início?
Você não consegue impedir que todas as mensagens cheguem, então o objetivo é limitar o dano quando uma passa. Use uma senha diferente para cada conta e guarde-as em um gerenciador de senhas, que também ajuda porque não preenche uma senha em um site com o endereço errado. As chaves de acesso vão além, já que não podem ser digitadas em uma página falsa.
Mantenha o celular e os aplicativos atualizados e tenha cuidado com aplicativos e arquivos de fora das lojas oficiais. Limite o que fica guardado em lugares que uma única senha roubada pode abrir. Cópias do passaporte, de documentos fiscais ou de contratos não precisam ficar na sua caixa de entrada, onde uma única mensagem de phishing bem-sucedida poderia expor todas elas.
Este é um ponto em que o Revault pode ajudar. Ele guarda fotos, documentos e arquivos em um cofre criptografado no seu dispositivo, sem uma conta do Revault para ser alvo de phishing. Isso não impede o envio de uma mensagem falsa, mas mantém seus arquivos mais sensíveis fora da caixa de entrada e das contas na nuvem. Nenhuma ferramenta substitui o bom senso, então o hábito que mais protege é o simples: quando uma mensagem pedir algo urgente, verifique por outro meio primeiro.