Você abre sua caixa de entrada e encontra um e-mail do seu banco: “Detectamos uma atividade suspeita na sua conta. Clique aqui para verificar imediatamente.” O logotipo está perfeito. O tom é urgente. O link parece oficial. Você clica — e em 30 segundos, suas credenciais estão nas mãos de um criminoso. Esse é o golpe mais antigo da internet — e continua sendo o mais eficaz.
Mais de 3,4 bilhões de e-mails maliciosos são enviados por dia no mundo. E mesmo com filtros de spam cada vez mais avançados, uma parcela significativa chega à caixa de entrada principal. O e-mail é o vetor número um de ataques cibernéticos — e o link dentro dele é a arma. Para entender o panorama completo dessa ameaça, veja nosso guia sobre como identificar phishing.
Por que o e-mail é o canal preferido dos golpistas
Diferentemente das redes sociais, onde o conteúdo é público e pode ser denunciado rapidamente, o e-mail é um canal privado. Não há comunidade vigilante para alertar sobre um e-mail falso. Cada mensagem é uma conversa individual entre remetente e destinatário — e essa privacidade beneficia o atacante.
Além disso, o e-mail carrega uma autoridade institucional implícita. Estamos condicionados a tratar e-mails de bancos, empresas e órgãos governamentais como comunicações oficiais. Os golpistas exploram exatamente essa confiança, criando réplicas tão perfeitas que até profissionais de TI são enganados.
Técnica 1: Passe o mouse antes de clicar
A técnica mais simples e eficaz para verificar links em e-mails é passar o mouse sobre o link sem clicar (no celular, segure o dedo sobre o link). Isso revela a URL real de destino, que geralmente aparece no canto inferior do navegador ou em uma dica flutuante.
O que observar:
- Domínio real: O texto visível pode dizer “www.seubanco.com.br”, mas a URL real de destino aponta para “seubanco-verificação.xyz”. O domínio real é sempre o que aparece ao passar o mouse, nunca o texto exibido
- Subdomínios enganosos: Golpistas usam subdomínios como “seubanco.com.br.ataque.net”. O domínio real aqui é “ataque.net” — tudo antes é subdomínio decorativo
- Caracteres homográficos: Letras de outros alfabetos que parecem idênticas às latinas. Um “a” cirílico é visualmente idêntico ao “a” latino, mas leva a um domínio completamente diferente
Técnica 2: Verifique o domínio do remetente
O campo “De:” (From) do e-mail mostra um nome amigável, mas o endereço real pode ser completamente diferente. Clique no nome do remetente para expandir o endereço completo e análise:
- Domínio legítimo: Um e-mail do Banco do Brasil vem de @bb.com.br, não de @bb-alertas.com ou @banco-brasil.net
- Variações suspeitas: Atenção a domínios como @n0tificacao-itau.com (número zero no lugar da letra “o”) ou @bradesc0.com
- Domínios gratuitos: Nenhuma empresa legítima envia comunicações oficiais de endereços @gmail.com, @hotmail.com ou @outlook.com
Atenção: O campo “De:” pode ser falsificado (spoofed) mesmo com um domínio aparentemente correto. Por isso, nunca confie apenas no remetente — sempre verifique também o link de destino.
Técnica 3: Reconheça links falsificados (spoofed)
Golpistas usam diversas técnicas para fazer um link malicioso parecer legítimo:
- Texto âncora enganoso: O texto visível diz “Acesse sua conta” e linkava para um site fraudulento. O texto nunca garante o destino real
- URLs longas com parâmetros: Links enormes com dezenas de parâmetros (após o “?”) dificultam a identificação do domínio real. O domínio é sempre o trecho entre “://” e a primeira “/”
- Redirecionamentos encadeados: O link inicial aponta para um site legítimo (como um encurtador), que redireciona para outro, que finalmente chega ao site malicioso. Cada salto dificulta o rastreamento
- Protocolo HTTP em vez de HTTPS: Bancos e empresas sérias usam exclusivamente HTTPS. Se o link começa com “http://” (sem o “s”), desconfie imediatamente
Boas práticas de segurança para e-mails corporativos
No ambiente de trabalho, os riscos se multiplicam. Um clique errado de um funcionário pode comprometer toda a rede corporativa. Estas são as práticas essenciais:
- Nunca clique em links de “ação urgente”: Se um e-mail pede ação imediata sob pena de bloqueio de conta, exclusão de dados ou multa, acesse o site diretamente pelo navegador — nunca pelo link do e-mail
- Confirme solicitações por outro canal: Se um colega ou superior envia um e-mail pedindo transferência, aprovação ou compartilhamento de dados, confirme por telefone ou pessoalmente antes de agir
- Use ferramentas de verificação de URLs: Antes de clicar em qualquer link em e-mails corporativos, copie o endereço e verifique em uma ferramenta que analisa a URL contra bases de segurança. O Vortex Check oferece essa análise em segundos
- Mantenha software atualizado: Clientes de e-mail desatualizados podem não exibir alertas de segurança ou renderizar conteúdo malicioso automaticamente
- Reporte e-mails suspeitos: Encaminhe para a equipe de TI ou segurança da empresa. Cada e-mail reportado ajuda a melhorar os filtros para toda a organização
O que acontece quando você clica em um link malicioso
Muitas pessoas acreditam que “só clicar” não faz mal — que o perigo está em inserir dados. Isso não é verdade. Dependendo do tipo de ataque, as consequências de um único clique podem incluir:
- Download automático de malware: Alguns sites exploram vulnerabilidades do navegador para instalar software malicioso sem qualquer interação adicional. Basta carregar a página
- Roubo de sessão: O link pode capturar cookies de autênticação, permitindo ao atacante acessar suas contas sem precisar da sua senha
- Phishing de credenciais: A página de destino imita perfeitamente o site do seu banco ou e-mail, capturando usuário e senha quando você tenta fazer login
- Rastreamento e perfil: O link coleta informações sobre seu dispositivo, localização e comportamento, que serão usadas em ataques futuros mais direcionados
- Ransomware: Em ambientes corporativos, um clique pode desencadear a criptografia de todos os arquivos da rede, com exigência de resgate em criptomoedas
Checklist rápido para e-mails suspeitos
Antes de interagir com qualquer e-mail que contenha links, faça estas verificações:
- O remetente usa o domínio oficial da empresa?
- O e-mail cria senso de urgência ou medo?
- O link de destino (ao passar o mouse) corresponde ao site oficial?
- O e-mail pede dados sensíveis (senhas, CPF, dados bancários)?
- Há erros gramaticais ou formatação incomum?
- Você esperava esse e-mail ou ele chegou sem contexto?
Se qualquer uma dessas respostas levantar dúvida, não clique. Acesse o serviço diretamente pelo navegador, digitando o endereço manualmente. Para aprender mais técnicas de verificação de links, veja nosso guia completo sobre como verificar links seguros.
Proteja sua caixa de entrada
O e-mail continua sendo a principal porta de entrada para ataques cibernéticos — e a tendência é piorar com o uso de inteligência artificial para criar mensagens cada vez mais convincentes. A melhor defesa combina ceticismo saudável com ferramentas de verificação.
Nunca clique por impulso. Sempre verifique o remetente e o destino do link. E quando a dúvida persistir, use tecnologia para confirmar se o link é seguro antes de arriscar seus dados.
Experimente o Vortex Check gratuitamente e verifique qualquer link suspeito recebido por e-mail. Análise em tempo real contra dezenas de bases de segurança, com resultado em segundos. Confira também nossos planos e preços.
