Clicou em um link de phishing? Saiba o que fazer

Clicar em um link de phishing está longe de ser ideal, mas nem sempre significa um desastre. 

Algumas vezes, o risco é baixo e nada acontece. Em outras, você pode ter seus dados roubados, sofrer a instalação de malware no seu dispositivo ou ver suas contas online sendo invadidas. Seja como for, agir rapidamente da forma correta pode fazer toda a diferença. 

Neste guia, vamos examinar o que pode acontecer quando você clica em um link de phishing, o que fazer imediatamente e como evitar novos ataques.

O que acontece quando você clica em um link de phishing?

Os links de phishing são projetados para serem clicados. Para isso, eles se passam por marcas conhecidas, imitam sites legítimos ou usam endereços de sites enganosos. Basta um clique no lugar errado para desencadear uma série de transtornos relacionados à segurança, muitas vezes sem você perceber.

Vamos examinar o que pode acontecer ao clicar em um link de phishing.

Você pode entregar seus dados pessoais sem perceber

Alguns links de phishing podem levar a formulários genéricos ou que parecem originais, que podem solicitar dados aparentemente inofensivos, como nome, data de nascimento ou endereço de e-mail. Muitas vezes, a desculpa é uma atualização da sua conta ou confirmação da sua identidade. Como não é solicitada nenhuma forma de login, você não se importa muito. 

Mas essas informações podem ser suficientes para que os cibercriminosos roubem sua identidade, façam compras fraudulentas, redefinam suas senhas ou criem golpes de engenharia social. Eles também podem coletar seus dados aos poucos, para criar um perfil completo sobre você. 

Em alguns casos, basta clicar no link para expor sua localização ou detalhes do dispositivo. Com essas informações, os invasores podem iniciar golpes com base na sua localização ou explorar vulnerabilidades do sistema operacional.

Você pode terminar em uma página de login falsa

Ao clicar em um link de phishing, você pode terminar em uma página de login falsa, uma cópia convincente da original, que pode ser do seu banco, e-mail ou conta de rede social. 

Essas páginas são projetadas com o logotipo, o layout e até o esquema de cores da autêntica para enganar as vítimas e fazer com que elas compartilhem dados pessoais sensíveis. Como cada detalhe é uma imitação do original, você pode não perceber que há algo errado até começar a ver atividades estranhas ou não conseguir mais entrar nas suas contas. 

Ao chegar a uma dessas páginas, ela solicita que você digite seu nome de usuário e senha. Assim, você pode acabar entregando esses dados aos hackers. A partir daí, eles podem:

• Acessar suas contas reais;
• Mudar sua senha e impedir que você faça login;
• Ler e coletar suas mensagens sensíveis, dados financeiros ou arquivos pessoais;
• Usar suas contas para atacar outras pessoas, como familiares ou colegas de trabalho.

Você pode instalar malware acidentalmente

Nem todos os links de phishing precisam te enganar para fazer com que você forneça suas informações. Alguns vão ao ataque e implantam código malicioso no seu dispositivo assim que você clica neles. Esses ataques são especialmente perigosos porque podem oferecer pouco tempo, ou nenhum, para você perceber ou reagir, já que o malware começa a se espalhar quase imediatamente. 

Estes são alguns tipos de malware que costumam usar links de phishing como mecanismo de disseminação:

• Keylogger: registra tudo que você digita, como senhas, números de cartão de crédito e mensagens privadas;
• Spyware: rastreia sua navegação, teclas pressionadas e uso de aplicativos para vigilância ou roubo de identidade;
• Ransomware: bloqueia ou criptografa seus arquivos e exige o pagamento de um resgate; 
• RAT (cavalo de Troia de acesso remoto): permite que invasor controle o dispositivo comprometido remotamente.

Você pode perder acesso ao seu e-mail ou às suas contas

Se o ataque de phishing roubar o login dos seus e-mails, o criminoso poderá ter em mãos a chave mestra de todas as suas contas. Isso acontece porque a maioria dos aplicativos e serviços, como bancários, plataformas sociais e até mesmo lojas online, usa seu e-mail para gerenciar logins e redefinir senhas. 

Depois de entrar, ele pode:

• Impedir o seu acesso: a maioria dos hackers altera a sua senha para que você não possa mais entrar;
• Dificultar a recuperação: alguns podem ativar a 2FA (autenticação de dois fatores) usando seu próprio número de telefone ou aplicativo para dificultar a recuperação da conta;
• Redefinir senhas: com o acesso à sua caixa de entrada, ele pode impedir seu acesso a outras contas usando a opção Esqueci a senha;
• Fingir ser você: ele pode enviar e-mails de golpe direcionados a sua família, seus amigos e colegas como parte de uma campanha de spear phishing;
• Roubar informações sensíveis: ele pode vascular a sua caixa de entrada em busca de informações como extratos bancários, documentos fiscais ou conversas pessoais;
• Vender o acesso ao seu e-mail: os hackers podem vender acesso à sua caixa de entrada na dark web ou mesmo pedir um resgate por ele.

O que você deve fazer imediatamente se clicar em um link de phishing

Se você clicou em um link de phishing, é preciso agir rápido, mas sem entrar em pânico. 

Veja abaixo um guia passo a passo sobre o que fazer imediatamente para conter o dano.

1. Não digite nenhuma informação

Se o link abrir uma página ou um formulário que solicite dados, não interaja. Não digite nada, não toque nos botões nem clique nos links: nem mesmo clique em “voltar” ou “cancelar”. Feche imediatamente a página. 

No computador, pressione Ctrl + W (no Windows) ou Command + W (no Mac) para fechar a guia. No celular, deslize com cuidado o aplicativo para fechar.

No Android, você pode forçar o fechamento do aplicativo no Gerenciador de aplicativos. Para isso:

1. Abra Configurações e selecione Aplicativos e notificações.
2. Selecione Ver todos os (x) aplicativos e role o aplicativo que você quer fechar para baixo. Nesse caso, provavelmente é seu navegador, como Chrome, Firefox ou Samsung Internet.
3. Selecione o aplicativo e toque em Forçar parada.
4. Toque em OK para confirmar.

Se já começou a digitar informações, pare tudo e saia da página imediatamente. O objetivo é cortar rapidamente o contato para que o site não tenha chance de capturar seus dados sigilosos.

2. Desconecte-se da internet

Saia da internet assim que possível para impedir que qualquer malware possa enviar ou receber dados. Se estiver usando o celular, acesse Central de Controle ou Configurações e ative o Modo Avião. Mantenha o dispositivo desconectado da internet até terminar de remover as possíveis ameaças. 

Desconectar é importante porque interrompe qualquer atividade do malware. Isso pode ajudar a:

• Impedir a conclusão do download do malware: alguns tipos de malware são implantados aos poucos. Cortar a conexão rapidamente pode impedir que todas as partes cheguem ao seu dispositivo;
• Bloquear contato com o servidor de comando e controle: muitas vezes, o malware tenta entrar em contato com sua base para buscar novas instruções ou cargas adicionais. Cortar a conexão pode impedir essa comunicação;
• Interromper a atividade do ransomware: sem acesso à internet, o ransomware pode não conseguir recuperar as chaves de criptografia ou se espalhar para outros dispositivos na rede;
• Impedir vazamentos de dados em andamento: ficar offline pode impedir que o malware envie seus arquivos, lista de teclas pressionadas ou dados de login ao invasor.

3. Execute uma verificação completa de malware

Uma das melhores ações depois de clicar em um link de phishing é executar uma verificação completa de malware. Mesmo se não digitar qualquer informação pessoal ou notar algo estranho, uma verificação profunda de um antivírus confiável, como o Surfshark Antivirus, pode ajudar a detectar e remover ameaças que possam ter se infiltrado. 

Evite verificações parciais ou rápidas, pois elas verificam apenas os pontos comuns, como memória, arquivos de inicialização e pastas do sistema. Elas podem não encontrar malware profundamente escondido no seu sistema, como em pastas temporárias ou tarefas programadas. Uma verificação completa leva mais tempo, mas não deixa nada para trás, como arquivos, pastas, processos em execução e configurações. 

Isso é muito importante em casos de ataques drive-by, que exploram vulnerabilidades de navegador ou baixam automaticamente malware assim que a página maliciosa é carregada. Uma verificação completa também é mais eficaz para encontrar ameaças que ficam inativas, fingindo serem inofensivas, como rootkits ou cavalos de Troia.

4. Faça backup de arquivos importantes

Antes de fazer mais alterações, faça backup dos arquivos importantes caso o malware cause danos silenciosos que apareçam mais tarde. Como o dispositivo não está conectado à internet, a maneira mais segura é usar um HD externo ou pendrive. Faça isso apenas depois de remover qualquer malware existente, para não copiar acidentalmente a ameaça junto com o backup. 

Concentre-se nos documentos pessoais, fotos, planilhas e pastas de trabalho. Ignore os arquivos do sistema ou programas instalados, pois eles podem estar comprometidos. Depois disso, você terá uma cópia limpa para restaurar mais tarde. No final, se for necessário redefinir ou limpar seu sistema, você não perderá seus arquivos vitais.

5. Troque suas senhas

Em seguida, troque todas as suas senhas para proteger suas contas online. Faça isso com um dispositivo limpo que você não tenha usado depois de clicar no link de phishing. Comece pelo seu e-mail principal, depois passe para contas de alto risco, como serviços bancários online. 

Veja estas dicas rápidas para criar senhas fortes:

• Use entre 12 e 16 caracteres;
• Misture letras maiúsculas e minúsculas, números e caracteres especiais;
• Não use senhas clichês, como “senha” e “abretesesamo”;
• Também evite substituições óbvias como “senh@”;
• Crie senhas exclusivas para cada site;
• Use um gerenciador de senhas;
• Verifique regularmente suas senhas.

Sempre que possível, ative a 2FA. Por exigir uma forma de verificação adicional, ela acrescenta uma camada extra de segurança aos seus logins.

6. Monitore se há atividade suspeita nas suas contas

Faça login nas suas contas de e-mail, banco, rede social e serviços de nuvem, e verifique se algo parece estranho. Examine os registros de atividade ou segurança para ver se há tentativas de login de locais ou dispositivos desconhecidos, ou alterações de senha que você não fez. 

Na sua conta de e-mail, verifique as pastas de mensagens enviadas e a lixeira para ver se algo foi encaminhado sem seu conhecimento. Em contas financeiras, examine se há algo estranho nas transações recentes e no histórico de login. 

Continue a monitorar essas contas por algumas semanas. Se o trabalho for muito exaustivo, veja se os serviços oferecem alertas em tempo real para logins, transações e outras atividades na conta para não precisar conferir tudo manualmente.

7. Denuncie a tentativa de phishing

Depois de limpar seu dispositivo, denuncie o link de phishing para impedir que outros caiam no mesmo golpe. Se ele veio em um e-mail, retorne à mensagem e use o botão Denunciar spam ou Denunciar phishing. Só tenha cuidado para não clicar no link. 

Se o e-mail do golpe dizia ter sido enviado por uma empresa muito conhecida, informe a ela pela página de ajuda oficial ou encaminhe a mensagem ao endereço de phishing da empresa. Por exemplo, phishing@paypal.com para o PayPal ou reportascam@amazon.com para a Amazon. Você também pode fazer uma denúncia para agências do governo, como a FTC (Federal Trade Commission) nos EUA e o National Cyber Security Centre no Reino Unido. 

Não se esqueça de avisar amigos, familiares, colegas e outros contatos. Se os criminosos tiveram acesso à sua conta, eles poderão usá-la para enviar e-mails de phishing às pessoas que você conhece, o que tornará o golpe mais convincente.

Como evitar ataques de phishing

A melhor maneira de se proteger contra golpes de phishing é evitar clicar neles. Para isso, você precisa aprender a identificar sinais de alerta, proteger sua identidade e usar toda ferramenta de cibersegurança à sua disposição para evitar cair nos golpes de phishing.

Reconheça os sinais de alerta de phishing

Esses golpes podem ser convincentes e traiçoeiros, mas todos tendem a seguir o mesmo padrão. Você precisa prestar atenção em: 

URLs que não correspondem
Examine com atenção o endereço de e-mail do remetente e veja se ele corresponde ao site oficial da empresa que diz representar. Nomes de domínio ligeiramente diferentes ou com erros de grafia são uma tática clássica dos golpistas. Por exemplo, surfsahrk.com ou sharksurf.com em vez de surfshark.com. 

Estratégias para criar medo
Frases como “Aja agora!”, “Sua conta será desativada hoje” ou “Último aviso” tentam criar pânico e fazer com que você se apresse e tome uma decisão sem pensar. O objetivo é fazer você clicar, responder ou compartilhar informações antes de refletir ou notar que há algo de errado.  

Erros de grafia e gramática
Preste atenção em como a mensagem é redigida. E-mails de phishing costumam estar cheios de erros de grafia e gramaticais. Em alguns casos, os golpistas chegam a incluir esses erros de propósito para eliminar os usuários mais cuidadosos.

Embora textos mal escritos sejam comuns em ataques de phishing, vale a pena lembrar que os golpistas também podem usar ferramentas de IA para melhorar sua redação. Se a mensagem parece que foi escrita pelo ChatGPT, tenha cuidado. Verifique bem o remetente antes de clicar em qualquer link.

Saudações genéricas
A maioria dos e-mails de phishing e mensagens de texto é enviada para muitas pessoas, já que se trata de uma questão de estatística. Por isso, eles geralmente começam com uma abertura vaga ou constrangedora, como “Olá, querido” ou “Prezado cliente.” Empresas legítimas, por outro lado, costumam usar seu nome para serem mais pessoais.

Links ou arquivos suspeitos
Se um e-mail ou mensagem pedir para clicar em um link ou baixar um arquivo que você não esperava, tenha muito cuidado. Empresas reais não costumam enviar links de login nem anexos sem motivo. E se o arquivo terminar em .exe, .zip ou .scr, é melhor simplesmente ignorar.

Ofertas boas demais para ser verdade
Muitas vezes, os golpes de phishing prometem prêmios como iPhones, reembolsos instantâneos ou recompensas por tempo limitado, tudo que é possível para chamar sua atenção e fazer você clicar imediatamente. Se a oferta parecer muito generosa, é mais seguro supor que é um golpe.

Use ferramentas de proteção

Mesmo os usuários mais cuidadosos podem errar, por isso, é importante preparar suas defesas contra links de phishing. 

Um bloqueador confiável, como o Clean Web da Surfshark, é um bom ponto de partida. Para lidar com os riscos de phishing, o Clean Web bloqueia anúncios, alertas falsos de vírus e rastreadores sorrateiros antes que sejam carregados. Isso significa menos armadilhas de phishing na sua frente quando estiver na internet. 

Use em conjunto com o Surfshark Antivirus para redobrar sua proteção contra phishing. Seu recurso de proteção web trabalha em segundo plano para verificar cada URL aberto e bloquear tudo que for sinalizado como perigoso.

Proteja sua identidade

Quanto menos dos seus dados pessoais os phishers tiverem, mais difícil será para eles direcionarem os ataques a você. Então, não compartilhe informações reais na internet a menos que seja realmente necessário. Considere usar o Alternative ID da Surfshark para gerar uma persona online. Você pode usar esse recurso para navegar, se inscrever em serviços e receber e-mails sem expor sua identidade ou seus dados de contato.  

Enquanto isso, o Surfshark Alert ajuda a monitorar seus dados pessoais. Se seu e-mail, senhas ou outras informações sigilosas aparecerem em uma violação de dados, você receberá um alerta imediatamente. Assim, você poderá trocar rapidamente as senhas comprometidas, ativar a 2FA e se preparar para ataques de phishing.

Mensagem final: mantenha a calma e proteja-se.

Se você, por acaso, clicar em um link de phishing, mantenha a calma e passe imediatamente para o controle de danos. Desconecte-se da internet, execute uma verificação completa de malware e atualize suas senhas como precaução. 

Mesmo assim, é muito melhor evitar toda essa confusão. Por isso, conheça os sinais de alerta dos ataques de phishing, mantenha sua identidade real longe da internet e use ferramentas de segurança online. Para manter uma proteção 24 horas, confira o Surfshark One, um pacote completo de cibersegurança com o Clean Web, o Antivirus, o Alternative ID e muito mais.

Proteger é melhor do que limpar

Evite as tentativas de phishing

Obter a Surfshark