Para verificar se um link é seguro antes de clicar, analise o endereço completo, o contexto da mensagem e o destino por uma fonte independente. O caminho mais confiável é não abrir o link recebido: copie ou visualize a URL, confira o domínio e, se ainda houver dúvida, consulte o Google Safe Browsing ou o VirusTotal.
Esse cuidado vale para links enviados por e-mail, SMS, WhatsApp, redes sociais e até por pessoas conhecidas. Uma conta pode ter sido invadida, e o cadeado do navegador não transforma uma página falsa em página oficial.
1. Não clique para descobrir para onde o link leva
Em um computador, passe o mouse sobre o link sem clicar. O endereço costuma aparecer no canto inferior do navegador. No celular, mantenha o dedo pressionado sobre o link e use a opção de copiar ou visualizar o endereço — sem tocar na opção que o abre.
Links encurtados, como os que usam domínios de redirecionamento, escondem o destino real. Eles não são necessariamente maliciosos, mas dificultam a conferência. Quando não for possível expandir o endereço com segurança, trate-o como suspeito e abra o site oficial digitando a URL no navegador.
2. Leia o domínio da direita para a esquerda
O trecho mais importante da URL é o domínio registrável, normalmente formado pelo nome e pela extensão antes da primeira barra. Em https://conta.exemplo.com.br/login, o domínio é exemplo.com.br; “conta” é apenas um subdomínio.
Já em https://exemplo.com.br.login-seguro.ru/, o domínio real é login-seguro.ru. O texto “exemplo.com.br” foi colocado antes apenas para enganar. Desconfie também de letras trocadas, hífens estranhos, extensões inesperadas e endereços enormes com muitos parâmetros.
3. Não confunda HTTPS com legitimidade
O https:// indica que a conexão é criptografada. Isso é importante para evitar que terceiros leiam facilmente os dados durante o transporte, mas não confirma quem controla o site. Páginas falsas também podem ter certificado e cadeado.
Use o HTTPS como requisito básico, não como selo de autenticidade. A pergunta decisiva continua sendo: o domínio é exatamente o da instituição que afirma ter enviado a mensagem?
4. Analise o contexto antes de analisar a página
O golpe costuma tentar acelerar sua decisão. O fascículo do CERT.br recomenda atenção a ameaças, pedidos de sigilo, ofertas boas demais, apelos emocionais e senso de urgência. Mensagens sobre recadastramento, CPF cancelado, débito pendente, emprego, pontos ou bônus são exemplos comuns de isca.
- Você realmente tem conta na empresa citada?
- O contato é o mesmo que você já usou com a instituição?
- O valor, a cobrança ou o pedido fazem sentido?
- Há erros de escrita, pressão para agir ou pedido de senha e código?
Mesmo que o texto pareça bem escrito, não entregue credenciais, códigos de autenticação ou dados de cartão a partir de um link inesperado.
5. Confirme pelo site ou canal oficial
Se a mensagem disser que há uma fatura, bloqueio ou problema na conta, ignore o atalho e entre no aplicativo ou site digitando o endereço que você já conhece. Também é possível procurar o telefone ou e-mail no cartão, contrato ou página oficial — não na própria mensagem.
Esse método é mais seguro porque separa a informação do canal usado pelo golpista. Para entender um caso parecido no Gmail, veja também o guia do JSMS sobre como identificar um e-mail falso antes de clicar.
6. Consulte o Google Safe Browsing
O status de site do Google Safe Browsing mostra se o sistema identificou conteúdo perigoso associado ao endereço. Cole a URL na ferramenta, examine o resultado e não prossiga se houver alerta.
O serviço é útil para detectar ameaças conhecidas: o Google explica que o Safe Browsing exibe avisos antes de sites perigosos e downloads nocivos. Ainda assim, um resultado sem alerta não é garantia de que o site seja legítimo ou de que a mensagem seja verdadeira. Golpes novos podem ainda não aparecer na base.
7. Use um segundo verificador quando fizer sentido
O VirusTotal permite submeter uma URL para análise e reúne resultados de diferentes mecanismos. Ele pode ajudar quando o domínio é desconhecido ou quando o navegador não mostra um alerta claro.
Não cole em scanners públicos links que contenham token de recuperação de senha, convite privado, código de acesso ou dados pessoais. Se a URL tiver esse tipo de informação, não a compartilhe com um serviço de terceiros; prefira abrir o aplicativo oficial e revogar o convite ou trocar a credencial.
O que fazer se você já clicou?
Clicar não significa automaticamente que sua conta foi perdida. O risco aumenta quando você digitou dados, autorizou alguma ação, baixou um arquivo ou instalou um aplicativo. Feche a página e siga esta ordem:
- Não preencha formulários nem aceite notificações, downloads ou permissões.
- Se um arquivo foi baixado, não o abra; remova-o e faça uma verificação de segurança no dispositivo.
- Se informou uma senha, entre no serviço pelo endereço oficial, troque-a e encerre sessões desconhecidas.
- Ative a autenticação em dois fatores e revise aplicativos conectados e métodos de recuperação.
- Se envolveu banco, cartão ou Pix, contate a instituição imediatamente pelo canal oficial e monitore a conta.
A FTC recomenda não clicar em links ou anexos inesperados, procurar a empresa por um endereço conhecido e proteger as contas com autenticação de dois fatores. No Brasil, também vale denunciar a mensagem na plataforma e avisar quem supostamente a enviou por outro meio.
Checklist rápido antes de abrir qualquer link
- Remetente: você esperava essa mensagem?
- Contexto: existe urgência, ameaça ou prêmio fácil?
- Endereço: o domínio é exatamente o oficial?
- Destino: dá para acessar a instituição digitando a URL manualmente?
- Dados: a página está pedindo senha, código ou cartão sem motivo?
- Verificação: Safe Browsing ou outro scanner encontrou alerta?
Se uma dessas respostas parecer estranha, não clique. Na dúvida, o custo de abrir o aplicativo oficial é pequeno; o custo de entregar uma senha ou código a um golpista pode ser bem maior.
Perguntas frequentes
HTTPS significa que o link é seguro?
Não. HTTPS protege a transmissão entre o navegador e o servidor, mas não prova que o site é legítimo. Um golpe também pode usar HTTPS; confira o domínio e o contexto da mensagem.
Posso confiar em um link enviado por alguém conhecido?
Não automaticamente. A conta da pessoa pode ter sido invadida ou a mensagem pode ter sido encaminhada sem verificação. Confirme por outro canal se o pedido parecer estranho.
O Google Safe Browsing garante que um site é seguro?
Não. O serviço ajuda a identificar ameaças conhecidas, mas um resultado sem alerta não é certificado de segurança. Continue conferindo o endereço e evite informar dados a partir de mensagens inesperadas.
O que fazer se eu digitei minha senha em um site falso?
Acesse o serviço pelo endereço digitado manualmente, troque a senha imediatamente, encerre sessões abertas e ative a verificação em duas etapas. Se houver dados bancários envolvidos, avise a instituição pelo canal oficial.