Como reconhecer links perigosos recebidos por mensagem
Um toque num link errado pode bastar para perderes dados ou dinheiro. Aprende a ler um endereço como um especialista e a detetar os truques mais usados.
Quase todas as burlas digitais têm um ponto em comum: um link. Chega por SMS, por uma aplicação de mensagens ou por email, e leva a uma página que parece a do banco, dos CTT ou das Finanças. O Banco de Portugal tem alertado repetidamente para campanhas que imitam entidades conhecidas e pedem dados pessoais, bancários ou do cartão.
A defesa mais eficaz é simples: aprender a ler um endereço antes de tocar nele. Neste guia mostramos como. Para o contexto geral, lê também como evitar burlas através de aplicações de mensagens.
Como se lê um endereço web
Pega neste exemplo: https://loja.exemplo.pt/encomendas/123
- https:// — o protocolo. O «s» indica que a ligação é encriptada, não que o site é de confiança. Os sites falsos também usam https.
- loja. — um subdomínio. Quem tem o domínio pode criar os subdomínios que quiser.
- exemplo.pt — o domínio verdadeiro. É a parte que realmente importa.
- /encomendas/123 — o caminho, uma página dentro do site.
A regra de ouro: o domínio verdadeiro é o que está imediatamente antes da primeira barra «/», lido da direita para a esquerda a partir da terminação (.pt, .com…). Tudo o que está antes pode ser inventado.
| Endereço | Domínio real | Veredicto |
|---|---|---|
| https://www.ctt.pt/… | ctt.pt | Oficial |
| https://ctt.pt.entrega-pendente.com/… | entrega-pendente.com | Falso |
| https://ctt-pt.info/… | ctt-pt.info | Falso |
| https://portaldasfinancas.gov.pt.pagamento.xyz/… | pagamento.xyz | Falso |
Os truques mais usados
Domínios parecidos
Uma letra trocada, um hífen a mais ou uma terminação diferente: rn no lugar de m, 0 no lugar de o, .com em vez de .pt. Num ecrã pequeno, passam facilmente despercebidos.
Caracteres de outros alfabetos
Algumas letras do alfabeto cirílico ou grego são visualmente iguais às latinas. Um endereço pode parecer idêntico ao verdadeiro e ser outro. Tecnicamente, estes domínios são convertidos num formato que começa por xn--: se vires isso num endereço que dizia ser de uma marca portuguesa, desconfia.
Encurtadores de links
Serviços que transformam um endereço longo num curto escondem o destino. Têm usos legítimos, mas numa mensagem inesperada a pedir pagamentos são um alerta.
Números em vez de nomes
Um link do tipo http://185.23.…/login leva diretamente a um servidor, sem nome de domínio. Bancos e serviços públicos não fazem isso.
O «@» no endereço
Em https://[email protected], tudo o que está antes do @ é ignorado pelo navegador: o destino real é outro-site.com.
Códigos QR
Também há burlas com códigos QR em mensagens, cartazes ou autocolantes colados por cima dos verdadeiros. Antes de abrir, lê o endereço que a câmara mostra.
Mensagens que trazem um link: sinais extra
Muitas vezes, o próprio texto que acompanha o link denuncia a burla. Desconfia quando a mensagem:
- cria urgência («o seu pacote será devolvido hoje», «a sua conta será suspensa»);
- pede um pagamento pequeno (uma «taxa alfandegária» de poucos euros serve para obter os dados do cartão);
- chega de um número ou contacto desconhecido, ou de um amigo a falar de forma estranha;
- tem erros de português, formatação esquisita ou mistura de português do Brasil e de Portugal numa mensagem «oficial»;
- é sobre algo que não pediste: uma encomenda que não fizeste, um prémio de um concurso em que não participaste.
Um último cuidado: os burlões aproveitam momentos de pressa, como o fim do dia ou épocas de muitas compras online, quando esperamos encomendas. Se a mensagem chega exatamente quando estás à espera de algo, não é prova de que seja verdadeira — é precisamente por isso que resulta.
Como verificar um link sem o abrir
- Vê o endereço completo. Num computador, passa o rato por cima. No telemóvel, um toque longo no link costuma mostrar o endereço ou permitir copiá-lo.
- Aplica a regra do domínio descrita acima.
- Não uses o link: vai pelo caminho oficial. Se a mensagem fala de uma encomenda, abre a aplicação ou escreve tu o endereço do site da transportadora e procura o número da encomenda.
- Usa um verificador. Ferramentas como a verificação de sites da Navegação Segura da Google ou o VirusTotal analisam endereços suspeitos sem precisares de os abrir.
- Na dúvida, pergunta. Liga para a entidade pelo número oficial — nunca pelo que vem na mensagem.
O que o JaPassa faz para te proteger
No JaPassa, os links nas mensagens abrem fora da aplicação e alguns endereços pedem confirmação antes de abrir. Isso acontece quando o link:
- usa um número IP em vez de um nome;
- tem um domínio com caracteres especiais (o tal formato xn--);
- aponta para uma porta invulgar;
- inclui um nome de utilizador ou palavra-passe antes do domínio (o truque do @).
Nesses casos aparece «Abrir link?» com o domínio real à vista, para confirmares que é o que esperas. Links que tentam executar código no navegador nunca são abertos. Além disso, as pré-visualizações de links são preparadas no telemóvel de quem envia e seguem dentro da mensagem encriptada: quem recebe não contacta o site só por ver a pré-visualização.
Ainda assim, nenhuma proteção automática substitui a atenção: um domínio parecido, mas «normal», abre sem aviso. A regra do domínio continua a ser a tua melhor defesa.
Toquei num link suspeito. E agora?
- Não escrevas nada na página: nem dados pessoais, nem cartão, nem códigos.
- Se já escreveste dados bancários, liga ao banco imediatamente pelos canais habituais.
- Se escreveste uma palavra-passe, muda-a no site verdadeiro e em todos os sítios onde a usas.
- Se descarregaste um ficheiro, não o abras e apaga-o.
- Denuncia a mensagem e avisa quem te possa ter enviado o link, porque a conta dessa pessoa pode estar comprometida.
Para reconhecer os outros sinais de uma mensagem falsa, revê como identificar mensagens fraudulentas.