Você abre o e-mail e encontra uma história surpreendente: uma pessoa desconhecida está gravemente doente, herdou ou possui milhões de dólares e decidiu entregar parte dessa fortuna justamente a você para uma obra de caridade.
Trate esse tipo de mensagem como golpe. Não responda, não envie documentos, não forneça dados bancários e não faça nenhum pagamento para receber o dinheiro prometido.
O Banco Central orienta explicitamente a desconfiar de promessas de herança, doação ou prêmios em moeda estrangeira e a não transferir dinheiro para receber valores prometidos.
O mais curioso é que a primeira mensagem pode não pedir senha, Pix ou cartão. Pode nem ter um link.
Isso não torna o e-mail seguro.
Em muitos desses golpes, a primeira etapa serve apenas para descobrir quem acreditou na história e está disposto a continuar conversando.
Neste artigo
Um caso típico: doença grave, milhões de dólares e muita urgência
O e-mail que motivou este artigo apresenta vários sinais clássicos ao mesmo tempo.
Uma desconhecida afirma estar com câncer e diz ter pouco tempo de vida. Em seguida, informa possuir US$ 18,5 milhões, dinheiro que teria sido deixado pelo marido falecido, e pretende entregá-lo para trabalhos de caridade.
Ela pede uma resposta rápida porque precisa discutir algo “muito importante”.
É uma combinação poderosa de três coisas:
emoção, fortuna e urgência.
O CERT.br recomenda desconfiar justamente de mensagens que oferecem quantias extraordinárias, exigem rapidez, utilizam histórias pouco prováveis ou tentam induzir o destinatário a agir antes de verificar o que está acontecendo.
A pergunta mais simples costuma desmontar a história:
por que uma pessoa desconhecida, com milhões disponíveis, escolheria aleatoriamente o seu endereço de e-mail para entregar uma fortuna?
Mas o e-mail ainda não pediu dinheiro. Pode ser verdadeiro?
Não use isso como sinal de legitimidade.
Alguns golpes precisam primeiro iniciar uma conversa.
Há casos documentados de falsas heranças em que a primeira abordagem apenas apresenta uma história sobre milhões disponíveis e pede que o destinatário entre em contato. Depois que a vítima responde, começam as solicitações de informações pessoais, dados financeiros ou pagamentos.
Isso explica por que algumas mensagens parecem estranhamente inofensivas.
Elas não precisam aplicar todo o golpe no primeiro e-mail.
Precisam apenas conseguir uma resposta.
O que pode acontecer se eu responder?
A conversa pode evoluir aos poucos.
Primeiro, o golpista pode pedir seu nome completo e telefone.
Depois podem surgir solicitações de endereço, documento de identidade, dados bancários ou informações necessárias, supostamente, para preparar a transferência.
Em outra etapa pode aparecer algum custo inesperado:
- taxa de liberação;
- imposto;
- despesa bancária;
- honorário de advogado;
- certificado;
- taxa internacional;
- custo administrativo.
A promessa continua sendo muito maior que a cobrança.
Essa diferença é justamente o que tenta tornar o pagamento aceitável:
“Vou receber milhões, então pagar alguns milhares para liberar o dinheiro parece valer a pena.”
O dinheiro prometido, porém, não existe.
O Banco Central recomenda não realizar pagamentos para ter acesso a valores prometidos e alerta especificamente para falsas heranças e doações.
O nome do remetente prova alguma coisa?
Não.
Aplicativos de e-mail destacam o nome de exibição, mas isso não significa que aquela seja realmente a identidade de quem enviou a mensagem.
No exemplo que motivou este artigo, aparece o nome de uma suposta senhora, mas ao expandir os detalhes surge um endereço de remetente que não corresponde naturalmente à identidade apresentada na história.
Isso é um sinal de alerta.
Não significa que todo endereço estranho seja necessariamente fraudulento, pois empresas podem usar serviços externos para envio de mensagens. Mas uma identidade alegada que não combina com o endereço merece verificação.
Google e Yahoo recomendam conferir o endereço real do remetente, e não apenas o nome mostrado na tela. Também alertam para técnicas de falsificação de remetente e endereços criados para parecer legítimos.
Se o endereço parecer correto, então posso confiar?
Também não.
O endereço é uma pista, não um certificado de autenticidade.
Remetentes podem ser falsificados, contas legítimas podem ser comprometidas e criminosos podem registrar domínios visualmente parecidos com os verdadeiros.
Por isso, quando uma mensagem diz vir de banco, loja, governo ou outra empresa conhecida, não use o telefone ou link fornecido no próprio e-mail para fazer a confirmação.
Entre no aplicativo oficial, digite você mesmo o endereço do serviço ou procure um canal oficial por outro meio.
O Yahoo recomenda justamente verificar pedidos inesperados por um canal independente, sem utilizar as informações de contato fornecidas na mensagem suspeita.
E-mails com português ou inglês ruim são sempre golpe?
Erros de escrita podem levantar suspeita, mas não use essa regra ao contrário.
Um texto cheio de erros pode ser fraudulento.
Um texto impecável também pode ser.
Ferramentas atuais permitem produzir mensagens bem escritas, traduzidas e visualmente convincentes com facilidade. Por isso, ortografia não deve ser seu principal método de identificação.
Observe principalmente o que a mensagem está pedindo e se a história faz sentido.
Uma fortuna inesperada de um desconhecido continua sendo suspeita mesmo quando o texto está perfeitamente escrito.
O golpe pode não ter nenhum link?
Sim.
Esse é um dos pontos mais importantes.
Muita gente aprendeu a associar phishing apenas a:
“não clique no link”.
Mas um golpe pode começar apenas pedindo:
“Responda esta mensagem.”
O próprio Yahoo inclui respostas a mensagens fraudulentas entre as formas usadas por atacantes para conseguir dados das vítimas.
Isso significa que um e-mail sem link, QR Code, anexo ou botão ainda pode fazer parte de uma fraude.
A engenharia social começa pela conversa.
Apenas abrir o e-mail já colocou meu celular em risco?
Se você apenas abriu e leu a mensagem, isso não significa automaticamente que seu celular ou computador foi invadido.
O risco aumenta principalmente quando há interação adicional, como abrir um anexo inesperado, seguir um link, instalar um programa ou fornecer informações.
Google e Yahoo orientam usuários de mensagens suspeitas a não clicar em links, baixar arquivos ou fornecer dados pessoais.
Portanto, se você viu a mensagem, percebeu o golpe e não fez mais nada, não há motivo para concluir apenas por isso que o aparelho está infectado.
Marque a mensagem como spam ou phishing e siga em frente.
E se eu respondi?
Pare a conversa.
Não tente brincar com o golpista, descobrir até onde ele vai ou convencê-lo de que você já percebeu a fraude.
Ao responder, você pode mostrar que existe uma pessoa ativa naquele endereço e abrir espaço para novas tentativas de manipulação.
Se você apenas respondeu algo genérico e não forneceu nenhuma informação relevante, isso é muito diferente de ter enviado documentos, senhas ou dados bancários.
A partir daí:
- não envie mais nada;
- bloqueie ou denuncie o remetente;
- fique atento a novas mensagens relacionadas à mesma história.
- O Google e o Yahoo recomendam não responder mensagens identificadas como tentativas de phishing.
E se eu cliquei em um link?
Primeiro, não continue preenchendo informações.
Feche a página.
Se você apenas abriu o endereço e não digitou senha, não instalou nada e não baixou arquivos, isso não significa automaticamente que suas contas foram roubadas.
Mas confira se algum download foi iniciado e observe se o navegador ou o aparelho apresenta algum comportamento incomum.
Se a página pediu senha, cartão ou dados pessoais, não os forneça.
Para verificar uma conta, abra diretamente o aplicativo ou site oficial em vez de voltar ao endereço recebido no e-mail.
Digitei minha senha. O que faço agora?
Nesse caso, aja rapidamente.
Acesse o serviço verdadeiro diretamente e troque a senha.
Se a mesma senha for utilizada em outros sites, troque nesses serviços também. Uma senha reutilizada transforma o comprometimento de uma conta em risco para várias.
Ative a autenticação em duas etapas quando disponível.
Também confira sessões, dispositivos conectados e atividades recentes da conta.
Google e Yahoo recomendam troca de senha e revisão da segurança quando existe suspeita de comprometimento. A autenticação em duas etapas acrescenta uma proteção adicional caso a senha seja descoberta.
Enviei foto do documento. É mais sério?
Sim.
CPF, identidade, endereço, data de nascimento e fotografias de documentos podem ser úteis para novas tentativas de fraude.
Nesse caso, preserve a conversa e os e-mails recebidos.
Não apague imediatamente tudo que possa servir como registro do ocorrido.
Se houver uso indevido dos seus dados, tentativa de abertura de conta, empréstimo ou outra fraude, esses registros poderão ajudar na comunicação com instituições e autoridades.
Fiz uma transferência ou Pix. O que fazer?
Entre em contato imediatamente com seu banco pelos canais oficiais.
Explique que se trata de possível fraude e forneça os dados da transação.
O Banco Central recomenda que vítimas de golpes comuniquem o banco e registrem Boletim de Ocorrência. Para fraudes envolvendo Pix, a instituição financeira pode avaliar os procedimentos disponíveis para tentativa de recuperação dos valores.
Quanto mais rápido você agir, melhor.
Não continue enviando dinheiro porque o golpista diz que falta apenas “mais uma taxa”.
Esse é justamente um mecanismo comum dessas fraudes.
Devo responder pedindo prova de que a pessoa existe?
Não.
Você não precisa provar que a história é falsa para se proteger.
O criminoso pode enviar fotografias, documentos, certificados bancários, passaportes ou papéis supostamente oficiais.
Imagens e documentos também podem ser falsificados ou pertencer a outras pessoas.
Quando uma proposta inesperada promete uma fortuna e exige informações ou dinheiro para avançar, a decisão segura não depende de descobrir a identidade completa do golpista.
Você simplesmente não participa.
Como reconhecer rapidamente esse tipo de e-mail?
Em vez de tentar decorar todas as modalidades de golpe, procure a combinação de sinais.
Desconfie especialmente quando uma mensagem inesperada:
- promete muito dinheiro;
- vem de alguém que você não conhece;
- tenta provocar pena, medo ou euforia;
- pede rapidez;
- solicita sigilo;
- quer que você responda para saber mais;
- pede documentos ou dados pessoais;
- promete herança, prêmio ou doação;
- mais tarde exige algum pagamento para liberar o valor.
O CERT.br resume uma regra útil: desconfie, informe-se e verifique. A instituição recomenda atenção a dinheiro, vantagens, informações pessoais e mensagens que pressionam o usuário a agir sem tempo para pensar.
Confira esta outra dica Falsificar um print de WhatsApp ou Instagram é possível? Como saber se uma conversa é real?
Por que alguém manda isso para mim?
Receber uma mensagem desse tipo não significa, por si só, que sua conta de e-mail foi invadida.
Golpistas enviam grandes quantidades de mensagens e procuram justamente quem responderá.
O fato de o criminoso possuir seu endereço de e-mail também não significa que conheça você pessoalmente.
Por isso, uma abordagem que parece extremamente pessoal pode ter sido enviada para muitas outras pessoas.
Devo clicar em “cancelar inscrição”?
Em uma newsletter legítima que você conhece, cancelar inscrição é uma função normal.
Em uma mensagem claramente fraudulenta, não há motivo para interagir com links fornecidos pelo remetente.
Prefira usar a função Spam ou Denunciar phishing do seu próprio serviço de e-mail.
Assim você não precisa confiar em um botão criado pelo próprio remetente suspeito.
Como denunciar no Yahoo Mail?
No Yahoo Mail atual, mensagens suspeitas podem ser marcadas como spam diretamente pelo aplicativo ou pela versão web.
No celular, abra a mensagem, toque em Mais e escolha a opção de marcar como spam quando disponível.
O Yahoo informa que essa ação remove a mensagem da caixa de entrada e também ajuda seus filtros a reconhecer mensagens semelhantes futuramente.
Isso é mais útil do que simplesmente excluir.
E no Gmail?
No Gmail pelo computador, abra a mensagem, clique no menu de mais opções próximo à área de resposta e escolha Denunciar phishing.
O Google também recomenda reportar mensagens suspeitas para ajudar na identificação de abusos.
Os nomes dos menus podem variar com atualizações e entre aplicativo e navegador, mas a ideia é a mesma: use a ferramenta de denúncia do próprio serviço.
Bloquear o endereço resolve?
Ajuda, mas não resolve sozinho.
Golpistas podem trocar de endereço constantemente.
Por isso, é melhor também marcar a mensagem como spam ou phishing. Isso permite que o provedor considere os sinais daquela mensagem em seus sistemas de filtragem.
Como verificar um e-mail que parece vir do banco?
Não ligue para um telefone escrito na mensagem.
Não responda ao próprio e-mail perguntando se ele é verdadeiro.
Não use o botão oferecido pelo remetente.
Abra o aplicativo oficial do banco ou digite você mesmo o endereço conhecido da instituição.
Se ainda estiver em dúvida, procure o telefone oficial por uma fonte independente.
Essa regra vale para banco, loja, operadora, governo, serviço de streaming ou qualquer outra empresa.
A confirmação deve acontecer fora da mensagem que está sendo investigada.
Golpe por e-mail é a mesma coisa que vírus?
Não.
Um golpe pode funcionar sem instalar qualquer vírus.
O criminoso pode simplesmente convencer a própria vítima a entregar:
- senha;
- dados bancários;
- documentos;
- código de autenticação;
- dinheiro.
Esse tipo de manipulação é chamado de engenharia social.
Por outro lado, mensagens também podem trazer links ou anexos capazes de levar a páginas falsas ou software malicioso.
Por isso, phishing e malware podem aparecer juntos, mas não são a mesma coisa. O CERT.br mantém orientações separadas para golpes e códigos maliciosos justamente porque os mecanismos de ataque são diferentes.
O melhor antivírus não resolve esse problema sozinho
Filtros de spam, antivírus e navegadores ajudam muito, mas existe uma etapa que depende do usuário.
Nenhum antivírus consegue impedir completamente alguém de enviar voluntariamente seus dados bancários a um desconhecido porque acreditou em uma história convincente.
É por isso que golpes exploram sentimentos como:
- urgência;
- ganância;
- medo;
- curiosidade;
- pena;
- confiança.
A tecnologia tenta bloquear a mensagem.
O golpista tenta convencer você a ignorar o bloqueio.
O que fazer se “recebi um e-mail prometendo milhões?”
Se você recebeu uma mensagem dizendo que alguém pretende lhe entregar milhões de dólares, uma herança, prêmio ou doação sem existir uma relação real que explique isso, não continue a conversa.
Não é necessário descobrir quem está por trás da mensagem.
Não é necessário responder para confirmar.
Não é necessário pagar uma pequena taxa para descobrir se a fortuna existe.
Marque como spam ou phishing e apague depois de denunciá-la.
Se apenas abriu e leu, não conclua que seu aparelho foi infectado.
Se respondeu, interrompa o contato.
Se forneceu uma senha, troque-a.
Se passou informações financeiras ou transferiu dinheiro, fale imediatamente com seu banco e preserve as evidências.
A melhor pergunta diante de uma promessa extraordinária não é:
“E se for verdade?”
É:
“Por que um desconhecido precisaria de mim para movimentar milhões e por que eu teria de pagar ou fornecer dados para receber esse dinheiro?”
Na maioria dessas histórias, essa pergunta já revela onde está o golpe.