Como reconhecer phishing

No endereço example.com.account-check.example, o site que realmente é dono da página é account-check.example; o example.com no início é só um rótulo escolhido pelo dono.

Um SMS de encomenda que a transportadora nunca enviou

Veja uma mensagem inventada de um tipo conhecido: "Sua encomenda não pôde ser entregue porque o endereço está incompleto. Atualize em até 24 horas", seguida de um link curto. Se você está esperando uma entrega, o seu dedo já está no link. Isso é phishing: uma mensagem feita para você abrir um anexo perigoso, clicar em um link para um site falso ou entregar dados pessoais ou financeiros. Ela chega por e-mail, por SMS (muitas vezes chamado de smishing), por aplicativo de mensagens e por telefone.

Os sinais nessa mensagem curta

A CISA lista os sinais mais comuns, e a mensagem da encomenda tem quase todos. Linguagem urgente ou emotiva, com ameaça de problemas se você não agir já. Um pedido de dados pessoais ou financeiros. Um link encurtado de origem duvidosa. Um remetente ou um link levemente errado, com uma letra trocada ou uma palavra a mais. Um sinal antigo, porém, já não funciona. Antes era fácil reconhecer phishing pelos erros de ortografia e gramática, mas a CISA observa que, na era da IA, algumas mensagens têm gramática e ortografia perfeitas. Então observe o que a mensagem quer que você faça, não se ela está bem escrita. Uma conta bancária "bloqueada para sua segurança", um prêmio de um sorteio do qual você nunca participou, um parente com número novo que precisa de dinheiro hoje: cada um empurra você a agir antes de pensar.

Lendo um link da direita para a esquerda

Antes de tocar em um link, olhe o nome do host: a parte depois de https:// e antes da primeira barra simples. Leia da direita para a esquerda. As duas últimas partes (ou três, em endereços como .co.kr) indicam a organização que o controla, e tudo à esquerda delas é um rótulo escolhido por essa organização. Assim, login.example.com pertence a example.com, mas example.com.account-check.example pertence a account-check.example. No celular, mantenha o dedo pressionado sobre um link para ver o endereço completo sem abri-lo. As chaves de acesso também ajudam, porque simplesmente não funcionam em um site que não seja o verdadeiro. (Todos os endereços desta página usam nomes reservados para exemplos, como example.com e a terminação .example, então nenhum deles é um site real.)

Confira por outro caminho e depois denuncie

A CISA dá três dicas: reconhecer, resistir e apagar, e os sinais acima são a primeira. Resistir significa não clicar em links nem abrir anexos de uma mensagem que deixa você em dúvida, e não responder, nem mesmo a um link de "cancelar inscrição". Se a mensagem diz ser de uma empresa que você usa, abra o aplicativo dela ou digite o endereço você mesmo e confira lá. Se diz ser de alguém que você conhece, ligue para essa pessoa no número que você já tem. Depois apague a mensagem, não sem antes denunciá-la pela opção "denunciar spam" ou "denunciar phishing" do seu e-mail ou aplicativo de mensagens. Na Coreia, a KISA mantém uma linha gratuita, a 118, para problemas de invasão, spam e informações pessoais; o menu também encaminha à polícia denúncias de golpes por telefone e smishing. O site Boho Nara da KISA (boho.or.kr) oferece um serviço para verificar mensagens de texto suspeitas.

As ligações seguem o mesmo padrão. Quem liga diz ser do seu banco, de uma transportadora, da polícia ou do Ministério Público, diz que a sua conta está envolvida em um crime e pede que você transfira dinheiro, instale um aplicativo ou leia um código em voz alta. Instituições de verdade não pedem isso por telefone. Desligue, procure você mesmo o número oficial e ligue de volta. Nunca instale um aplicativo ou um programa de acesso remoto porque alguém mandou por telefone.