Como identificar um site falso de banco antes de digitar sua senha

Você recebe uma mensagem dizendo que sua conta foi bloqueada, que tem uma compra suspeita ou que precisa atualizar o cadastro. O link parece do seu banco. A página abre igualzinha. Só que não é.

Isso é phishing bancário: golpistas criam sites falsos para roubar sua senha, token e dados. Eles copiam cores, logo e layout do banco real. A diferença está nos detalhes — e é nesses detalhes que você precisa olhar antes de digitar qualquer coisa.

O que é phishing bancário

Phishing (ou "pescaria" digital) é quando o criminoso finge ser uma instituição confiável para enganar você. No caso bancário, o objetivo é:

Roubar login e senha do internet banking
Capturar código do token ou SMS
Instalar medo para você agir sem pensar
Depois, fazer Pix, empréstimos ou compras na sua conta

O golpe não acontece só no computador. Funciona no celular também, principalmente por WhatsApp e SMS.

Como o link chega até você

Os golpistas usam canais que as pessoas abrem sem pensar:

SMS

"Mensagem do Banco X: sua conta será bloqueada. Acesse: [link]". O link encurtado esconde o endereço verdadeiro.

E-mail

Assunto urgente: "Compra aprovada", "Senha expirada", "Atualize seus dados". O e-mail imita o visual do banco, mas o remetente é falso.

Mensagem de número desconhecido ou de contato clonado avisando sobre suposta fraude. Pedem para clicar e "confirmar identidade".

Ligação + link

Alguém liga, se passa pelo banco, e manda o link na hora. A pressão da voz soma à pressão da mensagem.

Em todos os casos, a regra é a mesma: não clique na pressa.

Os 7 sinais de um site falso

Antes de digitar senha, passe por esta lista. Um sinal já basta para desconfiar. Dois ou mais: feche a página.

1. URL errada ou estranha

O endereço na barra do navegador é o mais importante. Banco real usa domínio oficial, como banco.com.br. Golpista usa variações:

banco-seguro.com
banco.com.br.seguranca-login.net
Letras trocadas: bradesco virando bradescco

Olhe letra por letra. Se tiver qualquer coisa a mais, a menos ou diferente, é falso.

2. Sem cadeado HTTPS (ou certificado suspeito)

Sites sérios usam HTTPS (cadeado no navegador). Mas atenção: golpista também pode ter cadeado. O cadeado sozinho não garante que é o banco. Ele só mostra que a conexão é criptografada — o golpista também sabe fazer isso.

3. Urgência e ameaça

"Sua conta será bloqueada em 2 horas." "Compra de R$ 4.800 aprovada — cancele agora." Banco real não cria pânico para você agir sem pensar.

4. Pedido de dados que o banco não pede assim

Site falso pode pedir senha completa, código do cartão, senha do cartão e token tudo na mesma tela. Ou pedir para instalar aplicativo desconhecido.

5. Layout levemente diferente

Botões fora do lugar, logo embaçada, português estranho, fonte diferente. Parece igual, mas não é idêntico. Se você usa o app ou site do banco com frequência, confie no seu olhar.

6. Link encurtado ou redirecionamento

bit.ly, tinyurl, ou link que pula por vários endereços antes de abrir a página falsa. Banco legítimo manda você direto para o site oficial.

7. Chegou por canal informal

Seu banco não manda link de login por WhatsApp de número aleatório. Desconfie sempre.

Como verificar um link antes de clicar

A melhor proteção é checar antes de abrir:

Não clique no link da mensagem
Abra o app do banco direto no celular (ícone oficial)
Ou digite o endereço do banco manualmente no navegador
Se quiser testar o link recebido, use uma ferramenta de verificação

No Desconfiei, você cola o link suspeito e vê sinais de risco antes de acessar. Leva poucos segundos e pode evitar o pior.

Também vale verificar a mensagem completa se quiser uma segunda opinião sobre o texto que recebeu.

O que fazer se você digitou sua senha num site falso

Se você já preencheu dados, aja imediatamente:

1. Troque a senha do internet banking

Ligue para o banco pelo número oficial (verso do cartão) e informe que caiu em phishing. Peça bloqueio preventivo se necessário.

2. Bloqueie cartões e chaves Pix

Se informou dados do cartão ou token, peça bloqueio e emissão de novos.

3. Confira movimentações

Olhe extrato, empréstimos, transferências e alterações de cadastro nas últimas horas.

4. Registre B.O.

Delegacia Digital do seu estado. Guarde prints do site falso e da mensagem.

5. Denuncie

Denuncie o link no Desconfiei para alertar outras pessoas.

Não espere o banco ligar para você. Ligue você primeiro.

Coisas que banco legítimo NÃO faz

Memorize esta lista. Ela salva muita gente:

Não pede senha completa por WhatsApp, SMS ou e-mail
Não manda link para "desbloquear conta" por mensagem
Não pede para instalar app fora da loja oficial (Google Play ou App Store)
Não pede código do token antecipadamente "para confirmar identidade"
Não ameaça bloquear conta em minutos se você não clicar
Não pede Pix para "validar" ou "liberar" segurança da conta
Não pede foto do cartão pelos dois lados por chat

Se aconteceu qualquer item acima, é golpe — mesmo que pareça o seu banco.

Hábitos simples que evitam phishing

Acesse o banco só pelo app oficial ou digitando o endereço
Desconfie de mensagens com urgência
Ative notificações de transação no app
Use senha forte e diferente das outras contas
Mantenha o celular atualizado
Ensine familiares idosos sobre esse tipo de golpe

Phishing funciona porque a página é convincente e a mensagem gera medo. Quando você conhece o roteiro, o golpe perde força.

E se o e-mail parecer 100% real?

Golpistas copiam layout, logo e até rodapé com telefone falso. O que entrega:

Endereço do remetente (ex: banco@gmail.com em vez do domínio oficial)
Link diferente do site real
Erros pequenos de português
Pedido de ação fora do padrão do banco

Na dúvida, ignore a mensagem e abra o app do banco. Se houver problema de verdade, você verá lá dentro.

Recebeu um link do seu banco? Não clique na pressa. Verifique o link no Desconfiei antes de abrir. É rápido, gratuito e feito para o brasileiro que quer se proteger sem complicação.

Se o link for suspeito, denuncie aqui e ajude a comunidade.