Verificar link
Cole uma URL suspeita e receba a análise com Google Safe Browsing, sinais do domínio e denúncias da comunidade.
Como ler um link e saber se é golpe
O link de golpe quase nunca é um endereço aleatório. Ele é construído para você bater o olho e reconhecer uma marca: o nome do banco aparece em algum lugar do endereço, só que não no lugar que importa. Em bancoxyz.seguranca-online.com, o domínio real é seguranca-online.com, e bancoxyz é só um subdomínio que qualquer pessoa pode criar.
A regra para ler qualquer endereço é olhar o que vem imediatamente antes da primeira barra, e dentro disso as duas últimas partes separadas por ponto. Em www.loja.com.br/promo, o domínio é loja.com.br. Em www.loja.com.br.oferta.xyz/promo, o domínio é oferta.xyz — e não tem nada a ver com a loja. Tudo à esquerda é decoração.
Encurtador de URL some com essa informação inteira. Por isso link encurtado em mensagem de banco, de Correios ou de órgão público é sinal por si só: instituição séria manda o endereço completo, justamente para você poder conferir.
O cadeado do navegador não ajuda a decidir. Ele indica que a conexão é criptografada, não que o site é honesto. Certificado é gratuito, e páginas de phishing têm cadeado normalmente.
Sinais de alerta
O domínio real não é o que você esperava
Leia da esquerda até a primeira barra e pegue as duas últimas partes antes dela. Se não for exatamente o domínio oficial da empresa, o resto do endereço não importa.
Letra trocada, hífen a mais ou terminação diferente
Trocas de i por l, o por 0, rn imitando m, ou o mesmo nome com hífen no meio. Compare caractere por caractere com um endereço antigo confiável, não de memória.
Link encurtado em comunicação de banco ou órgão público
Banco, Receita, Correios e concessionária mandam o endereço completo. Encurtador nesse contexto existe para esconder o destino.
A página pede dado que o site oficial nunca pede ali
Senha completa do cartão, código de seis dígitos recebido por SMS, foto do documento com selfie em tela de login. Nada disso é pedido em página de acesso legítima.
Urgência com prazo curto na mensagem que trouxe o link
Conta bloqueada em duas horas, encomenda que volta hoje, multa que dobra à meia-noite. O prazo existe para impedir que você confira.
Se você já caiu
- 1
Se digitou senha, troque imediatamente essa senha no site oficial, entrando pelo caminho normal e não pelo link. Troque também em qualquer outro serviço onde você usava a mesma senha.
- 2
Se digitou dado de cartão, ligue para o banco e peça bloqueio e novo número, mesmo sem cobrança aparecendo ainda.
- 3
Se informou código recebido por SMS, é provável que estejam tentando tomar uma conta sua agora. Vá direto ao aplicativo oficial do serviço, encerre as sessões ativas e ative a verificação em duas etapas.
- 4
Ative a verificação em duas etapas em e-mail, banco e redes sociais. É o que impede o acesso mesmo com a senha vazada.
- 5
Guarde a mensagem original com o link e registre boletim de ocorrência se houve prejuízo financeiro.
Perguntas frequentes
Como identificar o domínio real de um link?
Olhe o trecho que vem antes da primeira barra e, dentro dele, as duas últimas partes separadas por ponto. Em conta.banco.com.br/login, o domínio é banco.com.br. Em banco.com.br.seguro.net/login, o domínio é seguro.net. O que aparece à esquerda pode ser inventado por qualquer um.
Site com cadeado é seguro?
Não. O cadeado indica apenas que a conexão está criptografada, o que impede alguém de interceptar os dados no caminho. Ele não diz nada sobre quem está do outro lado. Certificado é gratuito e páginas de phishing costumam ter cadeado.
É perigoso só abrir o link, sem digitar nada?
Na maioria dos casos o risco real está em digitar dados ou baixar arquivo. Ainda assim, evite abrir: a página pode registrar que seu número está ativo, o que aumenta o volume de tentativas. Se abriu e não digitou nada, feche e não baixe nada.
Como conferir um link encurtado sem clicar?
Prefira não conferir: vá direto ao site oficial da empresa pelo buscador ou pelo aplicativo e procure a informação lá. Se a comunicação for real, ela vai estar na sua conta. Isso resolve sem depender de expandir o encurtador.