A RESPOSTA CURTA
Separe a reivindicação da mensagem do seu destino real. Se uma mensagem inesperada solicitar que você faça login, pague ou forneça informações da conta, verifique a solicitação por meio de uma rota em que você já confia antes de continuar.
1. Identifique o que a mensagem deseja que você faça
Uma oferta, uma atualização de entrega e uma solicitação de suporte da conta podem parecer semelhantes à primeira vista. Identifique a ação que a mensagem pede: abrir um produto, fazer login, baixar um arquivo, fornecer informações ou efetuar um pagamento. A ação solicitada é mais importante do que a presença de um logotipo conhecido.
A FTC descreve mensagens de phishing que usam problemas de conta, questões de pagamento ou ofertas atraentes como motivo para clicar. Esses são motivos para verificar, não uma prova de que toda mensagem sobre um problema ou cupom é falsa. Este artigo fornece uma rotina de verificação; ele não classifica um remetente ou site específico.
Referência: FTC: Reconhecendo e evitando phishing
2. Leia o endereço real, não apenas a etiqueta
As palavras exibidas em um link podem diferir do destino. Onde seu navegador ou aplicativo de e-mail permitir, inspecione ou copie o link sem segui-lo. Leia o nome completo do host com atenção, em vez de reconhecer uma palavra familiar em algum lugar do endereço. Se um link encurtado ocultar o destino, deixe-o sem verificação até que você possa estabelecer para onde ele vai.
O exemplo fictício abaixo usa endereços .example reservados e deliberadamente não é clicável. A palavra oficial em um caminho ou subdomínio é apenas um texto escolhido por quem controla esse endereço. Um ícone de cadeado ou uma conexão HTTPS descreve a conexão; não estabelece de forma independente que a empresa é aquela que você pretendia contatar.
| Endereço ilustrativo | O que o texto realmente mostra |
|---|---|
| shop.example/help | Nome do host: shop.example; caminho: /help |
| shop.example.other.example/login | O nome do host pertence a other.example |
| other.example/official-shop | O nome familiar aparece apenas no caminho |
| Um URL abreviado desconhecido | O destino final não está estabelecido aqui |
Referência: RFC 2606: Nomes DNS de nível superior reservados · Ajuda do Google Chrome: Verificando uma conexão
3. Use uma rota de contato independente da mensagem
Se a solicitação for referente a uma conta que você usa, retorne por meio de um favorito salvo, do aplicativo que você costuma usar ou de um endereço que você já estabeleceu de forma independente. Abra a área da conta relevante ou entre em contato com o suporte lá. Não use a mesma mensagem inesperada como afirmação e como prova de que ela é genuína.
A FTC recomenda fazer a verificação usando informações de contato que você sabe que são verdadeiras, em vez dos dados da mensagem. Nossa questão prática é: a solicitação também aparece na conta ou o suporte contatado por um canal independente pode explicá-la? Mantenha a solicitação sem solução se você não conseguir estabelecer essa conexão.
Referência: FTC: Reconhecendo e evitando phishing
4. Resolva a solicitação antes de tomar uma ação delicada
Evite inserir credenciais ou informações da conta apenas para ver o que uma página desconhecida fará a seguir. Uma solicitação que precisa de verificação pode aguardar enquanto você usa a rota independente. Não envie senhas, códigos de login únicos ou códigos de recuperação para alguém que afirma ser suporte em um chat.
Se um processo de conta genuíno exigir informações, use o fluxo de conta verificado e leia exatamente o que é solicitado. Um autor em um fórum público não pode aprovar essa solicitação para você com base em uma captura de tela cortada. Você pode descrever o problema geral publicamente sem publicar registros de contas privadas.
5. Registre o que você verificou e o que permanece em aberto
Mantenha uma breve nota privada sobre a data da mensagem, a finalidade reivindicada, o destino inspecionado e a verificação independente que você realizou. O resultado pode ser confirmado, inconsistente ou ainda desconhecido. Desconhecido é um resultado útil: significa que você não estabeleceu o suficiente para prosseguir através desse link.
Se você já divulgou informações, use o processo de segurança de conta do serviço real e o provedor apropriado para as informações envolvidas. A referência da FTC inclui as próximas etapas gerais após suspeita de phishing. Este site não pode inspecionar sua conta ou confirmar a autenticidade de uma mensagem e não precisa de seus dados privados para explicar a rotina.
Referência: FTC: Reconhecendo e evitando phishing
Sua lista de verificação
- Identifique a ação que a mensagem solicita.
- Inspecione o nome do host e o destino reais sempre que possível.
- Verifique através de uma rota independente da mensagem.
- Mantenha credenciais e códigos de recuperação fora dos chats de suporte.
- Registre os detalhes confirmados e deixe as solicitações não resolvidas em aberto.
Perguntas comuns
O HTTPS prova que um site é o serviço oficial?
Não. Uma conexão criptografada e a identidade da empresa são questões diferentes. Verifique o destino de forma independente.
Todo link de indicação ou de cupom é suspeito?
Não. Verifique seu destino e contexto. Este artigo não rotula todos os links promocionais como fraudulentos.
Posso enviar a este site uma captura de tela da conta privada para verificação?
Este site não fornece verificação de conta. Use a rota de suporte verificada de forma independente do serviço para uma solicitação específica de conta.
Fontes e escopo
Este artigo editorial original usa as referências abaixo para contextualizar. Listagens salvas e exemplos hipotéticos são identificados no texto. Não descreve uma compra ou teste de uso realizado por este site.
- FTC: Reconhecendo e evitando phishing
Orientação geral para verificação independente de mensagens inesperadas. Ele não determina se qualquer mensagem, domínio ou remetente específico do Oopbuy é genuíno.
- RFC 2606: Nomes DNS de nível superior reservados
Reserva .example para exemplos de documentação. Os endereços ilustrativos nesta página são texto simples e não são destinos de serviço.
- Ajuda do Google Chrome: Verificando uma conexão
Explica conexões seguras e aconselha a verificação do nome do site mesmo quando a conexão é segura.