Site falso e golpe em promoção: como identificar phishing antes de clicar

Como funcionam site falso e phishing em compras

Criminosos montam domínios parecidos com lojas populares ou clonam páginas de checkout. Você acredita estar na marca certa, informa endereço, cartão ou paga Pix para conta errada. Em paralelo, mensagens no WhatsApp, SMS ou e-mail anunciam “promoção exclusiva”, “taxa de liberação” ou “problema no pedido” com link.

Dados pessoais vazados em incidentes anteriores alimentam mensagens convincentes: seu nome, últimos dígitos de pedido ou cidade aparecem no texto, mas o link ainda leva ao golpe.

O cadeado e o HTTPS indicam que a conexão com aquele servidor é criptografada — não que o dono do servidor seja honesto. Sites falsos também usam certificado.

Gatilhos psicológicos usados contra você

Contagem regressiva falsa, “últimas unidades”, ameaça de cancelamento do pedido, suposto bloqueio de conta ou benefício inesperado (cashback, prêmio) pedem ação imediata. Quanto mais pressão, mais motivo para pausar.

Promoções “só hoje” enviadas por grupos de WhatsApp ou anúncios em rede social com preço irreal só fazem sentido se a mesma oferta existir quando você abre o site oficial digitando o endereço — não colando o link da mensagem.

Suporte falso pedindo “taxa de reenvio”, “validação de cartão” ou “depósito de caução” antes de entregar é variante clássica. Lojas legítimas não pedem pagamento extra por link aleatório fora do pedido original.

• Desconfiar de urgência extrema ou ameaça em mensagem não solicitada.
• Nunca clicar link de SMS/WhatsApp/e-mail para pagar ou logar — abrir app ou site digitado.
• Comparar domínio letra por letra com o endereço oficial conhecido.
• Desconfiar de Pix ou boleto enviado por chat após “suporte” não pedido.

Leitura técnica do endereço (sem ser especialista)

Olhe o domínio principal, não só o texto ao redor na barra. Exemplos de risco: marca-oficial-promo.com, marca.com.br.seguro-outra-coisa.com (subdomínio enganoso), uso de caracteres parecidos (l minúsculo no lugar de I maiúsculo).

Em mobile, a barra de endereço encurta; toque para ver URL completa antes de inserir senha ou cartão. Apps falsos distribuídos fora das lojas oficiais (Google Play, App Store) repetem o mesmo padrão — instale só de fonte confiável.

Páginas de login que pedem senha do e-mail, código do banco ou chave Pix “para confirmar identidade” fogem do fluxo normal de compra. Feche e acesse o serviço real separadamente.

Promoção recebida: roteiro seguro

Recebeu oferta por WhatsApp ou anúncio? Anote o preço e o produto, feche a mensagem, abra o navegador e digite o endereço oficial da loja (ou abra o app instalado da loja). Busque o mesmo item dentro do ambiente oficial.

Se a oferta não existir lá, trate a mensagem como tentativa de phishing ou erro; não “aproveite” pelo link externo. Se existir, finalize a compra só dentro desse ambiente.

Para rastrear encomenda, use o código no site dos Correios, transportadora ou área “Meus pedidos” da loja onde você comprou — não em link de SMS desconhecido.

Depois de clicar ou digitar dados

Se você só clicou e não informou nada, feche a página, não instale arquivos sugeridos e considere avisar a marca real pelo canal oficial de fraudes, quando houver.

Se informou senha, cartão ou pagou: troque senhas afetadas, avise banco ou emissor do cartão, guarde URLs e prints. Velocidade importa especialmente em Pix — veja o guia sobre golpe do Pix e recuperação.

Não tenha vergonha: golpes são desenhados para parecerem legítimos. Registrar ocorrência e buscar orientação institucional aumenta chance de limitar danos.

Prevenção contínua

Mantenha apps de banco e lojas atualizados; ative notificações de transação; evite reutilizar senha entre sites. E-mail dedicado para cadastros de compra facilita detectar phishing.

Em datas de pico (Black Friday, Natal), aumente naturalmente o volume de mensagens falsas. Combine este guia com verificação de promoção real e de site confiável — são camadas diferentes da mesma decisão.

O Pechim pode alertar queda de preço em produto que você monitora na URL real do anúncio; não envia links de checkout. Cadastre ofertas a partir do site que você validou, não de forward de mensagem suspeita.