Se você trabalha com suporte técnico, sabe que boa parte dos chamados de “computador infectado” ou “conta invadida” começa do mesmo jeito: alguém clicou num link que parecia legítimo. Em 2026 o golpe evoluiu — não é mais só aquele e-mail cheio de erro de português prometendo prêmio. Hoje tem clonagem de voz por IA fingindo ser parente, boleto falso idêntico ao original e site clonado com domínio quase igual ao verdadeiro. Separei aqui o que realmente funciona pra reconhecer e evitar cair, do jeito que eu explico pra quem não é da área.
Como o phishing mudou
Levantamentos recentes mostram que o WhatsApp aparece em cerca de 65% dos golpes reportados no Brasil, e que Pix e compras online juntos respondem por 70% das tentativas de fraude. O detalhe mais importante: mais de 90% dos golpes só funcionam porque a vítima é convencida a agir — passar um código, clicar num link, fazer uma transferência — não porque o sistema foi “hackeado”. Criptografia do WhatsApp e segurança do Pix continuam firmes; quem quebra é a pessoa do outro lado da tela, através de manipulação.
As técnicas que mais aparecem hoje são: mensagem de familiar “clonado” pedindo dinheiro com urgência (às vezes com áudio gerado por IA imitando a voz de verdade), link de boleto falso quase idêntico ao original, domínio de site clonado trocando uma letra do nome real, e promessa de vantagem financeira (prêmio, restituição, cashback) — isso sozinho aparece em 71% dos golpes analisados.
Como reconhecer na prática
1. Confira o domínio, não só o nome do link
Golpista adora registrar domínio parecido: “bancodobrasil-seguro.com” em vez do domínio oficial, ou trocar uma letra que passa despercebido no celular. Antes de clicar, segure o dedo no link (no celular) ou passe o mouse por cima (no computador) pra ver o endereço completo antes de abrir. Se tiver qualquer dúvida, digite o endereço do site direto no navegador em vez de clicar.
2. Desconfie de urgência combinada com pedido de ação
“Sua conta será bloqueada em 24h”, “clique agora ou perde o benefício”, “me liga urgente, tô com problema” — a pressa é a ferramenta principal do golpista, porque pessoa apressada pensa menos. Toda mensagem que combina urgência com pedido de clique, código ou transferência merece uma pausa de verificação antes de qualquer ação.
3. Ligue de volta pelo número que você já tem salvo
Se receber um áudio ou ligação “clonada” de um parente pedindo dinheiro, desligue e ligue de volta pelo número que já está salvo no seu celular — não pelo número que apareceu na mensagem suspeita. Combine uma palavra-chave em família pra situações de emergência real, é uma defesa simples contra clonagem de voz por IA que tem funcionado bem na prática.
4. Não confie no remetente exibido em e-mail
O nome que aparece como remetente pode ser forjado facilmente. O que importa é o endereço de e-mail completo (depois do @) e se ele bate com o domínio oficial da empresa. Bancos e empresas sérias não pedem senha, código de verificação ou dados completos de cartão por e-mail ou mensagem.
O que fazer se você (ou alguém que você atende) já clicou
- Não digite mais nada na página que abriu — feche a aba imediatamente.
- Se chegou a inserir senha em algum lugar suspeito, troque essa senha imediatamente em todos os lugares onde ela foi reutilizada (e se você reutiliza senha entre serviços, esse é o momento de parar com isso).
- Se envolveu dado bancário ou Pix, entre em contato com o banco pelo aplicativo oficial ou telefone que está no cartão — nunca pelo número que veio na mensagem suspeita.
- Rode uma verificação de antivírus no dispositivo, principalmente se algum arquivo foi baixado ou executado.
- Avise as pessoas do seu contato — clonagem de WhatsApp normalmente usa sua lista de contatos pra continuar o golpe com outras vítimas.
Erros comuns que eu vejo direto
1. Confiar porque “o site parecia oficial”. Clonar visual de site hoje é trivial — aparência não prova nada, só o domínio real prova.
2. Reutilizar a mesma senha em vários serviços. Se um site vazar (ou você cair num phishing), todas as contas com a mesma senha ficam expostas de uma vez.
3. Achar que só “gente leiga” cai nesse tipo de golpe. Com IA generativa gerando voz e texto convincentes, profissional de TI também já caiu — a diferença é reconhecer rápido e agir, não achar que está imune.
Perguntas frequentes
Antivírus impede que eu caia em phishing?
Ajuda a bloquear alguns sites conhecidos como maliciosos e alguns anexos infectados, mas não impede que você mesmo digite uma senha num site falso convincente. A defesa principal continua sendo checar o link antes de clicar.
Como saber se meu e-mail ou senha já vazou em algum golpe anterior?
Existem ferramentas gratuitas específicas pra isso, que cruzam seu e-mail com bancos de dados de vazamentos conhecidos — vale conferir periodicamente, principalmente se você reutiliza a mesma senha em vários lugares.
Vale a pena usar autenticação de dois fatores mesmo assim?
Sim, e é uma das defesas mais eficazes que existem. Mesmo que o golpista consiga sua senha por phishing, sem o segundo fator (código do app ou chave física) ele não entra na conta na maioria dos casos.
Para reforçar a segurança pessoal, vale também conferir nosso guia de como criar senhas fortes sem reutilizar e, se você suspeita que algum dado seu já vazou, o passo a passo para descobrir se você foi vítima de vazamento de dados.
