Veja se é seguro clicar

Para saber se um site é seguro, comece verificando o URL com um verificador como o Avast Link Checker. Sempre inspecione manualmente a barra de endereços para verificar a criptografia HTTPS e confira com atenção o domínio em busca de "typosquatting" (como goog1e.com em vez de google.com).

Sites legítimos costumam ter informações de contato e uma política de privacidade clara, enquanto sinais de alerta incluem contadores regressivos agressivos, erros gramaticais grosseiros ou preços "bons demais para ser verdade". Em caso de dúvida, uma pesquisa rápida pelo nome do site mais a palavra "golpe" ou "phishing" em plataformas de avaliação de terceiros geralmente revela a verdade. O Avast One também pode ajudar você a manter sua segurança online.

Fique de olho em sinais de alerta de engenharia social como: links quebrados, logotipos de baixa resolução e erros graves de ortografia ou gramática, que são comuns em operações de golpe offshore. Uma conexão segura é indicada pelo HTTPS, mas a criptografia protege apenas o caminho dos dados, não a intenção do proprietário do site.

Preste atenção em táticas de engenharia social, como contadores regressivos que criam urgência artificial ou pop-ups intrusivos que exigem dados confidenciais, como suas credenciais bancárias, para um "prêmio por tempo limitado." Você também pode usar uma ferramenta de detecção de golpes para verificar um site.

Comece usando um verificador de segurança de links dedicado (como o Google Transparency Report ou o Avast Link Checker) para conferir se o URL contém malware oculto ou phishing antes mesmo de clicar. Quando estiver no site, verifique a barra de endereços do navegador. Verifique se a conexão está protegida com HTTPS (procure o ícone de cadeado) e clique no cadeado para ver o certificado SSL. Se foi emitido para uma empresa completamente diferente ou já expirou, saia imediatamente.

Em seguida, faça uma "auditoria de transparência" buscando um endereço físico e um número de telefone verificável; golpistas raramente fornecem informações rastreáveis. Verifique a reputação do site em plataformas independentes, como o Trustpilot ou o Better Business Bureau, se você estiver nos EUA ou no Canadá. Fique de olho em preços "bons demais para ser verdade" e em pop-ups suspeitos e "urgentes" e malvertising que pressionam você a compartilhar dados confidenciais.

Por fim, fique de olho em typosquatting, erros sutis de digitação no URL, como amozon.com em vez de amazon.com, que é uma característica clássica de sites clonados criados para roubar suas credenciais.

Para verificar se um site foi denunciado por fraude, você pode usar uma combinação de verificadores técnicos e plataformas de avaliação colaborativa. Comece colando o URL em um verificador de links de uma empresa confiável como a Avast. Essas ferramentas agregam relatórios de dezenas de mecanismos de segurança para identificar avisos ativos de phishing, malware ou sites enganosos.

Para relatos de fraudes e "golpes" relacionados a consumidores, pesquise o domínio no Trustpilot ou no Better Business Bureau (nos EUA e no Canadá) para ver se outros usuários sinalizaram a empresa por não entrega de produtos ou roubo de identidade.

Além disso, consulte o banco de dados Whois para ver se o site foi criado recentemente (uma característica comum de domínios fraudulentos) ou use a FCA Warning List (no Reino Unido) ou a FTC (nos EUA) para verificar se o site foi oficialmente adicionado à lista de bloqueios por reguladores financeiros. Se você se deparar com um site suspeito, pode bloqueá-lo no Chrome.

Verificadores de segurança de sites online gratuitos, como os da Avast e da Norton, são confiáveis e seguros. Também são fáceis e rápidos de usar. Copie e cole o URL em um verificador de links gratuito para ver se ele está sinalizado em bancos de dados de ameaças. Você também pode verificar o Google Safe Browsing e denunciar sites suspeitos às autoridades.

Ao fazer compras online, o cartão de crédito continua sendo a principal escolha em segurança graças a estruturas legais robustas, que geralmente permitem contestar cobranças ou "erros de faturamento". Já os cartões de débito retiram fundos diretamente de sua conta corrente; embora tenham proteções, o processo de recuperação pode ser mais lento e o dinheiro fica indisponível na conta enquanto o banco investiga."

Além disso, use carteiras digitais (Apple Pay, Google Pay, PayPal) e números de cartão virtuais. Esses serviços enviam um código criptografado de uso único para o comerciante, em vez do número real de 16 dígitos de seu cartão. Isso garante que, mesmo que o site acabe sofrendo uma violação de dados, os hackers só vão obter um token inútil e expirado, e não seus dados financeiros permanentes. Essas etapas são excelentes para reduzir o impacto de violações de dados de lojas online. Por fim, tome cuidado com smishing, uma tática que induz você a burlar essas proteções e fornecer suas informações diretamente aos bandidos.

Passar o mouse sobre um link é uma das formas mais eficazes e simples de identificar uma tentativa de phishing antes que o ataque aconteça. Ao passar o cursor sobre uma palavra com hiperlink ou um botão sem clicar, seu navegador vai revelar o URL de destino real no canto inferior esquerdo da janela. Se a janela pop-up mostrar uma sequência de caracteres aleatórios ou um domínio que escreve o nome da marca de forma ligeiramente errada (como micros0ft.com em vez de microsoft.com), o site quase certamente está usando spoofing de domínio para roubar suas credenciais.

URLs encurtadas podem representar um risco único porque ocultam intencionalmente o destino final, tornando impossível "ler" o link passando o mouse por cima. Para esses casos, ou qualquer link suspeito, use um expansor de URL, o verificador de segurança de link da Avast ou o Google Transparency Report. Essas ferramentas funcionam como um "escudo digital", acessando o site em seu nome para verificar malwares, scripts de phishing e redirecionamentos enganosos antes que você exponha seu próprio navegador à ameaça. Este recurso adicional pode ser útil se você também quiser aprender a identificar apps falsos.

Não, o HTTPS (Protocolo de Transferência de Hipertexto Seguro) não garante que um site seja confiável ou legítimo. Ele apenas garante que o "canal" entre seu navegador e o servidor é criptografado. Embora isso impeça terceiros de "espionar" seus dados, não diz nada sobre as intenções da pessoa do outro lado.

A maioria dos sites de phishing e golpes modernos usa HTTPS e exibe o ícone de cadeado para criar uma falsa sensação de segurança. Um site pode ser perfeitamente criptografado e, ao mesmo tempo, ser um clone fraudulento criado para roubar suas informações de cartão de crédito. Para verificar um site de verdade, você precisa ir além do cadeado e checar se há "URLs com typosquatting" (como g00gle.com), informações de contato verificadas e uma reputação de domínio consolidada. Você também precisa de um antivírus confiável, como o Avast One.

Os avisos de "site inseguro" do navegador são o alarme digital do seu navegador. Eles alertam você quando um site é sinalizado por comportamento perigoso ou insegurança técnica. O mais grave é o aviso de "tela vermelha" (identificado como "Site enganoso à frente" ou "Site perigoso"), acionado por serviços como o Google Safe Browsing ou o Microsoft SmartScreen. Isso significa que o site foi identificado como hospedeiro ativo de malware, scripts de phishing criados para roubar senhas ou armadilhas de engenharia social. Esses avisos ficaram ainda mais sofisticados, sinalizando frequentemente páginas de phishing "criadas com inteligência artificial" ou extensões do navegador maliciosas que tentam sequestrar sua sessão.

Se você vir um alerta "Não seguro" ou uma mensagem "Sua conexão não é privada", significa que o site está usando o HTTP desatualizado em vez do HTTPS criptografado, ou que o certificado de segurança dele está expirado ou inválido. Navegadores como Chrome e Safari adotaram o padrão "HTTPS-First", em que até sites HTTP públicos simples acionam um aviso que pode ser ignorado. Embora isso não signifique necessariamente que o site seja "malicioso," significa que qualquer dado inserido, como login ou número de cartão de crédito, pode ser facilmente interceptado por hackers na mesma rede.

Se você inseriu informações em um site de golpe, corte a conexão entre o invasor e suas contas. Mude imediatamente a senha na versão legítima desse site e, se você reutiliza essa senha em outros lugares, especialmente no e-mail ou no banco, atualize essas contas também. Ative a Autenticação de dois fatores (2FA) imediatamente.

Se você compartilhou dados financeiros como número de cartão de crédito ou CVV, use seu app bancário para bloquear o cartão e entre em contato com o departamento de fraudes de seu banco para reportar o problema e solicitar um novo cartão.

Se você compartilhou dados altamente confidenciais, como número de CPF ou endereço residencial, solicite o congelamento de crédito nas principais agências de crédito para evitar que golpistas abram novas contas em seu nome. Além disso, faça uma verificação completa de malware em seu dispositivo usando uma ferramenta antivírus gratuita confiável para garantir que nenhum keylogger ou script de rastreamento foi instalado silenciosamente enquanto você estava no site.

Por fim, fique de olho em sua caixa de entrada e em seus extratos nas próximas semanas, pois suas informações podem ser vendidas a outros golpistas, levando a um aumento nas tentativas de phishing direcionadas.

Adote uma abordagem de confiança zero com links. Sempre passe o mouse sobre URLs para revelar o destino real e use um verificador de links em áreas restritas para verificar endereços suspeitos antes de clicar. Você também pode se proteger com uma ferramenta de remoção de vírus, como o Avast One.

Ao configurar o login de um site, considere implementar uma Autenticação Multifator (MFA) resistente a phishing, como chaves de hardware FIDO2 ou chaves de acesso biométricas (FaceID/TouchID). Ao contrário dos códigos SMS tradicionais, que podem ser interceptados ou burlados, essas credenciais físicas e biométricas só se autenticam com o domínio genuíno e registrado.