Verifique se é seguro clicar

Para verificar se um site é seguro, comece por analisar o URL com um analisador como o Verificador de Ligações Avast. Inspecione sempre manualmente a barra de endereços para verificar a encriptação HTTPS e verifique cuidadosamente o domínio para detetar "typosquatting" (como goog1e.com em vez de google.com).

Os sites legítimos devem apresentar informações de contacto claras e uma política de privacidade, ao passo que os sinais de alerta incluem contagens decrescentes agressivas, gramática amadora ou preços "bons demais para ser verdade". Em caso de dúvida, uma pesquisa rápida pelo nome do site mais a palavra "fraude" ou "phishing" em plataformas de avaliação de terceiros geralmente revelará a verdade. O Avast One também pode ajudar a manter a sua segurança online.

Procure sinais de alerta de engenharia social como ligações inválidas, logótipos de baixa resolução e erros ortográficos ou gramaticais grosseiros, comuns em operações de fraude no estrangeiro. Uma ligação segura é indicada pelo HTTPS, mas a encriptação apenas protege o caminho dos dados, não a intenção do proprietário do site.

Tenha especial atenção às táticas de engenharia social, como contagens decrescentes que criam urgência artificial ou pop-ups intrusivos que exigem dados confidenciais, como as credenciais bancárias, para obter um "prémio por tempo limitado." Também pode usar uma ferramenta de deteção de fraudes para verificar um site.

Comece por utilizar um verificador de segurança de ligações dedicado (como o Relatório de Transparência Google ou o Verificador de Ligações Avast) para analisar o URL em busca de malware oculto ou phishing antes de clicar em qualquer ligação. Uma vez no site, verifique a barra de endereços do browser. Certifique-se de que a ligação está protegida com HTTPS (procure o ícone do cadeado) e clique no cadeado para ver o certificado SSL. Se foi emitido para uma empresa completamente diferente ou expirou, saia imediatamente.

De seguida, realize uma "auditoria de transparência" à procura de uma morada física e de um número de telefone verificado; os vigaristas raramente deixam um rasto documental rastreável. Verifique a reputação do site em plataformas independentes como o Trustpilot ou o Better Business Bureau, se estiver nos EUA ou no Canadá. Preste muita atenção a preços "bons demais para ser verdade" e a pop-ups "urgentes" suspeitos e malvertising que pressionam para que partilhe dados confidenciais.

Por fim, fique atento a “typosquatting”, pequenos erros ortográficos no URL como amozon.com em vez de amazon.com, que é uma característica clássica de um site clonado concebido para recolher as credenciais dos utilizadores.

Para verificar se um site foi denunciado por fraude, pode utilizar uma combinação de analisadores técnicos e plataformas de avaliação baseadas na comunidade. Comece por colar o URL num verificador de ligações de uma empresa de confiança como a Avast. Estas ferramentas agregam relatórios de dezenas de motores de segurança para identificar avisos ativos de phishing, malware ou sites enganadores.

Para relatórios de "fraude" relacionados com consumidores, pesquise o domínio no Trustpilot ou no Better Business Bureau (nos EUA e no Canadá) para verificar se outros utilizadores sinalizaram a empresa por não entrega dos produtos ou por roubo de identidade.

Além disso, consulte a base de dados Whois para verificar se o site foi criado muito recentemente (uma característica comum de domínios fraudulentos) ou utilize a FCA Warning List (no Reino Unido) ou a FTC (nos EUA) para verificar se o site foi oficialmente adicionado à lista de bloqueios pelos reguladores financeiros. Caso encontre um site malicioso, pode bloqueá-lo no Chrome.

Os verificadores de segurança de sites online gratuitos de marcas como a Avast e a Norton são confiáveis e seguros. São fáceis e rápidos de utilizar. Copie e cole o URL num verificador de ligações gratuito para ver se está sinalizado em bases de dados de ameaças. Também pode verificar o Google Safe Browsing e denunciar sites suspeitos às autoridades.

Nas compras online, o cartão de crédito continua a ser a opção de eleição em termos de segurança, graças a enquadramentos legais robustos que, de um modo geral, permitem contestar cobranças ou "erros de faturação". Os cartões de débito, por outro lado, retiram fundos diretamente da conta à ordem; embora tenham proteções, o processo de recuperação pode ser mais lento e fica sem o dinheiro na sua conta enquanto o banco investiga."

Além disso, pode utilizar carteiras digitais (Apple Pay, Google Pay, PayPal) e números de cartões virtuais. Estes serviços enviam um código encriptado de utilização única ao comerciante, em vez do número real de 16 dígitos do cartão. Isto garante que, mesmo que o site sofra uma violação de dados posteriormente, os hackers apenas obtêm um token inútil e expirado, em vez dos dados financeiros permanentes. Estes passos são excelentes para mitigar o impacto de violações de dados de comerciantes. Por fim, tenha cuidado com o smishing, que se baseia em enganar o utilizador para contornar estas proteções e entregar os dados diretamente.

Passar o cursor sobre uma ligação é uma das formas mais eficazes e simples de desmascarar uma tentativa de phishing antes do seu início. Ao colocar o cursor sobre uma palavra ou botão com hiperligação sem clicar em nenhum deles, o browser revela o URL de destino real no canto inferior esquerdo da janela. Se o pop-up mostrar uma sequência de carateres aleatórios ou um domínio que escreve incorretamente o nome da marca (como micros0ft.com em vez de microsoft.com), o site está quase certamente a utilizar domain spoofing para obter as suas credenciais.

Os URLs abreviados podem representar um risco único, pois ocultam intencionalmente o destino final, tornando impossível "ler" a ligação ao passar o cursor por cima. Para estas, ou qualquer ligação que pareça suspeita, utilize um expansor de URL ou um verificador de segurança de ligações da Avast ou o Relatório de Transparência Google. Estas ferramentas funcionam como um "escudo digital", visitando o site em seu lugar para analisar a presença de software malicioso, scripts de phishing e redirecionamentos enganadores, antes de expor o próprio browser à ameaça. Este recurso adicional pode ser útil se também quiser aprender a identificar aplicações falsas.

Não, o HTTPS (Protocolo de Transferência de Hipertexto Seguro) não garante que um site seja fidedigno ou legítimo; apenas garante que o "canal" entre o browser e o servidor está encriptado. Embora isto impeça terceiros de "espiar" os dados, nada diz sobre as intenções da pessoa do outro lado.

A maioria dos sites de phishing e fraude modernos utiliza agora HTTPS e apresenta o ícone do cadeado para criar uma falsa sensação de segurança. Um site pode estar perfeitamente encriptado e, ao mesmo tempo, ser um clone fraudulento concebido para roubar as informações do cartão de crédito. Para verificar verdadeiramente um site, é necessário ir além do cadeado e verificar se existem URLs com "typosquatting" (como g00gle.com), informações de contacto verificadas e uma reputação de domínio consolidada. Também é necessária uma ferramenta antivírus fiável como o Avast One.

Os avisos de "site não seguro" do browser são o alarme digital do browser, alertando quando um site é sinalizado por comportamento perigoso ou insegurança técnica. O mais grave é o aviso de "ecrã vermelho" (identificado como "Deceptive site ahead" (Site enganador) ou "Dangerous site" (Site perigoso)), que é acionado por serviços como o Google Safe Browsing ou o Microsoft SmartScreen. Isto significa que o site foi ativamente identificado como alojando malware, scripts de phishing concebidos para roubar palavras-passe ou armadilhas de engenharia social. Estes avisos tornaram-se ainda mais sofisticados, sinalizando frequentemente páginas de phishing "criadas com inteligência artificial" ou extensões de navegador maliciosas que tentam sequestrar a sua sessão.

Se vir um alerta "Não Seguro" ou uma mensagem "A sua ligação não é privada", significa que o site está a utilizar o HTTP desatualizado em vez de HTTPS encriptado, ou que o respetivo certificado de segurança expirou ou é inválido. Os browsers como o Chrome e o Safari adotaram um padrão "HTTPS-First", em que mesmo os sites HTTP públicos simples acionam um aviso que pode ser ignorado. Embora isto não signifique sempre que o site é "malicioso", significa que quaisquer dados introduzidos, como as credenciais de início de sessão ou o número do cartão de crédito, podem ser facilmente intercetados por hackers na mesma rede.

Se introduziu informações num site fraudulento, corte a ligação entre o atacante e as suas contas. Altere imediatamente a palavra-passe na versão legítima desse site e, se essa palavra-passe for reutilizada noutros locais, especialmente no e-mail ou em sites bancários, atualize também essas contas. Ative imediatamente a Autenticação de Dois Fatores (2FA).

Se partilhou dados financeiros, como um número de cartão de crédito ou CVV, utilize a aplicação bancária para bloquear o cartão e contacte o departamento de fraudes do banco para denunciar a situação e solicitar um novo cartão.

Se partilhou dados altamente confidenciais, como um número de contribuinte ou morada, solicite o bloqueio de crédito junto das principais agências de crédito para impedir que os vigaristas abram novas contas em seu nome. Além disso, execute uma análise de malware abrangente no dispositivo com uma ferramenta antivírus gratuita de confiança, para garantir que nenhum registador de sequência de teclas ou script de rastreamento foi instalado silenciosamente durante a visita ao site.

Por fim, mantenha um olho atento na caixa de entrada e nos extratos nas próximas semanas, pois as informações podem ser vendidas a outros vigaristas, levando a um aumento de tentativas de phishing direcionadas.

Adote uma abordagem de confiança zero em relação às ligações. Passe sempre o cursor sobre os URLs para revelar o verdadeiro destino e utilize um verificador de ligações em sandbox para analisar endereços suspeitos antes de clicar. Também se pode proteger com uma ferramenta de remoção de vírus como o Avast One.

Ao configurar o início de sessão num site, considere implementar a Autenticação Multifator (MFA) resistente a phishing, como chaves de hardware FIDO2 ou chaves de acesso biométricas (FaceID/TouchID). Ao contrário dos códigos SMS tradicionais, que podem ser intercetados ou manipulados, estas credenciais físicas e biométricas apenas são autenticadas com o domínio genuíno e registado.