Como identificar links falsos é uma habilidade essencial no Brasil atual: segundo dados da Kaspersky (período jul/2024, jun/2025), o país registrou 553 milhões de tentativas de phishing bloqueadas em apenas 12 meses, cerca de 1,5 milhão de golpes por dia, ou aproximadamente 3 tentativas para cada habitante. O número impressiona, mas o detalhe mais importante é outro: a maioria desses ataques começa com um link. Um clique pode direcionar você a páginas que roubam senhas, induzem downloads maliciosos ou simulam sites bancários para capturar dados financeiros.

Parte do trabalho de educação digital do Professor Diogo Puiatti é preparar o usuário brasileiro para tomar decisões conscientes antes de clicar em qualquer coisa. Reconhecer uma URL maliciosa, inspecionar um link sem abrir o site e saber o que fazer caso algo dê errado são habilidades práticas que qualquer pessoa pode desenvolver. Neste artigo, você vai aprender os 12 sinais que entregam um link falso, como usar verificadores de URL gratuitos e quais passos seguir se já tiver clicado em algo suspeito.

Por que links falsos enganam até quem usa a internet todo dia

Golpistas não precisam hackear sistemas ou descobrir senhas: eles exploram a forma como o cérebro humano lê. Na leitura rápida, o olho reconhece o padrão geral de uma palavra sem processar cada letra individualmente. É por isso que bradescco.com.br, paypa1.com e mercadolivre.com.br-promo.net enganam à primeira vista. O domínio parece certo porque o cérebro preencheu os espaços automaticamente.

Essa técnica tem nome: typosquatting. O golpista troca letras por números visualmente semelhantes (o “l” minúsculo por “1”, o “o” por “0”), duplica letras, inverte caracteres ou adiciona hífens. O resultado é um domínio que parece legítimo até você parar e ler letra por letra, o que quase ninguém faz. Provavelmente você nunca leu uma URL dessa forma na vida, e é exatamente nisso que esses ataques contam. Para entender melhor o conceito de phishing de URL, consulte uma explicação prática sobre phishing de URL.

Os canais favoritos dos golpistas no Brasil são SMS, WhatsApp, e-mail e QR codes físicos. O smishing (phishing por link via SMS) cresceu mais de 14 vezes em 2024-2025, segundo relatório da BioCatch divulgado pela CNN Brasil, impulsionado pelo uso de inteligência artificial para geração de mensagens em massa. As mensagens seguem roteiros conhecidos: “Seu pacote está retido, clique aqui”, “Sua conta Nubank foi bloqueada” ou “Você ganhou um cupom exclusivo”. A urgência artificial é parte da engenharia, não coincidência. Se você precisa de orientações práticas sobre como identificar um e-mail de phishing, há guias que mostram sinais claros em mensagens eletrônicas.

12 sinais que entregam um link falso antes de você clicar

Identificar uma URL fraudulenta é uma habilidade visual e técnica ao mesmo tempo. Os sinais se dividem em três grupos: problemas no domínio, problemas no contexto da mensagem e o uso de encurtadores suspeitos.

Sinais diretos no domínio e na estrutura da URL

Esses são os indicadores mais concretos e aparecem diretamente no endereço do site. Aprenda a reconhecer cada um:

• Erros ortográficos sutis no domínio: bradescco.com.br, nuubank.com.br, correi0s.com.br.
• Subdomínio falso: em login.banco.com.atacante.net, o domínio registrável real é atacante.net, não banco.com. Para identificar o domínio verdadeiro, leia sempre da direita para a esquerda antes da primeira barra, o que estiver antes do primeiro “/” e depois do último ponto é o que realmente importa.
• Extensões inesperadas: TLDs como .xyz, .top e .click são frequentemente abusados por golpistas. Mesmo extensões comuns como .net podem ser suspeitas quando substituem o .com.br esperado de um banco ou serviço brasileiro. Sempre verifique o domínio registrável e o contexto, não apenas a extensão isolada.
• Hífens excessivos: banco-bradesco-app-login.com é um sinal claro de domínio fraudulento.
• Ausência de HTTPS ou certificado vencido: a maioria dos sites legítimos de bancos e e-commerces usa HTTPS. A ausência do cadeado no navegador é um forte indicador de risco, mas atenção: HTTPS sozinho não garante que o site é seguro, apenas que a conexão é criptografada.
• Prefixo alterado: wvvw.site.com.br usa dois “v” no lugar do “w”. Difícil de notar em texto corrido.

Sinais no contexto da mensagem e na formatação

Nem sempre o problema está na URL em si. Às vezes o sinal está na forma como o link chegou até você. Urgência artificial (“sua conta será cancelada em 24 horas”) e erros gramaticais são alertas sérios por si sós. Remetentes com domínios genéricos (gmail.com, hotmail.com) simulando comunicação oficial de empresa reforçam a suspeita: nenhum banco ou órgão público envia comunicados financeiros por endereços de e-mail pessoais.

Um golpe mais sofisticado usa texto âncora enganoso: a mensagem mostra www.correios.com.br como link clicável, mas o endereço real por trás é completamente diferente. No computador, basta passar o mouse sobre o link para ver o destino real no canto inferior da tela. No celular, pressionar e segurar revela a URL antes de você abrir qualquer coisa. Essa verificação de análise de link online, rápida e gratuita, é o primeiro passo antes de qualquer clique.

O perigo dos encurtadores de link suspeito e QR codes maliciosos

Encurtadores de URL como bit.ly, t.ly e tinyurl.com são ferramentas legítimas, mas funcionam como capa perfeita para golpistas. Eles escondem completamente o destino real do link. Quando um encurtador de link suspeito chega por SMS ou WhatsApp de um número desconhecido, sem contexto claro, a probabilidade de golpe é alta.

QR codes físicos merecem atenção especial. Criminosos colam QR codes falsos sobre os originais em restaurantes, estacionamentos e cartazes. Antes de escanear qualquer QR code em ambiente físico, verifique se há papel sobreposto ou bordas irregulares. Para expandir um link curto antes de clicar, use o CheckShortURL ou cole a URL diretamente no VirusTotal.

Como inspecionar qualquer link sem abrir o site

No computador: hover, copiar e verificar

O processo é simples e leva menos de um minuto. Siga estes passos:

1. Posicione o mouse sobre o link sem clicar e observe o endereço que aparece no canto inferior esquerdo da tela.
2. Leia o endereço real e compare com o domínio que você esperaria encontrar.
3. Se suspeitar, clique com o botão direito e escolha “Copiar endereço do link”.
4. Cole em uma ferramenta de verificação (listadas na próxima seção) antes de abrir qualquer coisa.

O mesmo processo vale para links em PDFs e em imagens: clique com o botão direito sobre o elemento e copie o endereço de destino sem precisar acessá-lo. É um hábito simples que pode evitar consequências sérias.

No celular: pressionar e visualizar antes de agir

No Android e no iOS, pressionar e segurar o dedo sobre um link ativa um menu de prévia com o endereço real antes de qualquer ação. Observe o endereço que aparece na parte inferior da tela. Se o link veio por WhatsApp ou SMS sem contexto claro, não abra mesmo que o remetente pareça familiar. Dúvida é sinal de parada, não de clique.

Verificadores de URL gratuitos que funcionam de verdade

Para uso rápido no dia a dia, estas ferramentas não exigem cadastro e entregam resultado em segundos:

• VirusTotal (serviço consultado acima): realiza análise de link online com mais de 70 mecanismos simultaneamente, conforme documentado pelo próprio serviço.
• Bitdefender Link Checker (bitdefender.com/link-checker): resultado direto em “seguro” ou “alerta”, sem tecnicismos. Ideal para quem quer uma resposta rápida.
• NordVPN Link Checker: funciona bem para links recebidos por SMS e e-mail; detecta phishing, malware e botnets com resultado imediato.
• dfndr lab (da PSafe): focado no contexto brasileiro, com boa cobertura de golpes circulando no WhatsApp nacional.

Para análise mais profunda, especialmente em links suspeitos recebidos em e-mail corporativo, combine duas ferramentas. O Sucuri SiteCheck verifica 9 listas negras e detecta redirecionamentos ocultos. O urlscan.io faz uma captura de tela do site e exibe todos os domínios conectados sem que você precise acessar nada. O URLVoid consulta mais de 30 bases de reputação e complementa bem os dois anteriores. Vale lembrar que algumas dessas ferramentas também oferecem planos pagos com recursos adicionais.

O que fazer quando você suspeita ou já clicou em um link falso

Como denunciar no Brasil

Denunciar um site falso é fundamental para removê-lo e proteger outras pessoas. Antes de qualquer denúncia, capture a URL completa, tire um print com data e hora visíveis e anote como o link chegou até você. Com essas evidências em mãos, acione os canais adequados:

• CERT.br (abuse.cert.br): para abusos em domínios brasileiros. Coordena rapidamente com provedores e registradores para remoção de sites .com.br maliciosos, uma das vias mais ágeis disponíveis.
• SaferNet Brasil (denuncie): aceita denúncias anônimas para crimes online, com acompanhamento do caso.
• Google Safe Browsing (safebrowsing.google.com/safebrowsing/report_phish): remove o site dos resultados de busca e ativa alertas no Chrome para usuários que tentarem acessá-lo.
• Polícia Federal via Comunica PF: para casos de estelionato online com prejuízo financeiro comprovado.

Ações imediatas se você já clicou

Agir nas primeiras horas faz diferença real no controle do dano. Siga este roteiro sem demora:

1. Desconecte o dispositivo da internet imediatamente para interromper qualquer comunicação com o servidor malicioso.
2. Troque as senhas das contas acessadas antes ou depois do clique, usando outro dispositivo limpo.
3. Avise o banco se você informou dados financeiros ou realizou qualquer transação na sequência.
4. Execute um antivírus atualizado no dispositivo afetado para identificar e remover qualquer arquivo malicioso.
5. Monitore extratos bancários e a caixa de e-mail por pelo menos 30 dias após o incidente.

Como identificar links falsos: três perguntas antes de qualquer clique

Antes de abrir qualquer link, faça três verificações rápidas:

• O domínio está escrito corretamente, sem erros ou caracteres trocados?
• A mensagem faz sentido no contexto em que chegou?
• Eu esperava receber esse link?

Se a resposta para qualquer uma for “não” ou “não sei”, pare e verifique antes de prosseguir. Esse checklist mental cobre a maioria das situações de risco.

Identificar links fraudulentos é uma habilidade aprendida, não um dom natural. Quanto mais você pratica, mais rápido o olho treinado detecta o sinal errado. O domínio com hífen a mais, a extensão diferente, a mensagem com urgência artificial: esses padrões ficam cada vez mais visíveis com a prática. Para aprofundar a compreensão sobre a importância da proteção online, veja também A Importância da Segurança Digital e Como Garantir Isso.

Se você quer continuar desenvolvendo competências digitais práticas, o canal do Professor Diogo Puiatti traz tutoriais em vídeo, materiais para download e conteúdo adaptado à realidade brasileira, desde segurança digital até habilidades para o mercado de trabalho. Explore os Recursos e tutoriais, por exemplo, se precisar bloquear acesso a um site no navegador, aprenda passo a passo em Como Bloquear um Site no Chrome 2025 COM SENHA!, e comece a navegar com muito mais confiança.