Clicou em um link de phishing? Faça estas 6 coisas agora mesmo
Respire fundo. Clicar em um link de phishing não é automaticamente um desastre. Na maioria dos casos, o clique em si não compromete suas contas nem o seu dispositivo. O que importa é o que aconteceu nos segundos após o clique — e o que você faz nos próximos minutos.
Este guia mostra exatamente isso: triagem, passos de ação e como garantir que nunca mais aconteça.
Primeiro: o que realmente aconteceu quando você clicou?
Navegadores e sistemas operacionais modernos são feitos para conter ameaças. Simplesmente cair em uma página maliciosa raramente instala algo por conta própria. Um dano real quase sempre exige que você tome uma ação a mais — digitar algo, baixar algo ou aprovar uma solicitação.
Pergunte-se qual destes cenários se encaixa na sua situação:
Eu só cliquei e fechei a aba imediatamente. Baixo risco. O seu dispositivo provavelmente está bem. Mesmo assim, siga os passos 1 e 4 abaixo, mas não entre em pânico.
Eu digitei minha senha ou usuário. Alto risco. Trate suas credenciais como comprometidas. Vá direto para o passo 2 e aja rápido — o roubo de credenciais é o resultado mais comum de um clique em phishing.
Eu baixei e abri um arquivo. Alto risco. Um arquivo baixado pode executar código. O passo 4 — uma varredura de malware — passa a ser a sua prioridade máxima, junto com a troca de senhas de qualquer conta que você acessou nesse dispositivo.
Eu digitei dados de cartão de crédito ou débito. Alto risco. Entre em contato com o seu banco imediatamente (passo 5) para bloquear ou monitorar o cartão. O tempo é importante aqui.
Eu aprovei uma solicitação de autenticação ou dei permissão a um app. Alto risco. Os atacantes usam ataques de "fadiga de MFA" e concessões de permissão OAuth para assumir contas mesmo sem roubar a sua senha. Vá às configurações de segurança da sua conta e revogue quaisquer permissões de app desconhecidas.
Se você ainda não tem certeza do que aconteceu, siga todos os seis passos em ordem. Leva menos de 20 minutos e cobre todos os cenários.
Os 6 passos para agir agora mesmo
1. Desconecte-se da página e não digite mais nada
Feche a aba imediatamente, se ainda não fechou. Não volte a ela, não digite nada de novo e não clique em nenhum pop-up secundário ou botão de "fechar" dentro da própria página — algumas páginas de phishing usam isso para disparar downloads.
Se você ainda está em uma página que te parece suspeita, feche toda a janela do navegador em vez de sair navegando. No celular, force o encerramento do app.
Você não precisa desconectar o seu dispositivo da internet. Os ataques de phishing dependem de você fornecer informações — eles normalmente não são exploits do tipo drive-by que rodam silenciosamente em segundo plano no momento em que a página carrega.
2. Troque a senha exposta imediatamente — e em todo lugar onde ela é reutilizada
Se você digitou uma senha no site de phishing, presuma que essa senha agora está nas mãos do atacante. Troque-a no site legítimo agora mesmo, antes de terminar o resto desta lista.
Depois, pare. Pense em onde mais você usa essa mesma senha. Toda conta que a compartilha agora está vulnerável, porque os atacantes testam credenciais roubadas em dezenas de sites populares automaticamente (isso se chama credential stuffing). Troque a senha em toda conta reutilizada.
Use uma senha única, gerada aleatoriamente, para cada site. Um gerenciador de senhas torna isso prático.
3. Ative a autenticação em dois fatores
Depois de trocar a senha comprometida, ative a autenticação em dois fatores (2FA) nessa conta — e em qualquer outra conta importante que ainda não a tenha.
O 2FA significa que, mesmo que um atacante tenha a sua nova senha amanhã, ele ainda não conseguirá entrar sem o seu segundo fator. Use um app autenticador (como o Google Authenticator ou o Authy) em vez de SMS sempre que possível — os códigos por SMS podem ser interceptados, embora ainda sejam melhores do que nada.
4. Faça uma varredura de malware e observe o comportamento do seu dispositivo
Se você baixou e abriu um arquivo da página de phishing, faça uma varredura completa de malware com o seu software de segurança. No Windows, o Microsoft Defender (integrado) é um bom ponto de partida. No Mac, o Malwarebytes tem uma versão gratuita respeitável.
Mesmo que você não tenha baixado nada, fique de olho no seu dispositivo pelas próximas 48 horas:
- Lentidão inesperada ou uso alto de CPU
- Novas extensões de navegador ou barras de ferramentas que você não instalou
- E-mails de redefinição de senha que você não solicitou
- Atividade de login desconhecida no histórico da sua conta
Se você notar qualquer um desses sinais, escale — entre em contato com a sua equipe de TI se isso aconteceu em um dispositivo de trabalho, ou considere ajuda profissional.
5. Avise o seu banco se dados de pagamento estiveram envolvidos
Se você digitou um número de cartão, data de validade, CVV ou credenciais bancárias, ligue para o seu banco ou operadora do cartão agora. A maioria tem linhas de fraude 24 horas. Peça a eles para:
- Sinalizar o cartão para monitoramento ou emitir uma substituição
- Revisar transações recentes em busca de algo desconhecido
- Bloquear quaisquer pagamentos a estabelecimentos desconhecidos
Agir dentro de horas aumenta drasticamente a chance de deter ou reverter cobranças fraudulentas. Não espere até de manhã.
6. Denuncie a tentativa de phishing
Denunciar leva dois minutos e realmente ajuda a proteger outras pessoas. Veja onde denunciar:
- O seu provedor de e-mail: Use o botão "Denunciar phishing" no Gmail, Outlook ou Apple Mail. Isso treina os filtros deles para pegar o mesmo ataque contra outras pessoas.
- A sua equipe de TI ou segurança (se foi uma conta de trabalho): Eles precisam saber para investigar se outras pessoas na sua organização foram alvo.
- A empresa que foi imitada: Se o e-mail de phishing fingiu ser do seu banco, da Netflix, do PayPal ou de qualquer outra marca, encaminhe-o para a equipe de abuso ou segurança dessa empresa (a maioria publica um endereço de denúncia de phishing, por exemplo phishing@paypal.com). Eles podem agir para derrubar o site.
- Agências nacionais de crime cibernético: Nos EUA, denuncie ao Anti-Phishing Working Group em reportphishing@apwg.org e encaminhe o e-mail para phishing-report@us-cert.gov. No Reino Unido, use a ferramenta de denúncia do National Cyber Security Centre.
Uma observação se você clicou no seu iPhone ou Android
Muita gente pesquisa "cliquei em link de phishing no iPhone" ou "cliquei em link de phishing no Android" em pânico. Aqui está a resposta honesta: os sistemas operacionais móveis modernos têm um sandboxing forte. Um toque em um link — mesmo malicioso — muito raramente resulta em execução automática de código ou infecção.
O risco real no celular é idêntico ao do computador: é o que você digitou. As telas do celular são menores, as URLs são mais difíceis de inspecionar, e os atacantes sabem disso — os sites de phishing estão cada vez mais desenhados para ficar perfeitos em um celular. Se você digitou credenciais ou dados de pagamento em um site pelo celular, siga os passos 2 e 5 acima, independentemente do dispositivo que você usou.
Restaurar o celular às configurações de fábrica depois de clicar em um link (sem baixar ou instalar nada) quase nunca é necessário. Guarde a restauração de fábrica para casos em que você instalou um app suspeito e não consegue removê-lo.
Prevenção: verifique o link antes de clicar da próxima vez
A melhor forma de evitar essa situação é verificar um link antes de abri-lo no seu dispositivo real.
Duas opções facilitam isso:
Aprenda a ler o link primeiro. O nosso guia do verificador de link seguro explica por que os scanners de URL estáticos deixam passar domínios de phishing recém-criados — e como inspecionar um link suspeito com segurança em vez disso. Leva minutos e não custa nada.
Abra-o em um navegador que não existirá dentro de alguns minutos. O analisador do Tempbrowser abre o link dentro de uma sandbox temporária na nuvem, transmitida para a sua tela. A página roda em um ambiente isolado — não no seu dispositivo. Quando a sua sessão termina, toda a sandbox é apagada: sem histórico, sem cookies, sem rastro. Se a página tentar qualquer coisa, isso acontece em outro lugar. O plano Free não exige cadastro nem cartão de crédito — você tem três execuções por dia, de até 3 minutos cada. É mais do que suficiente para inspecionar um link suspeito antes de decidir se vai confiar nele.
Para mais sobre como avaliar links suspeitos, veja o nosso guia: Este link é seguro? Como saber antes de clicar.
FAQ
Só clicar em um link pode hackear meu celular?
Em quase todos os casos do mundo real, não. Clicar em um link e carregar uma página não instala malware nem compromete suas contas por si só. Exploits sofisticados de "zero-click" existem, mas são raros, direcionados e rapidamente corrigidos. A esmagadora maioria dos ataques de phishing exige que você digite algo — uma senha, número de cartão ou código de autenticação. Se você clicou mas não digitou nada, o seu risco é muito baixo.
E se eu cliquei mas não digitei nada?
Você provavelmente está bem. Feche a aba, faça uma varredura rápida de malware se baixou algum arquivo e fique de olho nas suas contas em busca de atividade incomum nos próximos dois dias. Nenhuma troca de senha é necessária, a menos que você tenha realmente digitado suas credenciais.
Devo restaurar as configurações de fábrica após clicar em um link de phishing?
Quase com certeza não — especialmente se tudo o que você fez foi clicar e fechar. A restauração de fábrica é um último recurso para situações em que um app malicioso foi instalado e não pode ser removido. Para um clique em phishing em que você não baixou nem instalou nada, uma restauração de fábrica seria um exagero enorme e faria você perder dados desnecessariamente.
Como verifico um link suspeito sem clicar nele?
Duas abordagens funcionam bem. Primeiro, passe o mouse sobre o link (no computador) para ver a URL real na barra de status do seu navegador — procure por erros de digitação de marcas conhecidas ou extensões de domínio incomuns. Segundo, abra-o em algum lugar descartável: cole a URL no analisador do Tempbrowser, onde qualquer conteúdo malicioso roda em um ambiente isolado na nuvem que nunca toca o seu dispositivo. O nosso guia do verificador de link seguro explica por que os scanners estáticos sozinhos não bastam.
Qual é o resultado mais comum após clicar em um link de phishing?
O roubo de credenciais é de longe o resultado mais comum. Os atacantes criam páginas de login falsas convincentes para bancos, provedores de e-mail e apps populares, coletam o seu usuário e senha e depois usam essas credenciais imediatamente — muitas vezes em minutos. É por isso que trocar uma senha exposta rapidamente é tão crítico.
Se você está lendo isto depois do fato, agora tem uma lista de ações clara. Siga-a em ordem e você terá feito tudo o que uma pessoa razoável pode fazer. Daqui para frente, uma verificação de dois segundos antes de clicar é tudo o que basta para tornar os ataques de phishing drasticamente menos perigosos.
Abra o seu próximo link suspeito com segurança — sem cadastro: Analisador do Tempbrowser