Como saber se uma mensagem, um link ou um site é golpe antes de clicar ou pagar

Uma mensagem avisa que sua conta será bloqueada. Um fornecedor envia uma nova cobrança perto do vencimento. Um cliente encaminha um comprovante com um link. Uma plataforma pede que você atualize os dados imediatamente para não perder o acesso.

Todas essas situações podem ser verdadeiras. Também podem ter sido criadas para fazer você agir antes de conferir.

Para saber se uma mensagem, um link ou um site é golpe, interrompa a ação, acesse o serviço por um canal independente, confirme a origem e verifique os dados antes de informar qualquer informação ou autorizar um pagamento. Não decida apenas pela aparência, pelo nome exibido ou pela urgência criada na mensagem.

Esse procedimento é mais seguro do que tentar memorizar todos os golpes existentes. As histórias mudam, mas quase todas dependem de uma ação rápida: clicar, responder, baixar um arquivo, fornecer um código, instalar um aplicativo ou pagar.

Uma mensagem convincente não é necessariamente verdadeira. A confirmação precisa acontecer fora da própria mensagem.

Perguntas respondidas neste guia

• Como saber se uma mensagem pode ser golpe?
• Como verificar um link sem clicar?
• Como saber se um site é verdadeiro?
• O cadeado ou o HTTPS provam que o site é seguro?
• Como confirmar se a pessoa ou empresa é realmente quem afirma ser?
• Como conferir uma cobrança antes de pagar?
• O que fazer depois de clicar em um link suspeito?
• O que fazer se você informou dados ou realizou o pagamento?

Use o Método PARE antes de clicar, responder ou pagar

O Estúdio Escrita Planejada organiza a verificação em quatro movimentos. O Método PARE foi criado para funcionar mesmo quando você não conhece o nome do golpe nem sabe avaliar tecnicamente uma página.

O método não promete eliminar todo risco. Ele cria uma interrupção entre a mensagem e a ação, justamente onde muitos golpes dependem da pressa.

Exemplo aplicado a um pequeno negócio

Imagine que um fornecedor habitual envie pelo WhatsApp um boleto com nova conta bancária e peça pagamento no mesmo dia.

Aplicando o Método PARE:

1. Pare: não pague o novo documento imediatamente.
2. Acesse por fora: abra o portal oficial do fornecedor ou procure o contato já salvo.
3. Revise: confira beneficiário, CNPJ, valor e motivo da mudança.
4. Execute: pague somente depois de uma confirmação independente e registre quem confirmou a alteração.

O mesmo raciocínio vale para avisos sobre conta bloqueada, atualização cadastral, reembolso, prêmio, entrega pendente, imposto, assinatura vencida ou pedido urgente de um contato conhecido.

Como saber se uma mensagem pode ser golpe?

Uma mensagem pode ser golpe quando tenta fazer você tomar uma decisão importante sem oferecer tempo ou um caminho independente para confirmação.

O conteúdo pode chegar por WhatsApp, SMS, e-mail, rede social, ligação, QR Code ou notificação. O remetente pode parecer conhecido, usar uma foto verdadeira, mencionar dados reais ou copiar o visual de uma empresa.

Observe com mais cuidado quando a mensagem:

• chega sem que você tenha iniciado o contato;
• informa bloqueio, dívida, prêmio, reembolso ou problema urgente;
• pede senha, código de confirmação, PIN ou dados bancários;
• solicita instalação de aplicativo, extensão ou programa;
• envia arquivo inesperado;
• comunica mudança de conta para pagamento;
• pede transferência para uma suposta “conta segura”;
• orienta você a continuar toda a confirmação pelo mesmo número;
• tenta impedir que você desligue, consulte outra pessoa ou fale com a instituição;
• cria medo de perder dinheiro, acesso, benefício ou oportunidade se você não agir imediatamente.

Erros de português, endereços estranhos e imagens de baixa qualidade podem indicar fraude. A ausência desses erros, porém, não prova que a mensagem seja legítima. Textos corretos, logotipos, nomes de funcionários, números de contratos e informações pessoais também podem ser copiados.

O Ministério das Comunicações recomenda desconfiar de mensagens urgentes, evitar links de origem desconhecida e digitar diretamente o endereço do serviço no navegador sempre que possível.

Três perguntas antes de continuar

Antes de responder, pergunte:

1. Eu esperava esta mensagem?
2. A ação solicitada combina com a relação que tenho com o remetente?
3. Consigo confirmar a solicitação sem usar os contatos ou links enviados nela?

Se uma dessas respostas for “não” ou “não sei”, interrompa a ação e confirme por fora.

Como verificar um link sem clicar?

A forma mais segura de verificar um link suspeito é não utilizá-lo para acessar o serviço. Abra o aplicativo oficial, use um endereço salvo anteriormente ou digite o domínio que você já conhece.

Uma mensagem do banco, por exemplo, não precisa ser confirmada pelo botão incluído nela. Entre no aplicativo normalmente e procure o aviso. O mesmo vale para hospedagem, domínio, rede social, marketplace, serviço público ou plataforma de pagamento.

Quando o endereço estiver visível, observe o domínio completo.

Considere estes exemplos ilustrativos:

• empresa.com.br
• empresa-seguranca.net
• empresa.com.br.atualizacao-conta.net

Somente o primeiro endereço pertence ao domínio empresa.com.br. No terceiro exemplo, o nome conhecido aparece no começo, mas o domínio principal é atualizacao-conta.net.

Também merecem atenção:

• letras trocadas, omitidas ou duplicadas;
• hífens e palavras adicionais;
• terminações diferentes da utilizada pela instituição;
• endereços muito longos;
• números no lugar de letras;
• links encurtados que escondem o destino;
• palavras como “segurança”, “verificação” ou “atualização” usadas para criar confiança.

No computador, posicionar o cursor sobre um link pode mostrar o destino sem abrir a página. No celular, alguns aplicativos mostram uma prévia ao manter o endereço pressionado. Não use esse recurso quando houver risco de abrir o link por engano. O caminho mais simples continua sendo entrar no serviço por fora da mensagem.

O que uma ferramenta de verificação consegue fazer

Navegadores e serviços de segurança podem alertar sobre páginas já identificadas como perigosas. O Google Chrome informa que sua Navegação Segura pode mostrar avisos para páginas relacionadas a phishing, malware e engenharia social.

A ausência de alerta não garante que o endereço seja legítimo. Uma página nova pode ainda não ter sido detectada ou denunciada. A ferramenta ajuda, mas não substitui a confirmação da origem e da finalidade da solicitação.

Como saber se um site é verdadeiro?

Para verificar se um site é verdadeiro, observe o domínio, a forma como você chegou até ele e a correspondência entre a solicitação exibida e os canais oficiais da instituição.

Comece por quatro perguntas:

1. Este é exatamente o domínio utilizado pela empresa ou pelo órgão?
2. Eu cheguei aqui por um endereço conhecido ou por um link recebido?
3. O site está pedindo uma ação compatível com o serviço?
4. Consigo confirmar a mesma solicitação no aplicativo ou em outro canal oficial?

A presença da marca, do logotipo, de avaliações, de selos ou de informações pessoais não confirma a autenticidade. Esses elementos podem ser copiados.

Aparecer no Google também não é prova suficiente. Páginas falsas podem ser promovidas, compartilhadas ou indexadas. Quando o assunto envolver banco, imposto, entrega, benefício, pagamento ou acesso a uma conta, prefira o aplicativo oficial, um favorito salvo ou o endereço já utilizado anteriormente.

Para páginas governamentais brasileiras, confira se o endereço realmente termina em gov.br. Não basta a expressão aparecer em qualquer parte do link.

Quadro de decisão: prossiga, confirme ou pare

O cadeado ou o HTTPS provam que o site é seguro?

Não. O HTTPS indica que a comunicação entre o navegador e aquela página está protegida por criptografia. Ele não prova que a página pertence à empresa que está sendo imitada nem que a cobrança apresentada é legítima.

Um site falso também pode utilizar HTTPS. Além disso, a aparência do indicador varia entre navegadores e versões: alguns mostram um ícone de controles do site em vez do cadeado tradicional.

Use o HTTPS como requisito básico de conexão, não como prova de identidade. A confirmação continua dependendo do domínio correto, da origem do acesso e da coerência da solicitação.

Como confirmar se a pessoa ou empresa é realmente quem afirma ser?

Confirme a identidade usando um canal que não tenha sido fornecido pela própria mensagem suspeita.

Se alguém se apresenta como funcionário do banco, não ligue para o número enviado por ele. Use o telefone que está no cartão, no aplicativo ou no site oficial acessado por você.

Se um fornecedor informa mudança de conta, fale com o contato já cadastrado. Se um cliente pede uma devolução incomum, confirme pelo número conhecido e confira seu próprio extrato. Se um familiar solicita dinheiro, telefone antes de transferir.

A confirmação independente pode seguir esta sequência:

1. encerre a conversa sem fornecer informações;
2. localize o contato oficial por uma fonte já conhecida;
3. explique qual mensagem foi recebida;
4. pergunte se a solicitação existe;
5. só retome a ação depois da confirmação.

Não basta responder “é você mesmo?” no mesmo número. Se a conta estiver comprometida, a resposta virá do próprio golpista.

Áudios, vídeos e chamadas também não substituem a conferência quando o pedido for incomum. Em solicitações de dinheiro, acesso ou dados sensíveis, confirme por um segundo canal e use uma informação que não tenha sido oferecida na conversa suspeita.

Golpes específicos do atendimento comercial exigem cuidados adicionais. O guia Golpes no WhatsApp Business: reconheça antes de cair explica como lidar com pedidos de código, perfis clonados e dispositivos conectados.

Como conferir uma cobrança antes de pagar?

Confira a origem da cobrança e os dados exibidos pelo banco antes da autorização final.

Não considere uma cobrança verdadeira apenas porque o valor, o vencimento e o nome do serviço parecem corretos. Essas informações podem ter sido copiadas de uma fatura anterior, de um cadastro ou de uma conta comprometida.

Antes de pagar boleto, Pix, QR Code ou link de pagamento, verifique:

• quem enviou a cobrança;
• se ela era esperada;
• nome do beneficiário;
• CPF ou CNPJ, quando exibido;
• instituição que receberá o dinheiro;
• valor;
• motivo do pagamento;
• existência da mesma cobrança no portal ou aplicativo oficial.

No Pix, leia o nome do destinatário antes de confirmar. No boleto, compare os dados apresentados pelo aplicativo bancário com a empresa que deveria receber. Em uma venda, não libere produto ou serviço apenas porque recebeu uma imagem de comprovante: confirme a entrada do valor no seu próprio extrato.

Mudança de conta, desconto inesperado, cobrança duplicada ou pedido para pagar rapidamente devem ser confirmados com o fornecedor por um contato conhecido.

O procedimento detalhado está no guia Boleto falso e cobrança fraudulenta: como não cair nessa.

Roteiro de verificação antes do pagamento

Use este roteiro sempre que a cobrança chegar por mensagem:

1. abra o banco pelo aplicativo instalado no aparelho;
2. leia ou digite os dados da cobrança;
3. pare na tela anterior à confirmação;
4. compare beneficiário, documento e valor;
5. confirme mudanças por um contato já conhecido;
6. verifique se o dinheiro entrou ou saiu pelo seu próprio extrato;
7. guarde o comprovante e registre quem autorizou a operação.

O que fazer depois de clicar em um link suspeito?

Se você abriu um link suspeito, interrompa a interação e identifique o que aconteceu depois que a página foi carregada.

Abrir uma página não significa automaticamente que todas as suas contas foram invadidas. O risco aumenta quando você baixa arquivos, instala aplicativos, concede permissões, informa credenciais ou autoriza pagamentos.

Você apenas abriu a página

• feche a página e não retorne ao endereço;
• não autorize notificações;
• não baixe arquivos;
• não permita instalação de extensões ou aplicativos;
• atualize o navegador e o sistema do aparelho;
• faça uma verificação com os recursos de segurança já disponíveis no dispositivo.

Se o aparelho apresentar comportamento incomum, como instalação inesperada, redirecionamentos, pedidos de permissão ou novas telas de acesso, procure suporte técnico confiável.

Você baixou um arquivo

Não abra o arquivo para “ver o que é”. Exclua-o se tiver certeza de que não foi executado e faça uma verificação de segurança. Se o arquivo foi aberto ou executado, trate a situação como possível comprometimento do dispositivo.

Você instalou um aplicativo ou permitiu acesso remoto

Desconecte o aparelho da internet e evite utilizá-lo para acessar banco, e-mail ou contas importantes. Entre em contato com sua instituição financeira por outro dispositivo e procure suporte técnico confiável.

O Ministério da Justiça e Segurança Pública orienta interromper o contato, isolar temporariamente o dispositivo, falar com os bancos pelos canais oficiais e preservar as provas da ocorrência.

O que fazer se você informou dados ou realizou o pagamento?

A resposta precisa ser rápida e proporcional ao que foi exposto.

Se você informou uma senha

1. acesse o serviço pelo aplicativo ou site oficial em um dispositivo confiável;
2. troque a senha imediatamente;
3. encerre outras sessões conectadas;
4. confira e-mail e telefone de recuperação;
5. ative a autenticação em duas etapas;
6. verifique se houve mudança de dados, encaminhamento de e-mails ou criação de acessos;
7. troque também a senha de outras contas onde ela foi reutilizada.

Para reduzir a dependência de senhas espalhadas e meios de recuperação esquecidos, use o guia Organize os acessos digitais do seu negócio antes de perder uma conta.

Se você informou dados bancários ou do cartão

Entre em contato imediatamente com o banco ou a administradora pelos canais oficiais. Explique quais informações foram fornecidas e siga as orientações de bloqueio, substituição, contestação ou monitoramento.

Não utilize telefone, link ou atendimento fornecido pela mensagem suspeita.

Se você realizou um Pix

Comunique o banco imediatamente, relate a fraude e peça a abertura do procedimento adequado. O Banco Central orienta que a vítima procure sua instituição para solicitar a devolução e registrar o caso. O Mecanismo Especial de Devolução pode ser aplicado em situações de fraude, mas a devolução não é automática nem garantida.

Se você pagou boleto ou outra cobrança falsa

Avise o banco assim que perceber o problema, preserve o documento e registre a ocorrência. O Banco Central também recomenda registrar boletim de ocorrência e procurar os canais de defesa do consumidor quando necessário.

Preserve as evidências

Guarde:

• capturas de tela;
• número do contato;
• endereço do site;
• arquivos recebidos;
• comprovantes;
• horários;
• e-mails;
• conversas;
• protocolos do banco;
• nomes e dados do beneficiário.

Não edite as imagens nem apague a conversa antes de registrar o conteúdo. As evidências ajudam a explicar o ocorrido ao banco, à plataforma e às autoridades.

Quando dados de clientes também puderem ter sido expostos, consulte o guia Como proteger os dados dos seus clientes sem virar especialista em lei e avalie quais pessoas, arquivos e acessos foram afetados.

Como criar uma rotina de verificação no pequeno negócio?

Uma rotina simples reduz o risco nos dias corridos, quando uma mensagem urgente pode ser confundida com mais uma tarefa comum.

Estabeleça estas regras:

1. pagamentos nunca são alterados apenas por mensagem;
2. códigos, senhas e PINs não são compartilhados;
3. links recebidos não substituem o aplicativo ou endereço oficial;
4. arquivos inesperados não são abertos sem confirmação;
5. pedidos incomuns são verificados por outro canal;
6. o beneficiário é conferido antes de qualquer pagamento;
7. incidentes são comunicados rapidamente ao banco e às pessoas afetadas.

Salve nos favoritos os endereços utilizados com frequência. Mantenha os aplicativos oficiais instalados pelas lojas do sistema. Registre os contatos corretos de bancos, fornecedores e plataformas importantes.

Quando mais de uma pessoa participa do atendimento ou dos pagamentos, o procedimento precisa ser conhecido por todos. Uma única pessoa sem orientação pode fornecer o código, abrir o arquivo ou aceitar a mudança de conta que o restante da equipe recusaria.

Checklist final antes de agir

Antes de clicar, responder, instalar ou pagar, confirme:

• Eu esperava esta mensagem.
• A solicitação faz sentido para a relação que tenho com o remetente.
• Acessei o serviço pelo aplicativo ou endereço oficial.
• Conferi o domínio completo.
• Confirmei a identidade por outro canal quando necessário.
• Verifiquei beneficiário, documento, instituição e valor.
• Não compartilhei senha, código de confirmação ou PIN.
• Não instalei aplicativo nem concedi acesso remoto.
• Tenho um registro do que foi confirmado e por quem.

Se algum item importante permanecer sem resposta, não continue apenas para “ver se funciona”. Pare e confirme.

Perguntas frequentes

Uma mensagem enviada por um contato conhecido pode ser golpe?

Sim. A conta pode ter sido invadida, clonada ou utilizada por outra pessoa. Confirme pedidos incomuns por um segundo canal, especialmente quando envolvem dinheiro, códigos, arquivos ou mudança de dados.

Um site que aparece no Google pode ser falso?

Sim. A presença em resultados ou anúncios não comprova que a página pertence à instituição apresentada. Acesse serviços importantes por aplicativo oficial, favorito salvo ou endereço conhecido.

Posso confiar em um site que não foi marcado como perigoso?

A ausência de alerta não é garantia. Sistemas de proteção identificam muitas páginas maliciosas, mas uma página nova pode ainda não ter sido detectada.

Devo responder à mensagem para pedir mais informações?

Quando houver suspeita, não forneça dados nem continue a conversa. Procure a pessoa ou a instituição por um contato independente.

Um golpista pode conhecer meu nome, CPF ou dados do negócio?

Sim. Informações verdadeiras podem ter sido obtidas em redes sociais, cadastros públicos, documentos, contas comprometidas ou vazamentos. O conhecimento desses dados não comprova a identidade do remetente.

Preciso reconhecer o tipo exato de golpe para me proteger?

Não. Reconhecer a modalidade ajuda, mas a proteção principal é interromper a ação e confirmar a solicitação por um caminho independente. O Método PARE foi estruturado justamente para situações em que o roteiro do golpe é novo ou desconhecido.

Plano de ação para hoje

1. Salve os endereços oficiais dos serviços mais importantes.
2. Confirme os contatos do banco, da hospedagem e dos principais fornecedores.
3. Ative autenticação em duas etapas nas contas críticas.
4. Revise quais pessoas têm acesso às contas do negócio.
5. Defina que mudanças de pagamento exigem confirmação independente.
6. Oriente quem recebe mensagens e faz pagamentos.
7. Registre onde um incidente deve ser comunicado.
8. Compartilhe o Método PARE com quem participa da operação.

Resumo prático

• aparência profissional não prova autenticidade;
• urgência é um sinal para interromper, não para acelerar;
• não use o link recebido para confirmar a própria mensagem;
• acesse o serviço pelo aplicativo ou endereço conhecido;
• confira o domínio completo;
• confirme a identidade por outro canal;
• verifique beneficiário e valor antes de pagar;
• não compartilhe códigos, senhas ou PINs;
• reaja rapidamente se informou dados ou realizou pagamento;
• preserve mensagens, endereços e comprovantes.

Você não precisa reconhecer cada modalidade de golpe pelo nome. Precisa aplicar um procedimento que continue funcionando quando a mensagem parecer possível, urgente e bem construída.

Pare. Acesse por fora. Revise. Execute somente depois da confirmação.

Fontes consultadas

Fontes oficiais verificadas em 30 de julho de 2026:

• Ministério das Comunicações — Ataque Phishing: como identificar tentativas de fraude na internet
• CERT.br — Cartilha de Segurança para Internet
• Ministério da Justiça e Segurança Pública — Cliquei em link suspeito
• Banco Central — Vítima fez um Pix e caiu em um golpe
• Google Chrome — Gerenciar avisos sobre sites não seguros

Elaboração e revisão: Estúdio Escrita Planejada. Conteúdo produzido para autônomos e pequenos negócios, com consulta às fontes oficiais indicadas nesta página.