Para saber se um link é golpe antes de clicar, olhe quem é o dono do endereço: o trecho entre o https:// e a primeira barra, lido da direita para a esquerda. Se ele não terminar exatamente no domínio oficial da empresa, não clique. E, na dúvida, não use o link: digite você mesmo o endereço oficial ou abra o aplicativo.

Abaixo estão os sinais que aparecem no próprio endereço, como ver para onde um link encurtado leva, as ferramentas sérias e gratuitas que checam um site, os golpes que chegam por SMS e WhatsApp e o que fazer se você já clicou. Para quem tem pressa:

• O dono do link fica antes da primeira barra

• Cadeado e https não provam que o site é confiável

• Encurtador se confere no Link Checker do Bitly

• Google Transparency Report e VirusTotal checam o endereço de graça

• Clicou e digitou algo? Troque a senha e ligue para o banco

Leia o endereço da direita para a esquerda

O endereço que importa é o que fica entre o https:// e a primeira barra. Dentro dele, o nome do dono é a parte logo à esquerda do final público, como .com.br ou .gov.br. Em rastreamento.correios.com.br, o dono é correios.com.br. Tudo o que vem depois da barra o dono do site escreve como quiser.

Essa regra vem da própria estrutura da internet: o nome de domínio é lido da direita para a esquerda, e quem controla um nome pode criar quantos subdomínios quiser na frente dele. Os Correios usam isso no aviso de segurança deles: "Cuidado com sites que não terminam em correios.com.br, pode ser golpe!". Os exemplos corretos que eles dão são rastreamento.correios.com.br, blogdonoel.correios.com.br e saladeimprensa.correios.com.br.

Veja como isso se aplica, com endereços inventados para o exemplo:

Link	Quem é o dono	Leitura
https://rastreamento.correios.com.br/app	correios.com.br	Oficial: termina em correios.com.br
https://correios.com.br.sitefalso.com/taxa	sitefalso.com	Golpe: "correios.com.br" é só um subdomínio criado pelo dono de sitefalso.com
https://sitefalso.com/correios.com.br/rastreio	sitefalso.com	Golpe: o nome dos Correios está no caminho, depois da barra
https://www.gov.br/receitafederal	gov.br	Oficial: só órgão do governo federal registra .gov.br

Sobre o gov.br: o Registro.br exige comprovação de que a instituição pertence ao governo federal para registrar esse final, e estados e prefeituras usam endereços dentro dele, como sp.gov.br. Já o final .b.br, reservado a bancos com autorização do Banco Central, não serve de teste: os grandes bancos usam endereços .com.br, e a Caixa usa caixa.gov.br. E finais novos não param de aparecer, como mostra a fila de 1.615 pedidos de novos domínios na ICANN, então decorar terminação não basta: decore o domínio oficial de quem você usa.

O nome do banco pode aparecer em qualquer lugar do link. O que importa é o que vem logo antes da primeira barra.

Domínio parecido, letra trocada e o cadeado

O golpe mais difícil de ver é o domínio quase igual ao verdadeiro: uma letra trocada, um hífen a mais ou um caractere de outro alfabeto que parece latino. O Chrome tenta avisar com a mensagem "Você quis dizer...?" quando o endereço é um pouco diferente de um site conhecido, mas o aviso não pega tudo.

Os truques mais comuns:

• Letra parecida: "rn" no lugar de "m", "l" no lugar de "I", zero no lugar de "o". Leia devagar, letra por letra.

• Alfabeto misturado: o "а" cirílico é igual ao "a" latino na tela. Quando o nome mistura alfabetos de um jeito suspeito, o Chrome mostra o endereço na forma técnica, começando com "xn--". Se você vir "xn--" num link de banco ou loja, desconfie.

• Caractere enfeitado: o próprio WhatsApp dá o exemplo de um link com "ʷ" no lugar do "w" e diz que o aplicativo pode destacar caracteres incomuns na mensagem.

No final .br esse último truque não cola: o Registro.br só aceita letras de a a z, números, hífen e acentos do português, e não deixa registrar a versão com acento ou hífen de um nome que já é de outra pessoa. O risco de alfabeto misturado está nos outros finais, como .com e .net.

E o cadeado? Ele só diz que a conexão é criptografada. Em 2023, a equipe de segurança do Chrome escreveu que o ícone do cadeado não indica que o site é confiável e que quase todo site de phishing usa HTTPS. A ajuda do Chrome repete: mesmo em conexão segura, confira o nome do site na barra de endereço.

Encurtador: veja o destino antes de abrir

Link encurtado esconde o destino, mas dá para ver para onde ele leva sem abrir. Para links do Bitly, a ferramenta oficial é o Link Checker: você cola o link curto, clica em "Check it" e vê o endereço completo. No TinyURL, a página tinyurl.com/preview liga uma pré-visualização que mostra o destino antes de redirecionar.

• Bitly: o Link Checker do Bitly é o caminho documentado. Há também um atalho antigo, acrescentar "+" no fim do link curto, que em 27/10/2026 ainda abria a página de informação com o destino; ele não está na ajuda oficial e pode mudar.

• TinyURL: acesse tinyurl.com/preview e ative a pré-visualização. Ela depende de cookies no navegador, então vale só naquele navegador.

• iPhone: a Apple orienta tocar e manter o link pressionado para ver o endereço antes de abrir. No Mac, passe o mouse sobre o link.

Nem todo link curto é suspeito. Um link que começa com wa.me, por exemplo, é o formato oficial do WhatsApp para abrir conversa com um número, o mesmo que o gerador de link do WhatsApp monta. Nesse caso, o cuidado é com o que a conversa vai pedir, não com o endereço.

Ferramentas que checam um link de graça

Duas ferramentas sérias e gratuitas checam um endereço sem você abri-lo: a consulta de status do site do Google, no Transparency Report, e o VirusTotal, que reúne a opinião de dezenas de empresas de segurança. Nenhuma das duas prova que o site é seguro. Elas dizem se alguém já o marcou como perigoso.

Ferramenta	Como usar	Como ler o resultado
Google Transparency Report (Navegação segura)	Cole o endereço na consulta de status do site	"Este site não é seguro" é alerta claro. "Nenhum conteúdo não seguro foi encontrado" só diz que o Google ainda não marcou o site
VirusTotal	Aba URL, cole o endereço	"10/93" quer dizer que 10 de 93 empresas que avaliaram marcaram como nocivo. Poucos alertas já pedem cuidado

A consulta do Google fica em transparencyreport.google.com. O próprio Google lembra, na página, que muitos sites perigosos são sites legítimos que foram invadidos, o mesmo problema que eu descrevi no post sobre invasão hacker com IA em sites públicos. E avisa que a segurança de um site muda com o tempo. Golpe criado hoje pode ainda não estar na lista.

No VirusTotal, um teste mostra o limite: a página de phishing de teste do próprio Google aparecia, em 27/10/2026, com 10 alertas em 93 parceiros, e 47 deles a classificavam como limpa. Ou seja, "limpo" na maioria não prova nada. E há uma ressalva de privacidade que pouca gente lê: o que você envia é compartilhado com a comunidade de segurança, e o VirusTotal pede para não enviar informação pessoal. Não cole ali link de redefinição de senha, link com CPF ou com código de acesso no endereço.

A terceira camada fica no navegador. No Chrome do computador, vá em Mais, Configurações, Privacidade e segurança, Segurança, e escolha "Proteção reforçada", que protege contra ameaças novas e conhecidas; a "Proteção padrão" cobre só as conhecidas. No celular, o caminho é Mais, Configurações, Privacidade e segurança, Navegação segura. Se o Chrome mostrar o aviso vermelho de "Site perigoso", o Google recomenda não entrar.

Golpes da vez por SMS e WhatsApp

A regra do CERT.br para mensagem com link é simples: se envolve dinheiro, dado pessoal ou alguma vantagem, assuma que é golpe até que se prove o contrário, mesmo que a mensagem saiba seu nome e seu CPF. Os temas mais usados são CPF cancelado, encomenda retida, pagamento pendente, token para recadastrar e pontos expirando.

Os órgãos imitados avisam, com todas as letras, o que não fazem:

• Correios: não enviam mensagens com links diretos para pagamento. O SMS oficial só orienta a pagar taxa de importação pelo site ou aplicativo oficial.

• Receita Federal: não envia mensagens com links para regularizar pendências, e a restituição cai sozinha na conta informada na declaração.

• Banco Central: não envia links nem entra em contato sobre Valores a Receber. O único site é valoresareceber.bcb.gov.br.

• Multa: a PRF não manda multa por SMS ou e-mail; a notificação vem pelos Correios ou pela Carteira Digital de Trânsito. A regra varia por estado, mas o Detran do Rio, por exemplo, diz o mesmo.

No WhatsApp, a central de ajuda lista os sinais de mensagem suspeita: erro de português, pedido para tocar num link, ativar recurso ou baixar aplicativo, pedido de dados, de dinheiro ou para encaminhar a mensagem, e alguém fingindo ser conhecido. Para denunciar no Android, abra a conversa, toque no menu e em "Mais" e "Denunciar"; para bloquear, menu, "Configurações" e "Bloquear". No iPhone, no app Mensagens, toque em "Relatar Mensagem Indesejada" abaixo da mensagem.

QR Code também é link. O CERT.br manda conferir se não há adesivo colado por cima em placas e mesas, ignorar QR Code de cobrança recebido por mensagem e, antes de pagar, conferir o valor e o nome de quem vai receber. Foi o mesmo roteiro do golpe da pendência eleitoral: órgão de verdade, urgência inventada e um link. E, se o link mandar baixar um aplicativo, lembre que no Android o APK enviado por site ou WhatsApp segue instalando, mesmo com a nova trava de desenvolvedor verificado.

Cliquei no link. E agora?

Depende do que você fez depois de abrir. Se digitou senha, troque-a em todas as contas onde ela se repete e ative a verificação em duas etapas. Se passou dados do cartão, bloqueie o cartão no banco. Se pagou Pix, conteste pelo aplicativo para acionar o MED. Se instalou algo, rode o antivírus e remova o aplicativo.

1. Só abriu e não digitou nada: feche a página. O CERT.br trata "acessou um link" junto com "abriu um arquivo" e orienta rodar uma verificação completa com antivírus, então faça isso.

2. Digitou senha: troque já, em todas as contas onde ela se repete, ative a verificação em duas etapas, recuse aprovação de login que você não pediu e encerre as sessões em outros aparelhos. Para criar senhas novas, o gerador de senha forte do golber.net roda no seu navegador e não envia a senha para lugar nenhum.

3. Passou dados do cartão: peça o bloqueio ou o cancelamento do cartão, desligue as compras on-line do cartão físico e conteste o que não reconhecer, inclusive em faturas anteriores.

4. Pagou Pix: conteste pelo aplicativo do banco, porque o prazo é de até 80 dias e quanto antes, maior a chance. O roteiro está no post sobre o golpe da voz clonada no Pix.

5. Instalou aplicativo no Android: confira se o Play Protect está ligado (Play Store, ícone do perfil, "Play Protect", "Configurações", "Verificar apps com o Play Protect") e desinstale o que não veio da loja oficial. Se foi app indicado por falso funcionário de banco, o CERT.br orienta restaurar o celular para as configurações de fábrica.

6. Guarde provas e registre boletim de ocorrência se houve prejuízo ou uso dos seus dados. Na maioria dos estados dá para fazer pela internet.

Depois, denuncie para o golpe durar menos: o Google recebe páginas de phishing pelo formulário da Navegação segura, o Bitly tem formulário de denúncia de abuso, e o CERT.br recebe notificações por e-mail em [email protected]. O CERT.br contou 22.818 notificações de páginas falsas em 2025, e são só as que alguém se deu ao trabalho de mandar.

O link mais seguro é o que você mesmo digita. Mensagem que traz link pronto para resolver algo urgente é exatamente o que o golpista quer que você abra.

Perguntas frequentes

Site com cadeado é seguro?

Não necessariamente. O cadeado só indica que a conexão é criptografada. A equipe de segurança do Chrome escreveu que quase todo site de phishing usa HTTPS e mostra o cadeado, por isso o que vale é conferir o nome do site na barra de endereço.

Como ver para onde vai um link encurtado sem abrir?

No Bitly, cole o link no Link Checker oficial, que mostra o endereço completo. No TinyURL, ative a pré-visualização em tinyurl.com/preview. No iPhone, toque e mantenha o link pressionado para ver o endereço.

O VirusTotal é confiável para checar link?

É uma ferramenta séria e gratuita para uso pessoal, que junta a avaliação de dezenas de empresas de segurança. Mas ela só mostra quem já marcou o site, e o que você envia é compartilhado com a comunidade de segurança, então não envie link com dado pessoal.

Só abri o link, sem digitar nada. Corro risco?

O risco é menor do que quando você digita dados ou baixa um arquivo, mas não é zero. O CERT.br orienta rodar uma verificação completa com antivírus depois de acessar um link suspeito.

Como denunciar um link de golpe?

No WhatsApp, use "Denunciar" e "Bloquear" na conversa. A página falsa pode ir para o formulário de denúncia da Navegação segura do Google, e o CERT.br recebe notificações em [email protected]. Se houve prejuízo, registre boletim de ocorrência.

Link do gov.br é sempre oficial?

Endereço que termina em gov.br é do governo, porque o Registro.br exige comprovação para esse final. Mas confira se o gov.br está mesmo antes da primeira barra, e não no meio do caminho do link.