A FTC informou que as perdas relatadas em golpes nas redes sociais ficaram oito vezes maiores que em 2020 (dados da FTC). Esse dado não prova que um e-mail específico seja fraudulento, mas reforça a decisão prática: não confie apenas no logotipo ou no nome exibido. Para saber se links de e-mails de verificação de cadastro são seguros, confirme que você iniciou o registro, confira o endereço completo do remetente e examine o destino real do link. Se a mensagem pedir senha, pagamento ou informações pessoais sensíveis, pare e acesse o serviço por um caminho oficial conhecido.
Você acabou de enviar um cadastro? Use as verificações abaixo antes de confirmar o endereço de e-mail.
A mensagem chegou sem você ter solicitado? Não clique; veja quando ignorar, denunciar ou excluir.
Você já abriu uma página suspeita? Feche-a e siga os passos de contenção, sem usar os contatos fornecidos pela própria mensagem.
Faça estas verificações antes de abrir o link
Confirme se você iniciou o cadastro
Primeiro, reconstrua o que aconteceu: você digitou seu endereço em um site ou aplicativo e enviou o formulário pouco antes de receber a mensagem? Confira o nome do serviço e o contexto da solicitação. Uma mensagem que chegou perto do momento do cadastro é compatível com o fluxo esperado, mas a coincidência de horário não comprova autenticidade.
Leia o texto sem tocar no link. A mensagem deve fazer sentido para a ação que você acabou de executar: por exemplo, confirmar um endereço usado no cadastro. Desconfie se ela tratar de uma conta, compra ou solicitação que você não reconhece, ou se pressionar você com uma ameaça urgente e sem relação com o que estava fazendo. A FTC recomenda não clicar em links inesperados e confirmar solicitações por canais que você já sabe que são legítimos (orientação da FTC sobre phishing).
A familiaridade do nome, a identidade visual e o tom profissional não bastam. Elementos visuais podem ser copiados; o que importa é verificar se a mensagem, o endereço do remetente, o destino do link e a ação solicitada são coerentes entre si. Mesmo quando todos parecem plausíveis, a checagem reduz o risco, mas não oferece garantia absoluta.
Como saber se o e-mail de confirmação de cadastro veio mesmo do serviço?
Veja o endereço completo do remetente, não apenas o nome que aparece em destaque na caixa de entrada. Em muitos serviços de e-mail, é possível tocar ou clicar no nome para abrir os detalhes. Compare o domínio após o símbolo “@” com o que você esperaria encontrar no serviço, verificando letras trocadas, palavras extras, hífens inesperados ou um domínio sem relação aparente.
Esse exame é um filtro, não um certificado. Um endereço que parece semelhante ainda pode ser enganoso, e um serviço pode enviar mensagens por meio de um fornecedor autorizado. Por isso, não trate uma diferença isolada como prova definitiva de fraude nem uma aparência convincente como prova de legitimidade. As orientações do Google recomendam analisar os detalhes da mensagem e ter cuidado com solicitações suspeitas (recomendações de segurança do Google).
A verificação deve cruzar três pontos: se você iniciou o cadastro, se o endereço completo do remetente parece compatível e se o destino do link pertence ao serviço esperado. Se um ponto não fechar, não avance pelo e-mail. Abra o aplicativo já instalado ou digite manualmente o endereço oficial que você conhece. O Login.gov também orienta a verificar mensagens por canais oficiais, em vez de confiar sem checagem no conteúdo recebido (instruções do Login.gov para verificar mensagens).
| Sinal observado | O que ele indica | Ação mais segura |
|---|---|---|
| Você acabou de preencher um cadastro e a mensagem corresponde à ação | O contexto é compatível, mas ainda falta conferir o remetente e o destino | Inspecione o endereço completo e o link antes de abrir |
| O nome exibido parece conhecido, mas o endereço tem grafia ou domínio estranho | Há uma inconsistência que exige cautela; sozinha, ela não confirma fraude | Não use o link; confirme a solicitação pelo canal oficial |
| A mensagem é inesperada e pede ação urgente | O pedido não corresponde a uma ação reconhecida e pode ser uma tentativa de pressão | Não responda nem forneça códigos; denuncie ou exclua |
| O link leva a um domínio que você não associa ao serviço | O destino não está confirmado como parte do fluxo esperado | Pare e acesse o serviço por um caminho conhecido |
Se a mensagem chegou sem solicitação, não valide o pedido
Vale clicar em um e-mail de verificação que você não pediu?
Não. Um e-mail de confirmação inesperado pode ter sido provocado por alguém que digitou seu endereço por engano, ou pode ser uma tentativa de fraude. Uma mensagem isolada não permite concluir que uma conta sua foi invadida. Também não é necessário clicar para descobrir por que ela chegou.
Não responda, não encaminhe códigos de verificação e não abra o link para “cancelar” uma solicitação que você não reconhece. Se o serviço for identificável, procure a página oficial por um caminho independente e verifique se há alguma atividade associada ao seu endereço. Se não houver motivo confiável para agir, use as opções de denunciar, marcar como spam ou excluir oferecidas pelo seu serviço de e-mail.
Códigos de uso único merecem o mesmo cuidado que senhas quando alguém os solicita fora do fluxo que você iniciou. Não os envie por resposta ao e-mail, mensagem ou ligação inesperada. Se a mensagem alegar que um código é necessário para proteger uma conta, não use o contato incluído nela: verifique diretamente no serviço.
A FTC recomenda que pessoas que suspeitam de golpe não usem os dados de contato da mensagem para confirmar sua legitimidade. O caminho mais seguro é encontrar um canal oficial por conta própria (orientações da FTC para reconhecer golpes).
Examine o destino real, sobretudo no celular
O que fazer se o link de cadastro apontar para um domínio desconhecido?
Antes de abrir, confira o endereço de destino. Em um computador, passe o cursor sobre o link, sem clicar, para ver a URL exibida pelo navegador ou pelo aplicativo de e-mail. Em um celular, mantenha o dedo pressionado sobre o link para abrir a prévia ou as opções de endereço, se o aplicativo oferecer esse recurso. Confira o destino que aparece na tela antes de decidir.
Um link pode exibir o nome de um serviço no texto e levar a outro endereço quando aberto. Compare o domínio do destino com o domínio oficial que você já conhece. Não confunda palavras parecidas, subdomínios ou partes longas do endereço com uma confirmação: o nome principal do domínio pode estar em outra posição. Se o endereço for encurtado, oculto ou difícil de interpretar, não tente adivinhar. Acesse o serviço diretamente pelo aplicativo ou digitando o endereço conhecido.
O FBI aconselha a evitar links suspeitos e a verificar solicitações por meio de canais confiáveis, em vez de usar o contato apresentado numa mensagem duvidosa (recomendações de cibersegurança do FBI). A agência de cibersegurança dos Estados Unidos também recomenda atenção a links e sinais de phishing (cartão de orientação da CISA).
| Destino ou comportamento | Decisão |
|---|---|
| O destino coincide com um domínio oficial que você já conhece e o cadastro foi iniciado por você | Ainda confira o conteúdo da página antes de fornecer qualquer informação |
| O endereço termina em domínio estranho, contém grafia suspeita ou não corresponde ao serviço | Não prossiga pelo link; abra o serviço pelo aplicativo ou endereço conhecido |
| O link é encurtado ou não permite conferir o destino com clareza | Não abra para descobrir onde leva; confirme o cadastro por outra via |
| O navegador mostra um alerta de segurança ou a página muda para outro domínio inesperado | Feche a página e não ignore o alerta |
O destino pode passar por redirecionamentos legítimos, mas isso não significa que qualquer sequência de domínios seja segura. Se, após abrir um link que você já verificou, o navegador mostrar um endereço diferente do esperado, uma página de login desconhecida ou um aviso de risco, pare. Não desative proteções do navegador para concluir uma confirmação de cadastro.
Por que um remetente aparentemente normal não garante um link seguro?
Porque o nome visível e o texto do link não são o destino. Uma mensagem pode usar uma apresentação convincente, enquanto o endereço real aponta para outro domínio. Além disso, uma página legítima pode ser imitada. A aparência, por si só, não revela quem controla a página nem o que ela fará com as informações inseridas.
Por isso, avalie a mensagem como um conjunto, sem transformar um único sinal em veredito. Pergunte: você iniciou a ação? O remetente é compatível? O destino leva ao serviço esperado? A página pede apenas o necessário para confirmar o cadastro? Uma resposta negativa ou incerta deve interromper o fluxo por e-mail e levar à verificação independente.
Interrompa o processo se a página pedir dados sensíveis
Uma confirmação de endereço e uma solicitação de senha, pagamento ou dados pessoais sensíveis são coisas diferentes. Se uma página aberta a partir de um e-mail de verificação pedir dados de cartão, senha de outra conta, documentos ou informações que não parecem necessárias para confirmar o cadastro, não os preencha. Feche a página e procure o serviço por uma via oficial.
Mesmo se a página mostrar o logotipo correto, não use a aparência para justificar o envio de dados. Confira o endereço na barra do navegador e compare com o domínio conhecido. Se você não conseguir verificar o destino ou entender por que a informação é solicitada, pare e consulte a documentação oficial do serviço, acessada independentemente do e-mail.
Decida pelo caminho adequado ao seu caso
Use estas condições para escolher o próximo passo:
- Se você iniciou o cadastro, reconhece o serviço, conferiu o remetente e o destino, e a página não pede informações inesperadas, prossiga apenas com a confirmação necessária.
- Se você iniciou o cadastro, mas não consegue confirmar o remetente ou o domínio, não use o link. Abra o aplicativo ou o endereço oficial conhecido e procure a opção de confirmar o e-mail dentro da conta.
- Se você não iniciou o cadastro, não clique, não responda e não compartilhe códigos. Denuncie como spam ou phishing, ou exclua a mensagem.
- Se a página pede senha, pagamento ou dados sensíveis sem justificativa clara, interrompa a operação e confirme a solicitação por um canal oficial.
- Se você já forneceu informações, trate o caso conforme o tipo de dado enviado e siga as instruções de segurança do serviço afetado.
Essa separação evita dois erros comuns: clicar por confiar no nome exibido e concluir que houve invasão apenas porque chegou um pedido inesperado. Em ambos os casos, a medida imediata é a mesma: não continuar pela mensagem até verificar a situação fora dela.
Se você já abriu o link, contenha o risco conforme o que aconteceu
Se apenas abriu a página, mas não digitou informações, feche a guia. Não baixe arquivos, não permita notificações e não aceite pedidos para instalar programas. Depois, acesse o serviço pelo aplicativo ou endereço que você já conhece e confira o estado do cadastro. Se nada foi enviado, o risco é diferente de uma situação em que uma senha ou dado de pagamento foi informado, mas a página ainda deve ser tratada como suspeita.
Se você enviou uma senha, altere-a diretamente no site ou aplicativo oficial, não no link recebido. Se a mesma senha era usada em outros serviços, troque-a também nesses serviços. Ative as opções de proteção adicionais oferecidas pelo provedor e verifique sessões ou atividades recentes, se essa função existir. Não use um número de telefone ou endereço de suporte exibido na página suspeita.
Se você informou dados de pagamento, entre em contato com a instituição financeira pelo canal oficial para pedir orientação e acompanhar movimentações. Se compartilhou informações pessoais, consulte as recomendações da FTC para pessoas que foram vítimas de fraude (orientação da FTC após um golpe). O procedimento correto depende do dado exposto e do serviço envolvido; não há uma ação única que resolva todas as situações.
Caso tenha baixado um arquivo ou instalado algo, não o abra nem continue a instalação. Use os recursos de segurança do dispositivo e consulte a orientação oficial do fabricante ou do serviço afetado. Se a conta estiver ligada a trabalho, pagamento ou outros serviços importantes, informe o suporte legítimo correspondente. Evite procurar ajuda respondendo à própria mensagem: isso mantém você no canal que ainda não foi autenticado.
Escolha o endereço de cadastro pensando também na recuperação
Depois de confirmar que o e-mail é legítimo, avalie se a conta precisará de acesso contínuo. Para uma inscrição de baixo risco, um endereço separado ou temporário pode reduzir a exposição do endereço principal em mensagens promocionais. Mas esse tipo de endereço não identifica nem bloqueia phishing: qualquer mensagem recebida ainda precisa passar pelas mesmas verificações de remetente, destino e conteúdo.
Para bancos, serviços de pagamento, contas de trabalho, órgãos públicos ou qualquer conta que você possa precisar recuperar, prefira um endereço que continuará sob seu controle. Se perder acesso à caixa usada no cadastro, talvez não consiga receber avisos de segurança ou redefinir a senha. Antes de usar um endereço temporário, considere se o serviço permitirá alterá-lo depois e se você terá como concluir a recuperação.
A política de privacidade da ForwardEasy pode ajudar a entender as informações relacionadas ao uso do serviço antes de escolher um endereço para uma inscrição. Para receber uma mensagem pontual, também vale comparar a conveniência de uma caixa temporária com a necessidade de manter acesso à conta no futuro. A opção de restauração de sessão da caixa de entrada é relevante quando você precisa entender como voltar a uma sessão; ela não substitui a avaliação de segurança do e-mail nem garante a recuperação de uma conta externa.
Em termos de decisão, a diferença principal é o custo de perder o acesso:
- Cadastro descartável ou de baixo risco: um endereço separado pode limitar a exposição do endereço principal, desde que a conta não dependa dele para recuperação permanente.
- Conta com dados, pagamentos ou uso recorrente: mantenha um endereço que você controla a longo prazo e consiga acessar quando precisar redefinir a senha.
- Mensagem de origem ou destino duvidoso: trocar de tipo de e-mail não torna o link seguro; a resposta é não clicar e confirmar pelo canal oficial.
Depois de verificar o remetente e o destino, se a inscrição for pontual e de baixo risco, a ForwardEasy pode ser considerada como uma opção para não expor o endereço principal. O endereço temporário não funciona como proteção contra phishing: confira cada mensagem recebida e não informe senha, pagamento ou dados sensíveis em uma página que você não conseguiu confirmar.
Comece com um endereço com contagem regressiva
Janela padrão de três horas, com extensão disponível antes da expiração; para relações importantes e duradouras, use uma entrada contínua.