Era cedo, eu ainda não tinha tomado o primeiro café do dia e mal estava acordado. Como faço todas as manhãs, sentei na frente do computador para checar as mensagens da noite anterior e me surpreendi ao encontrar um e-mail da minha esposa — aparentemente uma fatura em aberto. De cara, o valor me chamou a atenção. Mesmo assim, o e-mail tinha aparência de algo de uma empresa legítima, então o examinei com mais cuidado. E então… comecei a perceber detalhes. Pequenas coisas que não fechavam. Só nesse momento caí na real e pensei: “Caramba.” Tinha acabado de gastar mais de cinco minutos analisando um golpe.
Trabalho na internet há mais de duas décadas — o que significa que trabalho com e-mail há tanto tempo também. Nesse período, já vi tentativas de fraude e golpes das mais variadas formas, então me surpreendeu o tempo que levei para perceber o que estava na minha frente. Para ser justo comigo mesmo, minha lucidez nas primeiras horas da manhã deixa um pouco a desejar. Mesmo assim, as vezes em que demorei tanto para identificar uma tentativa de fraude dá para contar nos dedos de uma mão (ou quem sabe estou simplesmente ficando mais velho).
Alguns golpes foram ficando cada vez mais sofisticados com o tempo, e os criminosos por trás deles não param de inventar novas formas de nos pegar na armadilha. Mas apesar das inúmeras formas que a fraude pode assumir, os mecanismos por trás da maioria dos e-mails fraudulentos são quase sempre os mesmos. Algumas estratégias simples são suficientes para nos proteger da grande maioria das tentativas de golpe — ou ao menos nos colocar em alerta.
Reconhecendo os sinais de perigo
Vivemos num mundo saturado de informação, e prestar atenção em tudo o que chega à nossa caixa de entrada é praticamente impossível. É exatamente nessas brechas de atenção que a fraude prospera. Por isso, o primeiro passo para se proteger de e-mails fraudulentos é aprender a reconhecer os sinais de alerta.
Se você está com pouco tempo e quer as respostas logo, aqui estão os sinais de perigo mais frequentes. Um e-mail pode ser fraudulento se ele:
- Afirma que algo está em risco, ou que você pode perder ou deixar de ganhar algo importante.
- Diz que você precisa agir com urgência.
- Pede que você faça um pagamento, forneça informações sensíveis (dados pessoais, informações de pagamento, senhas, etc.) ou baixe um arquivo.
- Se dirige a você de forma genérica (ex.: “Prezado cliente”) e oferece poucos detalhes que confirmem que a mensagem foi escrita especificamente para você, e não enviada em massa.
- Contém linguagem estranha, incoerente ou mal escrita.
Se você não tem certeza se o e-mail que acabou de receber é um golpe, revise a mensagem com calma e em caso de dúvida, consulte alguém de confiança com experiência no assunto.
Golpistas não querem que você pense
Quanto mais atenção você dedica a um e-mail fraudulento, maiores as chances de perceber que algo não bate. Por isso, os golpistas tentam fazer com que você aja rápido e pense o mínimo possível.
No mundo físico, quase todos já passamos por situações em que alguém nos pressionou — pessoalmente ou por telefone — a tomar uma decisão imediata (assinar um contrato, fazer uma compra, fechar um acordo no trabalho) da qual nos arrependemos pouco depois. Num e-mail, os golpistas não têm como pressionar diretamente, então recorrem a um truque psicológico: criar a sensação de que você tem algo a perder.
Somos programados para evitar perder qualquer coisa que consideramos importante. Quando acreditamos que algo que valorizamos — nosso dinheiro, nossa privacidade, nosso emprego — pode estar em risco, temos uma reação visceral. Essa mensagem age quase como um feitiço que captura completamente nossa atenção. Dar um passo atrás e pensar com clareza nesse estado requer um esforço consciente, o que explica por que os golpistas usam essa tática com tanta frequência.
O mesmo efeito acontece quando sentimos que podemos perder a chance de conseguir algo valioso com pouco esforço. Nesse caso, o nosso cérebro trata o ganho potencial como se já fosse nosso e gera um impulso para assegurá-lo. Em ambos os cenários, a inércia nos empurra para uma ação impulsiva e irreflexiva — razão pela qual tendemos a tomar decisões piores. Esse efeito se intensifica quando a urgência é adicionada à equação, por isso mensagens fraudulentas frequentemente nos pressionam a agir rápido para evitar uma suposta ameaça ou aproveitar uma oportunidade passageira.
Alguns exemplos comuns dessa estratégia são mensagens que afirmam que:
- Seu computador foi hackeado.
- Alguém acessou sua conta bancária.
- O e-mail da sua empresa não está mais disponível.
- Você precisa verificar sua identidade ou recuperar sua conta.
- O acesso ao seu banco ou depósitos foi bloqueado.
- Você foi selecionado como ganhador de um sorteio do qual nunca participou.
Mensagem solicitando a reativação de uma conta. O e-mail não especifica de qual conta se trata e usa linguagem suspeitosamente vaga.
Um e-mail fraudulento sempre vai pedir algo de você
Vou afirmar algo óbvio agora, então tente não revirar os olhos — ou descontar a frustração no teclado: um e-mail fraudulento sempre quer algo seu, e quase sempre é o seu dinheiro. (Eu sei, mas é sempre bom lembrar.)
Algumas mensagens vão direto ao ponto e tentam que você faça um pagamento. Outras são mais sofisticadas e tentam convencê-lo a fornecer dados que dariam acesso ao seu cartão de crédito ou conta bancária — seja preenchendo um formulário, seja baixando um arquivo que permita acessar ou assumir o controle do seu computador, para roubar seus dados ou te chantagear.
Para não cair na armadilha, é importante ter cuidado especial quando alguém pede que você: envie um pagamento, forneça ou atualize informações de pagamento, compartilhe dados de contato ou qualquer informação pessoal — especialmente credenciais de acesso ou senhas. Da mesma forma, só clique em links ou abra anexos quando tiver absoluta certeza de que a mensagem é legítima. E em hipótese alguma permita a instalação de nenhum tipo de software no seu dispositivo.
O jogo dos números
Os golpes por e-mail funcionam com base em uma lógica de volume: quando você envia uma mensagem para milhares de pessoas, basta que uma porcentagem mínima caia na armadilha para o esquema ser lucrativo. Ou seja, se um golpista envia 10.000 mensagens e engana apenas 0,3% dos destinatários, isso significa 30 pessoas que provavelmente já estavam tendo um dia ruim — e vão ter um dia muito pior.
Executar um golpe por e-mail não exige grande sofisticação, porque sempre existe uma pequena probabilidade de que alguém morda a isca. O golpista simplesmente precisa contatar pessoas suficientes para que as estatísticas joguem a seu favor (se você já tinha alguma razão para não gostar de matemática, agora tem mais uma).
Ao mesmo tempo, as tentativas de fraude se tornam especialmente perigosas quando acreditamos que a mensagem foi preparada especificamente para nós, e não enviada em massa. Para manter essa ilusão, as mensagens fraudulentas costumam ser vagas e repletas de generalidades — saudações genéricas (Prezado cliente, Olá…) e referências abstratas a “suas contas”, “sua fatura”, “seu serviço”, etc. Dessa forma, os golpistas conseguem atingir um grande número de pessoas com o mínimo de esforço.
Esse também é o motivo pelo qual muitas mensagens fraudulentas são mal escritas. Ao enviar mensagens em vários idiomas, os golpistas simplesmente buscam maximizar o alcance sem investir muito tempo ou cuidado na redação — portanto, gramática e clareza raramente são prioridade.
Desmascarando fraudes
Imagine uma mensagem que começasse assim:
Prezado usuário,
Permita-me me apresentar: sou um golpista da internet e meu objetivo é ficar com o seu dinheiro…
Essa sim seria uma mensagem genuinamente suspeita.
Infelizmente, a honestidade não é uma qualidade muito valorada entre os golpistas, então eles sempre tentam “disfarçar” suas mensagens para que pareçam vir de pessoas ou empresas que conhecemos. Isso não é coincidência. Em geral, tendemos a confiar mais em pessoas e instituições familiares — especialmente aquelas com boa reputação. Isso nos torna mais receptivos às suas solicitações e aumenta as chances de que cumpramos o que nos pedem.
No entanto, se passar por outra pessoa na internet é relativamente simples com um mínimo de conhecimento técnico. Por isso, nunca devemos confiar em uma mensagem apenas com base em quem parece tê-la enviado.
Apesar das medidas de segurança introduzidas nos últimos anos para evitar isso, manipular uma mensagem para simular que ela veio de uma determinada pessoa ou endereço de e-mail continua sendo surpreendentemente fácil. Receber um e-mail de um endereço que você conhece não garante absolutamente que a mensagem seja legítima.
Atenção aos detalhes: como desmascarar golpes
Na história do início do artigo, descrevi como os detalhes foram decisivos para que eu percebesse a fraude. Se você sabe onde procurar, e-mails fraudulentos sempre contêm informações que permitem identificá-los. “Por que você não começou por aí?”, você deve estar se perguntando. A razão é simples: meu objetivo é te dar ferramentas para identificar e-mails fraudulentos sem precisar de conhecimento técnico. E para perceber esses detalhes, primeiro é preciso estar prestando atenção. Caso contrário, é extremamente fácil que passem despercebidos.
Endereço de e-mail
O endereço do remetente jamais garante a identidade de quem enviou o e-mail. Como mencionei acima, existem formas relativamente simples de se passar por outra pessoa usando o nome e o endereço de e-mail dela. Mesmo assim, o endereço do remetente pode nos dar muitas pistas quando:
- O domínio do endereço de e-mail não corresponde ao nome da empresa ou instituição que supostamente nos escreveu (por exemplo, se você recebe uma mensagem da Amazon com um endereço como amazon@myshop.xyz).
Suposta mensagem da Receita Federal espanhola enviada de um domínio .jp (Japão).
- Uma empresa envia uma mensagem usando um serviço de e-mail gratuito (Gmail, Hotmail, Outlook, etc.).
Mensagem solicitando a verificação de uma conta bancária, enviada a partir de um endereço do Hotmail.
- Ao clicar em “Responder”, o endereço do destinatário é diferente do endereço de quem supostamente te enviou o e-mail. Se você tem mais experiência, também pode verificar o campo “reply-to” nos cabeçalhos do e-mail.
- O domínio usado pelo remetente é semelhante ao de uma marca conhecida, mas não é o domínio real dela (por exemplo, netxflix.com ou contas-netflix.com em vez de netflix.com).
Links
Quando uma mensagem contém um link, a tentação de clicar é grande. Mas antes de fazer isso, vale verificar se o link realmente vai para onde você imagina. Assim como com os endereços de e-mail, disfarçar um link é algo simples. Às vezes, os golpistas usam um domínio parecido com o da empresa que estão imitando (na Registros.com bloqueamos tentativas de registro desse tipo de domínio diariamente). Mas com mais frequência, o texto do link (o que você vê na mensagem) e o destino real são simplesmente diferentes. Para verificar, basta passar o cursor sobre o link sem clicar. A barra inferior do seu navegador ou cliente de e-mail mostrará qual é o endereço real de destino.
Esta mensagem falsa da American Express direciona para um site completamente diferente.
Conclusão: nunca subestime a fraude
É curioso: o simples fato de você ter lido este artigo já reduz suas chances de se tornar vítima de um golpe por e-mail. E não, isso não tem nada a ver com a minha explicação (espero que tenha sido informativa e ao mesmo tempo entretenida). O fato de você estar ciente de que fraudes existem e estar se informando para evitá-las é a primeira e mais importante camada de proteção.
Mesmo assim, ninguém está completamente imune a ser vítima de um golpe. As fraudes por e-mail geram prejuízos de bilhões de dólares todos os anos, o que significa que há mais vítimas do que gostaríamos. A maioria das tentativas de fraude é relativamente fácil de reconhecer — mas alguns golpes são genuinamente sofisticados. Por isso, fique atento e não baixe a guarda.