Segurança

Como reconhecer um link falso antes de clicar

4 min de leitura Intermediário atualizado em 29 de agosto de 2026

Resposta rápida

Leia o endereço de trás para frente até a primeira barra: o que vem imediatamente antes é o domínio de verdade. Cadeado só significa conexão criptografada, não que o site é honesto.

✓ Fonte oficial Orientações de segurança digital estão no CERT.br, do Comitê Gestor da Internet. Conferir em Cartilha de Segurança — CERT.br.

Quase todo golpe digital passa por um link. Aprender a ler um endereço é a habilidade que mais protege — e leva cinco minutos para entender.

Onde está o domínio de verdade

Em um endereço, o que importa é o pedaço imediatamente antes da primeira barra, lido da direita para a esquerda. Nele, os dois últimos blocos antes do país são o domínio real.

banco.com.br/login — domínio é banco.com.br. Legítimo.
banco.com.br.acesso-cliente.net — domínio é acesso-cliente.net. Falso, mesmo começando com o nome do banco.
login.banco.com.br — domínio é banco.com.br, com um subdomínio. Legítimo.
banco-com-br.info — domínio é banco-com-br.info. Falso.

A regra: tudo que vem antes do domínio pode ser inventado pelo golpista. Tudo que vem depois da barra também.

Cadeado não é selo de confiança. Ele significa apenas que a conexão é criptografada — e certificados são gratuitos, então sites de golpe também os têm. Cadeado protege contra alguém interceptar o que você digita; ele não diz nada sobre quem está do outro lado. Um site de phishing com cadeado apenas garante que sua senha chegará ao golpista de forma segura.

Outros sinais

Letras trocadas: rn no lugar de m, l maiúsculo no lugar de i, zero no lugar de o.
Encurtadores, que escondem o destino. Use um serviço de expansão de link antes, ou simplesmente não clique.
Extensões incomuns em contexto brasileiro para instituição nacional.
Endereço muito longo, com o nome da marca repetido várias vezes.
Anúncio patrocinado no buscador — golpistas compram anúncios com o nome de bancos e empresas.

Como conferir sem clicar

No computador, passe o mouse sobre o link e leia o endereço que aparece no canto inferior.
No celular, pressione e segure o link: uma prévia com o endereço aparece.
Copie o link e cole em um bloco de notas para ler com calma.
Na dúvida, não clique: digite o endereço oficial você mesmo.

A regra geral que dispensa análise

Você não precisa avaliar cada link. Basta adotar o hábito de chegar pelos seus próprios meios: abra o aplicativo, digite o endereço, use um favorito salvo. Nenhuma mensagem legítima deixa de funcionar por você acessar o serviço por conta própria — e todo golpe deixa.

Se você já clicou e digitou

Troque a senha imediatamente, de outro aparelho, e ative a verificação em duas etapas.
Se digitou dados de cartão, peça bloqueio.
Confira sessões abertas na conta afetada e encerre as desconhecidas.
Registre boletim de ocorrência se houver prejuízo.

Perguntas frequentes

Encurtador é sempre perigoso?

Não, mas ele esconde o destino. Prefira não clicar em encurtador recebido de desconhecido.

Site com cadeado é seguro?

Só a conexão é. O site pode ser fraudulento mesmo com cadeado.

E link de anúncio no buscador?

Anúncios podem ser comprados por golpistas. Prefira o resultado orgânico ou digite o endereço.

Como sei o endereço oficial de uma empresa?

Pelo aplicativo oficial, por documento impresso que você já tem, ou pelo verso do cartão, no caso de bancos.

Outras respostas

Dinheiro