Como verificar se uma página de pagamento foi criada apenas para roubar dados
Uma página de pagamento falsa pode ser visualmente quase idêntica ao checkout de uma loja conhecida. Logotipo, cores, fotografias de produtos e campos para cartão podem ser copiados com facilidade. O objetivo, porém, não é concluir uma compra, mas fazer a vítima entregar número do cartão, código de segurança, senha ou outras informações pessoais.
Por isso, avaliar apenas a aparência do site não é suficiente. Antes de informar dados financeiros, é importante verificar o endereço da página, a origem do link, a reputação da loja e principalmente se o pagamento faz sentido dentro daquela compra.
Comece verificando o endereço do site
O endereço exibido pelo navegador é uma das informações mais importantes.
Golpistas podem registrar domínios parecidos com os de empresas legítimas, utilizando pequenas alterações na escrita, palavras adicionais ou outros recursos destinados a confundir quem acessa rapidamente.
O CERT.br recomenda conferir o endereço do site e ficar atento a endereços parecidos com os legítimos, além de evitar clicar em links recebidos quando houver dúvida sobre sua procedência.
Se uma mensagem afirma ser de uma determinada loja, banco ou serviço, uma alternativa mais segura é não utilizar o link recebido. Abra o navegador e acesse o serviço pelo endereço que você já conhece ou por um aplicativo oficial.
HTTPS sozinho não prova que a loja é verdadeira
Um erro comum é considerar qualquer página segura simplesmente porque utiliza HTTPS.
O HTTPS é importante porque protege a comunicação entre o navegador e o servidor. Entretanto, ele não comprova que a empresa por trás daquele servidor é legítima.
Uma página criada especificamente para phishing também pode utilizar HTTPS.
Portanto, a presença de uma conexão protegida deve ser considerada apenas um dos elementos da análise. O endereço correto e a legitimidade da empresa continuam sendo fundamentais.
Desconfie quando o pagamento surgiu de um link inesperado
A maneira como você chegou à página ajuda a avaliar o risco.
Tenha mais cautela quando o endereço foi enviado por SMS, mensagem instantânea, rede social ou e-mail inesperado, principalmente quando a comunicação tenta criar urgência.
Mensagens sobre compras que você não reconhece, supostos problemas na entrega, necessidade de pagar uma pequena taxa ou risco de bloqueio da conta são exemplos de situações que merecem verificação independente.
A Comissão Federal de Comércio dos Estados Unidos, FTC, alerta que mensagens de phishing frequentemente tentam convencer a pessoa a clicar em links utilizando histórias como atividades suspeitas, problemas em contas, cobranças ou necessidade de confirmar informações.
Em vez de continuar pelo link, procure a empresa por outro caminho.
Compare o domínio com o site oficial
Se você estiver diante de uma página de pagamento e ainda tiver dúvidas, abra uma nova aba e procure o endereço oficial da empresa por uma fonte confiável.
Compare cuidadosamente o domínio.
Não basta verificar se o nome da empresa aparece em algum lugar do endereço. O domínio precisa realmente pertencer ao serviço.
Essa atenção é particularmente importante em endereços longos. Uma palavra conhecida pode aparecer apenas como parte de um subdomínio ou de outro endereço controlado por terceiros.
Pesquise a empresa antes de pagar
Quando a compra está sendo realizada em uma loja desconhecida, faça uma verificação adicional antes de informar o cartão.
O CERT.br orienta consumidores a pesquisar sobre a loja e analisar opiniões de clientes, além de desconfiar de ofertas muito abaixo dos valores normalmente praticados.
Procure informações que possam ser verificadas independentemente do próprio site.
Uma página fraudulenta pode inventar avaliações, selos de segurança, depoimentos e números de atendimento. Portanto, elementos apresentados pela própria página não deveriam ser a única evidência utilizada para decidir se ela é confiável.
Preço muito baixo merece atenção
Uma promoção agressiva não significa automaticamente fraude. Lojas legítimas fazem liquidações e oferecem descontos.
O problema aparece quando a oferta parece existir principalmente para impedir que o consumidor pense antes de pagar.
Desconfie da combinação de preço excepcionalmente baixo com mensagens como disponibilidade extremamente limitada, cronômetros de contagem regressiva, pressão para pagamento imediato ou promessa de vantagem condicionada a uma transferência naquele momento.
O ideal é comparar o produto com outras lojas e verificar se o valor possui alguma justificativa plausível.
Observe quais informações estão sendo solicitadas
Uma página de pagamento precisa de determinados dados para processar uma compra, mas pedidos incomuns merecem atenção.
Desconfie especialmente quando o site solicita credenciais que normalmente pertencem a outro serviço.
Uma loja não deveria precisar da senha do seu e-mail para vender um produto. Da mesma forma, páginas de pagamento suspeitas podem tentar coletar informações adicionais alegando que são necessárias para “validar” a compra.
Bancos e instituições legítimas possuem seus próprios mecanismos de autenticação. Nunca informe senha bancária completa, códigos recebidos por mensagem ou credenciais de outra conta simplesmente porque uma página desconhecida solicitou.
Confira cuidadosamente pagamentos por Pix
No Brasil, o Pix merece uma verificação adicional porque a transferência pode ser concluída rapidamente.
O Banco Central orienta que, antes de confirmar uma transação, o usuário confira as informações do recebedor e tenha atenção redobrada diante de pedidos de dinheiro recebidos por mensagens.
Se uma loja apresentar um QR Code ou código Pix, observe os dados mostrados pelo aplicativo do seu banco antes da confirmação.
Se o destinatário apresentado não fizer sentido para aquela compra, interrompa o pagamento e procure a empresa por outro canal.
A simples presença do logotipo da loja ao lado de um QR Code não comprova quem receberá o dinheiro. A informação exibida pelo aplicativo financeiro no momento da transação é muito mais relevante.
Não instale aplicativos para “liberar” o pagamento
Uma compra normal não deveria exigir que você instale um programa desconhecido para conseguir pagar.
Interrompa o processo caso uma página solicite a instalação de aplicativos fora das lojas oficiais, extensões de navegador, arquivos executáveis ou ferramentas de acesso remoto.
Também tenha cautela se alguém entrar em contato depois de uma suposta falha de pagamento e pedir acesso remoto ao computador ou celular.
Nesse cenário, não continue seguindo as instruções recebidas. Entre em contato diretamente com a instituição financeira utilizando seus canais oficiais.
Alertas do navegador não devem ser ignorados
Navegadores modernos possuem mecanismos destinados a identificar algumas páginas perigosas.
O Google Safe Browsing, por exemplo, verifica URLs contra listas de recursos considerados inseguros e pode apresentar alertas sobre sites potencialmente perigosos.
Essas proteções são úteis, mas não conseguem identificar imediatamente todas as páginas fraudulentas.
Um site recém-criado pode ainda não ter sido classificado como perigoso. Portanto, ausência de alerta não equivale a uma garantia de legitimidade.
Por outro lado, se o navegador apresentar explicitamente um aviso de phishing, malware ou conexão insegura, não ignore a mensagem apenas para finalizar uma compra.
O que fazer se você já informou os dados
Se percebeu o problema depois de preencher a página, agir rapidamente pode reduzir os danos.
Caso tenha fornecido dados do cartão, entre em contato com a instituição financeira pelos canais oficiais e informe o ocorrido. Verifique as transações e siga as orientações fornecidas pelo banco ou emissor.
Se uma senha foi informada, altere-a diretamente no serviço verdadeiro. Caso a mesma senha tenha sido reutilizada em outras contas, troque-a nesses serviços também.
Se realizou um Pix após ser vítima de fraude, comunique imediatamente a instituição financeira. O Banco Central possui o Mecanismo Especial de Devolução, MED, para situações específicas envolvendo fraude, mas a existência do mecanismo não significa que a recuperação do dinheiro seja garantida.
Também não volte à página suspeita para tentar “cancelar” a operação fornecendo mais informações.
Uma verificação de poucos minutos pode evitar um prejuízo maior
Não existe um único detalhe capaz de provar que toda página de pagamento é legítima. A análise deve combinar vários sinais.
Antes de pagar, confira o domínio, questione como chegou à página, pesquise a empresa independentemente, examine os dados do destinatário e desconfie de solicitações incomuns. Se alguma informação não fizer sentido, interromper a compra e procurar o vendedor por um canal oficial costuma ser mais seguro do que tentar resolver a dúvida dentro da própria página suspeita.
Esse cuidado é especialmente importante porque páginas fraudulentas podem ter acabamento profissional. Na prática, a procedência do endereço e a coerência da transação dizem muito mais sobre a segurança de uma compra do que a aparência do checkout.
Fontes consultadas
CERT.br: Cartilha de Segurança para Internet
FTC: como reconhecer e evitar golpes de phishing
Banco Central: segurança no Pix