Como identificar um e-mail de phishing e o que fazer se você clicou

Um e-mail de phishing tenta levar você a entregar informações, instalar algo ou acessar uma página enganosa. Ele pode imitar uma empresa conhecida e usar uma cobrança, um aviso de bloqueio ou uma entrega como pretexto. Para conferir uma mensagem suspeita, entre no aplicativo ou site oficial por um caminho que você já conhece, sem usar o link recebido.

Não existe um único sinal que prove se uma mensagem é segura. Veja como avaliar pedidos inesperados e o que fazer caso você já tenha informado dados. As orientações oficiais do Google foram consultadas em 5 de novembro de 2026.

1. Pare antes de responder ou abrir anexos

Desconfie de mensagens que pressionam por ação imediata, pedem senha ou código de verificação, prometem um prêmio improvável ou solicitam pagamento fora do procedimento habitual. Também é possível que um golpe imite alguém conhecido: confirme por um número ou canal que você já tinha, e não por um contato fornecido na própria mensagem.

Uma mensagem bem escrita, com logotipo ou nome familiar, ainda pode ser falsa. Por outro lado, um erro de português isolado não prova que seja golpe. Avalie o pedido e confirme a situação diretamente com a organização.

2. Confira o endereço, mas não dependa só dele

Abra os detalhes do remetente e compare o endereço completo com o domínio oficial que você já conhece. Preste atenção a letras diferentes, palavras extras e nomes que imitam a marca. O nome exibido na caixa de entrada não é suficiente para identificar quem enviou.

Mesmo um endereço aparentemente legítimo não garante segurança: contas podem ser comprometidas e informações de remetente podem ser falsificadas. Se a mensagem pedir algo inesperado, confirme por outro canal antes de agir.

3. Examine o destino de um link sem fornecer dados

No computador, passar o cursor sobre um link pode mostrar o endereço de destino antes do clique. Observe o domínio completo e desconfie se ele não corresponde ao serviço mencionado. No celular, a visualização pode variar conforme o aplicativo; se houver dúvida, não toque e acesse o serviço pelo aplicativo oficial ou digitando você mesmo o endereço conhecido.

Um cadeado ou endereço com HTTPS significa que a conexão usa criptografia, mas não garante que o site seja legítimo. Não informe dados pessoais, senha ou código de verificação em uma página aberta por uma mensagem inesperada.

4. Verifique a solicitação no canal oficial

1. Feche a mensagem e abra o aplicativo da empresa ou digite o endereço oficial que você já usa.
2. Consulte notificações, pedidos, cobranças ou atividades dentro da sua conta.
3. Se a dúvida continuar, ligue para o número encontrado no cartão, contrato ou site oficial acessado independentemente.
4. Não compartilhe códigos recebidos por SMS, aplicativo autenticador ou e-mail para que outra pessoa “confirme” sua conta.

Para alertas atribuídos ao Google, a empresa orienta consultar diretamente a área de notificações de segurança da Conta Google. Uma página oficial sem o aviso não esclarece necessariamente toda a situação; em caso de dúvida, use o suporte oficial.

Como denunciar uma mensagem no Gmail

No Gmail para computador, abra a mensagem suspeita, use o menu de três pontos junto à mensagem e procure a opção de denunciar phishing. Os menus podem variar no celular. Denunciar ajuda o serviço a identificar mensagens semelhantes, mas não substitui a proteção de uma conta se você já tiver entregue informações.

Cliquei no link ou informei dados. E agora?

Se você apenas abriu uma página suspeita, feche-a e evite baixar arquivos ou inserir informações. Se digitou uma senha, acesse o serviço pelo caminho oficial e altere-a imediatamente; troque também em outras contas em que ela tenha sido reutilizada. Revise sessões, dados de recuperação e a verificação em duas etapas.

Para uma Conta Google com atividade suspeita, siga a orientação oficial de recuperação e proteção. Se instalou um aplicativo ou forneceu dados bancários, procure o suporte do aparelho ou do banco pelos canais oficiais; acompanhe operações e siga as instruções da instituição.

Para revisar senhas salvas, veja como fazer o Check-up de senhas do Google. A verificação não garante que todos os golpes ou acessos indevidos serão detectados.

Fontes oficiais: Google — evitar e denunciar phishing e Google — proteger uma conta comprometida, consultadas em 5 de novembro de 2026. Guia baseado em documentação, sem teste próprio relatado.