Cliente da minha provedora caiu em phishing (caso real)
Objetivo deste guia: mostrar o que fazer nas primeiras horas após um phishing, como conter o dano, recuperar contas e deixar o cliente mais protegido — com checklist que funciona para qualquer pessoa.
Sumário rápido
Aviso direto: phishing não é “vírus mágico”. É engenharia social. O golpista convence a vítima a entregar o que ele quer (senha, código, cartão, acesso).
Como aconteceu (o padrão mais comum)
O cliente recebeu um link com aparência “oficial” (banco, entrega, suporte, ou até “atualização de conta”). O texto tinha três elementos:
- Urgência: “última chance”, “prazo hoje”.
- Consequência: “bloqueio”, “multa”, “suspensão”.
- Solução fácil: “clique aqui e resolva”.
Ao abrir, a página pedia login/senha e às vezes um código. É aí que o dano acontece: o usuário entrega o acesso, e o golpista entra primeiro no e-mail (para dominar todo o resto).
Sinais claros de que era phishing
- Domínio com cara “quase igual” ao real (troca de letras, hífen, sufixos estranhos).
- Página pedindo informação demais (senha + código + CPF etc.).
- Erros de português, botões quebrados, imagens desfocadas.
- Pressa e ameaça (“agora ou perde”).
Se o site “aperta” você emocionalmente, ele quer sua decisão rápida — e decisão rápida é inimiga da segurança.
O que fizemos na primeira hora (isso salva conta)
Quando é caso real, tempo importa. A sequência que funciona é:
- 1) Garantir controle do e-mail (trocar senha + 2FA + revisar sessões).
- 2) Trocar senhas dos serviços ligados (WhatsApp, Instagram, banco, etc.).
- 3) Revogar sessões/dispositivos (logout em tudo).
- 4) Avisar contatos (para evitar que o golpe se espalhe).
Regra dura: se o e-mail caiu, “caiu tudo”. Quem tem e-mail consegue resetar senha de vários serviços. Por isso o e-mail é prioridade 1.
Como recuperar contas (o básico que resolve a maioria)
- Trocar senha por uma forte (mín. 12 caracteres, sem padrão óbvio).
- Ativar 2FA preferencialmente por aplicativo autenticador (quando possível).
- Revisar “e-mails de recuperação” e “telefone de recuperação” (golpista troca isso).
- Revisar filtros/encaminhamentos do e-mail (golpe clássico: encaminhar tudo pro criminoso).
Como conter danos (mesmo quando já vazou)
- Alertar o banco/serviço e acompanhar movimentações.
- Trocar senhas repetidas (se ele usava a mesma senha em tudo).
- Se houve instalação de app/arquivo: varredura antimalware.
- Se foi WhatsApp: ativar verificação em duas etapas e revisar dispositivos vinculados.
📱 Se foi WhatsApp
1) Ativar verificação em 2 etapas
2) Nunca informar código SMS
3) Proteger e-mail associado
4) Avisar contatos (pedidos de dinheiro)
5) Revisar backups/vínculos
1) Ativar verificação em 2 etapas
2) Nunca informar código SMS
3) Proteger e-mail associado
4) Avisar contatos (pedidos de dinheiro)
5) Revisar backups/vínculos
📧 Se foi e-mail
1) Trocar senha imediatamente
2) 2FA no autenticador
3) Revogar sessões ativas
4) Remover encaminhamentos/filtros
5) Conferir recuperação (fone/e-mail)
1) Trocar senha imediatamente
2) 2FA no autenticador
3) Revogar sessões ativas
4) Remover encaminhamentos/filtros
5) Conferir recuperação (fone/e-mail)
Como prevenir recorrência (o que realmente muda o jogo)
- 2FA em tudo que importa (principalmente e-mail e WhatsApp).
- Senha única por serviço (se der: gerenciador de senhas).
- Treinar o “reflexo”: não clicar na urgência.
- Verificar links antes: usar checagem por reputação e heurística.
Checklist prático (2 minutos)
- ✅ Troquei senha do e-mail e ativei 2FA
- ✅ Revoguei sessões/dispositivos conectados
- ✅ Verifiquei encaminhamentos/filtros no e-mail
- ✅ Troquei senhas reaproveitadas em outros serviços
- ✅ Avisei contatos e monitorei atividades estranhas
Perguntas frequentes (FAQ)
Phishing é vírus?
Geralmente não. Phishing é golpe de enganação para você entregar acesso. Pode virar infecção se baixar/instalar algo, mas o núcleo do phishing é social.
Se eu digitei a senha, o que faço primeiro?
Proteja o e-mail primeiro: troca senha + 2FA + revogar sessões. Depois você corre para os demais serviços.
Trocar senha resolve?
Resolve muito, mas não tudo. Você também precisa revogar sessões e remover encaminhamentos/filtros no e-mail.
Como não cair de novo?
2FA + senha única + desconfiança de urgência. E use checadores de link antes de abrir.