Guias: entender e desarmar o phishing

Guias simples, baseados na experiência, para entender os e-mails de golpe, identificá-los e denunciá-los com eficácia.

• Phishing: como os golpistas fazem seus e-mails chegarem

  Remetentes falsificados, servidores alugados por alguns reais ou invadidos, links que se escondem dos robôs: os truques dos golpistas, explicados de forma simples.

• Como um e-mail viaja do remetente ao destinatário

  A viagem de um e-mail explicada como uma carta pelo correio: servidores de retransmissão, SMTP, porta 25, webmail… e por que os golpistas seguem o mesmo caminho.

• O registro MX do DNS: um sinal de confiança?

  O MX indica onde entregar os e-mails de um domínio. Para que serve, por que a Web não precisa dele e por que a ausência dele deve deixar você em alerta.

• Um e-mail pode mentir… mesmo quando as verificações dizem “OK”

  SPF, DKIM e DMARC checam o envelope, não a carta. Domínios parecidos, portas esquecidas, contas roubadas: como um e-mail “autêntico” ainda pode enganar.

• Phishing: o jogo de gato e rato entre pesquisadores e piratas

  IA que lê nas entrelinhas, análise de comportamento, robôs que clicam por nós: como o phishing é detectado e por que um simples e-mail ainda engana.

• Quando uma simples mensagem derruba gigantes

  FICOBA, Microsoft, MGM Resorts, John Podesta: quatro ataques reais em que a astúcia substituiu a força, e três reflexos simples para quebrar o roteiro do pirata.

• Quishing: quando o phishing se esconde atrás de um QR code

  Um QR code em um e-mail costuma passar pelos filtros e nos faz trocar de aparelho. Como ler o endereço escondido sem abri-lo, encontrar o domínio verdadeiro e denunciá-lo.

• AiTM: quando o phishing rouba sua sessão, não só sua senha

  Um site falso que repassa tudo ao verdadeiro, ao vivo: senha, código de dois fatores e depois o cookie de sessão. Como funciona o ataque AiTM, como identificá-lo e denunciá-lo.

• TOAD: quando o phishing pede para você telefonar

  Uma fatura falsa, nenhum link, só um número para ligar: o TOAD escapa dos filtros levando a armadilha para o telefone. Como reconhecê-lo, verificar o número e o que denunciar.

• Punycode e homógrafos: quando um domínio falso parece o verdadeiro

  Um “а” cirílico no lugar de um “a” latino, e um endereço falso fica idêntico ao verdadeiro. Unicode, Punycode, domínios em xn--: como verificar de verdade um domínio e denunciá-lo.

• Analisar um phishing: da mensagem à infraestrutura

  Cabeçalhos, IP, domínio, hospedagem, CDN: como rastrear um e-mail de phishing até os servidores que o enviaram e saber a quem denunciar o quê.

• Registrar, alojador, CDN: quem pode realmente agir?

  Um domínio, um servidor, um CDN: três atores, três poderes diferentes. Como saber quem pode suspender, desligar, ou apenas transmitir uma denúncia.

• Como encontrar o endereço abuse@ de um alojador?

  IP, WHOIS, RDAP, ASN: o método para encontrar o endereço de denúncia de um alojador, mesmo quando não está escrito às claras.

• Denunciar um ataque de phishing: da denúncia ao corte

  Redigir uma denúncia acionável, compreender o que acontece depois de ser enviada, e acompanhar uma infraestrutura de phishing até ao seu corte completo.

• O ciclo de vida de uma campanha de phishing

  Do registo do domínio ao desligamento do servidor: as dez etapas de uma campanha de phishing, e onde cada um dos nossos guias entra em jogo.

• A IA generativa ao serviço do phishing

  Erros que desaparecem, mensagens personalizadas, documentos falsos: como a IA generativa está a mudar o phishing, e por que a infraestrutura conta mais do que nunca.

• Autópsia de 3 ciberataques reais de 2026

  Uma falsa oferta de emprego, um falso presente “Claude Max”, o vazamento da Revolut: três ataques reais de 2026 dissecados passo a passo, com o rastro que cada um deixa.

• Phishing: a psicologia por trás de 50 pretextos que funcionam

  Medo, urgência, autoridade, ganância: os mecanismos psicológicos por trás dos pretextos de phishing mais usados, com exemplos de mensagens reais.

• Anatomia de um kit de phishing: o que acontece por trás da página falsa

  Clonagem de site, verificação em tempo real, MFA sequestrado, webhooks do Telegram: como um kit de phishing captura e depois exfiltra os dados, e como um esquema desses acaba caindo.

• Redirecionamentos abertos: quando um link de confiança real leva ao atacante

  ?q=, ?url=, ?redirect=: como um link que começa por google.com ou um site conhecido pode, sem que se note, redirecionar para uma página de phishing.