O que é phishing — e por que funciona tão bem?
Phishing é a prática de enviar e-mails fraudulentos que se passam por organizações de confiança — bancos, transportadoras, órgãos públicos, provedores de e-mail — para enganar quem recebe e levá-la a entregar credenciais, dados de pagamento ou informações pessoais.
Funciona por um motivo bem simples: cair não exige nenhum conhecimento técnico. Um e-mail de phishing bem-feito é igual a um e-mail real. O nome do remetente bate. O logo está certo. O texto é profissional. Os únicos sinais são sutis — um domínio levemente diferente, um link que não vai exatamente para onde diz que vai — e a maioria das pessoas não está procurando por isso quando abre a caixa de entrada.
O volume é assustador. Mais de 3,4 bilhões de e-mails de phishing são enviados por dia. Em 2023, o phishing esteve envolvido em 36% de todas as violações de dados. E a principal superfície de ataque sempre é a mesma: o seu endereço de e-mail.
6 tipos de ataques de phishing que você precisa conhecer
Phishing por e-mail — campanhas em massa imitando marcas conhecidas (bancos, transportadoras, serviços de streaming). Joga rede larga, depende do volume.
Spear phishing — ataques direcionados que usam o seu nome, sua empresa ou uma atividade recente para parecerem personalizados. Bem mais convincentes que as campanhas em massa.
Whaling — spear phishing voltado especificamente para executivos ou alvos de alto valor. Bastante pesquisado, costuma se passar por membros do conselho ou pelo jurídico.
Smishing — phishing por SMS, geralmente com links encurtados. Vem crescendo rápido conforme os filtros de e-mail melhoram.
Vishing — phishing por telefone. Costuma vir logo depois de um e-mail, para reforçar a legitimidade (“estou ligando sobre o e-mail que acabamos de te mandar”).
Clone phishing — o atacante intercepta um e-mail legítimo que você já recebeu e reenvia uma versão quase idêntica, mas com os links substituídos por links maliciosos.
8 sinais de alerta de um e-mail de phishing
O domínio do remetente não bate com a empresa. Um e-mail real do PayPal vem de @paypal.com — não de @paypal-security.net, @paypal.support-team.com ou variações. Confira o domínio de verdade, não só o nome exibido.
Links que não correspondem ao destino que prometem. Passe o mouse em cima de qualquer link antes de clicar. Se a URL que aparece não bater com o que o e-mail diz, não clique. No celular, segure o link para ver a prévia.
Anexos inesperados — principalmente .zip, .exe, .doc. Anexos são um dos canais favoritos para entregar malware. Bancos sérios, órgãos públicos ou empregadores quase nunca te mandam um anexo que você não pediu.
Pedidos de senha, número de cartão ou dados pessoais. Nenhuma organização legítima vai te pedir, por e-mail, senha, PIN, número completo do cartão ou CPF inteiro. Isso é sempre tentativa de phishing.
Saudações genéricas em vez do seu nome. Campanhas de phishing em massa costumam usar “Prezado(a) cliente” ou “Olá, usuário” em vez do seu nome. Não é prova absoluta — o spear phishing usa o seu nome —, mas saudação genérica em e-mail sensível (segurança, banco etc.) é alerta vermelho.
Páginas de login estranhas ou que não combinam. Se um link te leva a uma tela de login, olhe a URL com atenção antes de digitar qualquer coisa. Os atacantes fazem cópias muito boas em domínios quase iguais aos reais.
Urgência ou ameaça. “Sua conta será suspensa em 24 horas.” “Ação imediata necessária.” Essa urgência artificial existe justamente para passar por cima do seu senso crítico.
Formatação ruim, fontes estranhas ou imagens quebradas. Mesmo com a IA elevando o nível médio do phishing, as campanhas mais malfeitas ainda chegam com erros de formatação, espaçamentos esquisitos ou logos quebrados que entregam a fraude.
Como o e-mail anônimo te tira da lista de alvos
A maioria dos ataques de phishing precisa do seu endereço real para chegar até você. Esse endereço veio de algum lugar — um vazamento de dados, uma lista comprada, um site raspado, um serviço comprometido onde você se cadastrou anos atrás.
Se o seu endereço real nunca foi dado a um determinado serviço, daquele serviço ele não pode vazar. Essa é a proteção fundamental que o e-mail descartável entrega.
Toda vez que você usa uma caixa descartável no lugar do seu endereço real para um cadastro, elimina mais uma fonte potencial de exposição. O endereço descartável até pode acabar em vazamentos, em listas ou recebendo phishing — mas ele já vai ter expirado bem antes disso, e não está ligado de nenhum jeito à sua identidade real.
O que muda quando você usa e-mail descartável
- Serviços comprometidos vazam um endereço morto, não o seu real
- Listas de spam montadas a partir dos seus cadastros contêm endereços que não existem mais
- Campanhas de spear phishing que pesquisam você não acham um histórico de e-mail ligado à sua identidade real
- A superfície de ataque para phishing direcionado cai drasticamente
Com uma caixa de 10 minutos, a janela de exposição é tão curta que qualquer intervalo entre vazamento e campanha chega depois que o endereço já expirou. Com uma caixa de 3 dias, o endereço é aleatório e não está ligado a nenhum perfil pessoal — não tem nada que um atacante de spear phishing consiga pesquisar ou usar.
Quem usa e-mail anônimo — e por quê
Compradores online — para escapar de sequências eternas de marketing e da exposição a vazamentos por causa de uma compra pontual.
Times de desenvolvimento e QA — caixas limpas e isoladas para testar fluxos de e-mail sem poluir os endereços reais.
Gamers — contas de teste e acessos a betas sem deixar um rastro permanente ligado à identidade real.
Pesquisadores e jornalistas — acessar fontes, plataformas e serviços sem criar uma trilha de dados que possa ser atacada.
Viajantes — passar por portais de Wi-Fi de aeroporto e hotel sem entregar um endereço real.
Profissionais — pesquisar concorrentes e avaliar serviços sem disparar fluxos de follow-up comercial.
Usuários preocupados com privacidade — qualquer um que enxerga o e-mail real como um ativo a proteger, não como mercadoria para distribuir.
O que fazer se você já clicou em um link de phishing
Aja agora. Quanto mais demorar, maior o estrago possível.
Se você digitou credenciais: troque a senha no serviço afetado e em qualquer outro serviço em que use a mesma senha. Ative agora a autenticação em dois fatores na conta de e-mail principal.
Se você inseriu dados de pagamento: ligue para o banco imediatamente e peça o bloqueio ou a substituição do cartão. Conteste qualquer cobrança que não reconheça.
Se você baixou um arquivo: rode uma varredura completa de antivírus antes de continuar usando o dispositivo. Desconecte da internet se desconfiar de infecção ativa.
Em qualquer caso: use o verificador de vazamento de e-mail para ver se suas credenciais já estão circulando, e fique de olho nas suas contas nas semanas seguintes.
Continue lendo
- O que é e-mail descartável? O guia completo
- Como o e-mail temporário protege a sua privacidade online
- O guia completo de privacidade de e-mail
- Como evitar spam: 7 estratégias comprovadas
- Temp mail não recebe o OTP? Conserte rápido
- Como conferir SPF, DKIM e DMARC
- E-mail descartável vs burner email vs temp mail
Entender como funciona a autenticação de e-mail também te ajuda a julgar quais provedores de temp mail são confiáveis.
A maneira mais simples de reduzir a sua superfície de ataque a phishing é reduzir quantos serviços têm o seu endereço real. Comece com uma caixa descartável grátis — leva dois segundos e não exige nada de você.
Your temp mail is ready right now
No signup, no password. A disposable inbox waiting the moment you open the page.
Get My Free Temp Mail →