O que é
Engodo que imita uma entidade confiável (banco, órgão público, loja, colega) para levar você a clicar, digitar credenciais/códigos ou instalar software. Variações: e-mail (phishing), SMS (smishing), ligação (vishing), mensageiros e redes sociais.
Vetores & objetivos
- Páginas de login clonadas para roubar credenciais (às vezes contornando 2FA)
- Anexos/iscas de “fatura/encomenda” que levam a malware ou macro
- Consent phishing (OAuth): solicitar acesso “legítimo” à sua conta
- QRishing/códigos QR, encurtadores de link e redirecionamentos abertos
Exemplos comuns
- SMS de entrega/inadimplência, multa falsa, impostos a pagar
- E-mails de “segurança da conta”: senha expirada, login suspeito, verificação urgente
- Mensagens no WhatsApp/Instagram com link para site falso ou loja fantasma
- Campanhas direcionadas (spear-phishing/BEC) fingindo ser colega/fornecedor
- Fadiga de MFA: enxurrada de solicitações de aprovação para forçar a aceitação
- QR code em cartaz/e-mail levando a página de roubo de credenciais (QRishing)
Como reagir?
- Não clicar/nem responder; apagar ou arquivar como prova. Verifique a informação por um canal oficial.
- Verifique o link: passar o mouse/long-press, desfazer encurtadores, notar homógrafos (“rn”/“m”, “0”/“O”)
- Se clicou ou digitou: troque a senha, ative 2FA, encerre sessões, revogue tokens/OAuth
- Envie uma amostra anonimizada (com cabeçalhos no caso de e-mail) e reporte ao ICU6
