E-mail falso de atualização de segurança: como reconhecer o golpe

MacWindowsiPhoneAndroidAtualizado

A Cartilha de Segurança para Internet, do CERT.br, avisa que golpistas aproveitam temas em alta para atrair vítimas, e põe "atualização de aplicativo" e "recadastramento de token" entre os assuntos de mensagens que merecem suspeita. Um e-mail pedindo que você instale uma atualização urgente ou entre na sua conta para resolver um problema de segurança merece uma segunda olhada. A conferência segura é sempre a mesma: não use os links dele e vá até a empresa por conta própria.

Resposta rápida

Desconfie de qualquer e-mail inesperado sobre atualização urgente, alerta de segurança ou problema na conta. Os sinais incluem pressa, ameaça, remetente ou link que não batem com a empresa, e pedidos de senha ou código. Não clique. Confirme digitando o endereço do site ou abrindo o app oficial, e denuncie a mensagem na plataforma onde ela chegou.

Como reconhecer um e-mail falso de atualização de segurança?

Repare no que a mensagem quer de você e em quanto ela pressiona. A Cartilha resume em três perguntas: diz que é uma pessoa ou organização conhecida? Envolve dinheiro, vantagem ou informações pessoais? Quer que você faça algo sem tempo para pensar? Ela também lista sinais no tom da mensagem, como ameaça, pressa, pedido de segredo e obediência à autoridade.

A Apple lista sinais nos detalhes:

  1. O endereço de e-mail ou o telefone do remetente não corresponde ao nome da empresa a que ele diz pertencer.
  2. O endereço ou telefone usado para falar com você não é o que você informou à empresa.
  3. Um link parece correto, mas o URL não corresponde ao site da empresa.
  4. O e-mail é bem diferente dos outros que você já recebeu dessa empresa.
  5. Ele pede informações pessoais, como o número do cartão de crédito ou a senha de uma conta.
  6. Você não pediu nada e ele vem com anexo.

Um e-mail bem escrito, com os seus dados, não prova nada. A Cartilha diz que os golpistas estão cada vez mais convincentes, que usam até inteligência artificial e que usam informações vazadas e públicas para o golpe parecer verdadeiro. A recomendação dela é assumir que é golpe até que se prove o contrário.

A Apple e a Microsoft mandam avisos assim?

Não do tipo que pede a sua senha. A Apple diz que nunca vai pedir que você inicie sessão em qualquer site, nem que forneça a sua senha, o código de acesso do dispositivo ou o código de autenticação de dois fatores. Diz também: "A Apple nunca solicitará que você desative qualquer recurso de segurança em seu dispositivo ou conta." E avisa que golpistas às vezes pedem que você desative recursos como a autenticação de dois fatores. Se você suspeitar de um pedido inesperado de informações pessoais, a Apple considera mais seguro presumir que é uma tentativa de fraude.

A Microsoft diz que nunca entra em contato de forma proativa para oferecer suporte técnico não solicitado, e que as mensagens de erro originais dela nunca trazem um número de telefone para ligar. Sobre atualizações, ela avisa que atacantes disfarçam malware de atualização do navegador. Se aparecer um aviso estranho dizendo que o seu navegador precisa ser atualizado, feche a mensagem e procure a página Ajuda > Sobre do próprio navegador, que faz a busca pelas atualizações legítimas.

E os pop-ups dizendo que o aparelho está com vírus?

Feche. A Apple diz que, se um pop-up ou alerta avisar sobre problemas de segurança ou vírus no seu dispositivo, você não deve acreditar: em geral são anúncios fraudulentos, feitos para levar você a baixar software mal-intencionado ou entregar informações pessoais ou dinheiro. Não ligue para o número nem clique nos links. Continue navegando na página ou feche a janela ou aba por completo. O guia visitar um site hackeado é perigoso? fala mais sobre os avisos do navegador.

Existem golpes por e-mail usando a falha do PHP?

Em 23 de outubro de 2026, nem o comunicado do projeto PHP, nem o alerta do CTIR Gov, nem a nota do Ministério da Gestão sobre o PHP2Shell, o par de falhas críticas corrigido em 21 de outubro, falam de e-mails de golpe com esse tema. Isso pode mudar, e o aviso da Cartilha sobre temas em alta continua valendo.

Ajuda saber para quem é a correção. O comunicado do PHP trata de instalações de PHP que atendem requisições web, e o CTIR Gov recomenda que as instituições identifiquem os sistemas que usam PHP e apliquem as atualizações. Nenhum dos dois pede ao público que baixe algo ou entre em algum site. O guia sobre os seus dados pessoais e o PHP2Shell explica o que a falha significa, e o que não significa, para você.

Como confirmar se um e-mail de segurança é verdadeiro?

Fale com a empresa sem usar nada que veio na mensagem. A Cartilha diz para confirmar a história com a organização usando um contato oficial ou já conhecido, e para digitar o endereço do site diretamente no navegador. A Microsoft sugere abrir uma nova aba e ir ao site da organização pelo seu próprio favorito salvo, ou digitando o domínio você mesmo.

  1. Não clique nos links, não abra os anexos e não ligue para os números do e-mail.
  2. Abra o app oficial da empresa ou digite o endereço do site.
  3. Se continuar em dúvida, procure a empresa pelos canais oficiais que aparecem no site dela.

Para apps, a Cartilha recomenda instalar só pelas lojas oficiais e nunca usar link ou app recebido por mensagem.

Como denunciar um e-mail falso?

A Cartilha recomenda não responder e denunciar: use os recursos de denúncia das próprias plataformas para mensagens, anúncios e perfis maliciosos, e bloqueie os contatos que mandam mensagens suspeitas. Denunciar ajuda a tirar do ar perfis e anúncios falsos.

  • Parece ser da Apple: encaminhe o e-mail para reportphishing@apple.com. Para um SMS, a Apple pede uma captura de tela enviada para o mesmo endereço.
  • Golpe de suporte técnico: a Microsoft recebe denúncias em microsoft.com/reportascam.
  • Incidente de segurança: o CERT.br atende ao público exclusivamente por e-mail, em cert@cert.br, e pede que a notificação traga logs completos ou outras evidências, com data, horário e fuso horário.

Se você perdeu dinheiro, a Cartilha orienta contestar pelo banco (no Pix, pelo MED), guardar as evidências e registrar um boletim de ocorrência. Os passos estão no guia visitar um site hackeado é perigoso?.

Mais perguntas

Digitei a minha senha ou abri um anexo de um e-mail desses. E agora?

Troque a senha em todas as contas onde ela é usada e siga os passos do CERT.br no guia visitar um site hackeado é perigoso?. Para uma Conta Apple, a Apple diz para alterar a senha imediatamente e conferir se a autenticação de dois fatores está ativada.

O meu banco manda e-mail pedindo para atualizar dados?

Trate com desconfiança. A Cartilha cita "recadastramento de token" e "pagamento pendente" entre os temas usados em golpes e diz para não fazer o que a mensagem pede. Na dúvida, fale com o banco pelos canais oficiais, como o app ou o número que você já conhece.

Como sei que um link vai para onde diz?

No Mac, a Apple sugere passar o ponteiro sobre o link para ver o URL. No iPhone, toque e mantenha o link pressionado. Se o endereço não for o site da empresa, não abra.

Fontes