Aquele alerta de vazamento de dados pode ser uma armadilha
A ESET descreve como golpistas exploram tanto vazamentos reais quanto inventados para disparar notificações falsas de "seu dado foi vazado", levando vítimas a clicar em links de phishing sob pressão de urgência. Com ferramentas de IA, essas mensagens hoje chegam sem os erros de português que antes as denunciavam, tornando a verificação por canal independente essencial.
A ESET detalha um golpe que se aproveita da própria fadiga de notificações de segurança: como usuários já estão acostumados a receber avisos de vazamento de dados de empresas legítimas, criminosos passaram a forjar esses mesmos alertas — seja reaproveitando um vazamento real e se antecipando à comunicação oficial, seja inventando um incidente que nunca ocorreu.
A engenharia por trás da armadilha é simples e eficaz: o email ou SMS cria urgência ("seus dados estão em risco, aja agora"), usa domínios com erro sutil de digitação (typosquatting) para parecer o remetente oficial, replica logos e identidade visual da marca e, com o auxílio de kits de phishing e ferramentas de IA generativa, elimina os erros de gramática que antes eram o principal sinal de alerta. A mensagem tende a ser genérica — fala em "sua conta" sem citar dados pessoais específicos —, já que o golpista não tem acesso real às informações da vítima.
O gatilho psicológico funciona porque combina duas verdades: vazamentos de dados são cada vez mais comuns, e ignorar um alerta legítimo tem custo real. Isso empurra a vítima a agir rápido e clicar sem verificar, exatamente o comportamento que o golpista precisa para capturar credenciais ou instalar malware através do link malicioso.
A defesa recomendada pela ESET é nunca usar os links ou contatos fornecidos na própria mensagem suspeita: o caminho seguro é abrir o site oficial da empresa digitando o endereço manualmente ou usar um canal de suporte já conhecido, além de consultar serviços como HaveIBeenPwned para checar vazamentos reais. Senhas fortes, autenticação multifator e software de segurança atualizado reduzem o dano mesmo se o clique acontecer. Para quem já clicou, os passos são trocar senhas, ativar MFA, rodar uma varredura de malware e, se cartões estiverem envolvidos, considerar o bloqueio preventivo.